La recherche de la sûreté de fonctionnement des systèmes complexes impose une démarche de conception rigoureuse. Les travaux de cette thèse s’inscrivent dans le cadre la modélisation formelle des systèmes de contrôle autonomes tolérants aux fautes. Le premier objectif a été de proposer une formalisation d’une architecture générique en couches fonctionnelles qui couvre toutes les activités essentielles du système de contrôle et qui intègre des mécanismes de sécurité. Le second objectif a été de fournir une méthode et des outils pour évaluer qualitativement les exigences de sécurité. Le cadre formel de modélisation et d’évaluation repose sur le formalisme Event-B. La modélisation Event-B proposée tire son originalité d’une prise en compte par raffinements successifs des échanges et des relations entre les couches de l’architecture étudiée. Par ailleurs, les exigences de sécurité sont spécifiées à l’aide d’invariants et de théorèmes. Le respect de ces exigences dépend de propriétés intrinsèques au système décrites sous forme d’axiomes. Les preuves que le principe d’architecture proposé satisfait bien les exigences de sécurité attendue ont été réalisées avec les outils de preuve de la plateforme Rodin. L’ensemble des propriétés fonctionnelles et des propriétés relatives aux mécanismes de tolérance aux fautes, ainsi modélisées en Event-B, renforce la pertinence de la modélisation adoptée pour une analyse de sécurité. Cette approche est par la suite mise en œuvre sur un cas d’étude d’un drone ONERA.

L'avènement de la VoIP (Voice over IP) a déclenché une période de profonds changements dans le marché des télécommunications. En particulier, dans le secteur de la téléphonie résidentielle, cette technologie s'est consolidée, rapidement et pour de nombreuses raisons, comme l'évolution de la téléphonie traditionnelle. Dès les tous débuts, et afin d'établir une base de compatibilité permettant l'interconnexion de plusieurs réseaux téléphoniques et la convergence entre les systèmes traditionnels analogiques et leur évolution numérique, l'industrie a demandé l'établissement de cadres normatifs. En réponse à ces besoins, plusieurs standards et protocoles, avec de successives modifications et corrections, ont été publiés dans une période relativement brève. Parmi les plus populaires, SIP (Session Initiation Protocol), un protocole de signalisation, et RTP (Real-Time Transport Protocol), un protocole de transport de flots temps réel, se démarquent et ils sont au coeur de la majorité des applications conçues actuellement. Bien que, aujourd'hui, SIP et RTP sont liés fortement à la téléphonie sur IP, leur portée et leurs possibilités sont beaucoup plus vastes, ce qui déclenche un grand intérêt et justifie l'effort mis dans la conception des implémentations plus performantes et orientées plus spécifiquement à divers serveurs mandataires UA (User Agent). Dans ce contexte, le but du présent projet de maîtrise est de concevoir des piles de protocoles SIP et RTP orientées vers des applications de téléphonie sur IP, dans un environnement embarqué. Des conditions additionnelles sont que les piles doivent être codées en langage C et s'appuyer sur le système d'exploitation en temps réel MicroC/OS-II. Afin de faciliter la portabilité, il doit se prévoir des couches d'abstraction du matériel et du système d'exploitation. Même si les applications ciblées pour le projet sont, principalement, celles de VoIP, la pile SIP doit viser d'autres domaines, notamment des applications de domotique et de contrôle à distance. Cette dernière condition impose, de façon indirecte, d'autres conditions sur la taille du code et la puissance de calcul demandée, car le matériel pour ces types d'applications est d'habitude plus simple et moins puissant que les ordinateurs qui sont souvent utilisés dans les applications professionnelles de communication. Ce mémoire, qui décrit le travail effectué, est organisé en deux parties. La première fait une introduction théorique à la téléphonie sur IP, et sert de fondement à la deuxième partie, où la mise en oeuvre des protocoles SIP et RTP est décrite en détail.L'accent a été mis sur les justifications des décisions prises pendant toute la conception afin d'aider à mieux comprendre la logique appliquée et de permettre sa reconsidération et analyse dans de futures itérations. Comme résultat des contraintes et limitations imposées dans le cadre de ce projet, les piles de protocoles conçues se sont révélées très compactes et performantes, ce que justifie pleinement la continuité du travail dans l'avenir.

AUTOSAR (AUTomotive Open System Architecture) est un standard industriel mondial créé en 2003 dans le but de standardiser le développement des architectures logicielles automobiles. Il fournit un ensemble de concepts et définit une méthodologie commune pour le développement des logiciels embarqués automobiles. Les principales caractéristiques de ce standard sont la modularité et la « configurabilité» de logiciels qui permettent la réutilisation fonctionnelle des modules logiciels fournis par des fournisseurs différents. Cependant,le développement d’une application embarquée AUTOSAR nécessite la configuration d’un grand nombre de paramètres liés principalement au grand nombre de composants logiciels (software component« SWC ») de l’application. Cette configuration commence par l’étape d’allocation des SWCs à la plateforme matérielle (calculateursconnectés par des réseaux), jusqu’à l’étape de configuration de chaque calculateur et du réseau de communication. Différentes alternatives sont possibles pendant ces étapes de configuration etc chaque décision de conception peut impacter les performances temporelles du système, d’où la nécessité d’automatiser ces étapes de configuration et de développer un outil d’évaluation d’architectures.Dans ce travail de thèse, nous introduisons une approche holistique d’optimisation afin de synthétiser l’architecture E/E d’un système embarqué AUTOSAR. Cette approche se base sur des méthodes métaheuristique et heuristique. La méthode métaheuristique (i.e. algorithme génétique) a le rôle de trouver les allocations les plus satisfaisantes des SWCs aux calculateurs. A chaque allocation proposée, deux méthodes heuristiques sont développées afin de résoudre le problème de la configuration des calculateurs (le nombre de tâches et ses priorités, allocation des runnables aux tâches, etc.) et des réseaux de communication (le nombre de messages et ses priorités, allocation des « data-elements » aux messages,etc.). Afin d’évaluer les performances de chaque allocation, nous proposons une nouvelle méthode d’analyse pour calculer le temps de réponse des tâches, des runnables, et de bout-en-bout de tâches/runnables. L’approche d’exploration architecturale proposée par cette thèse considère le modèle des applications périodiques et elle est évaluée à l’aide d’applications génériques et industrielles. / AUTOSAR (AUTomotive Open System ARchitecture) has been created by automotive manufacturers, suppliers and tools developers in order to establish an open industry standard for automotive E/E(Electrical/Electronic) architectures. AUTOSAR provides a set of concepts and defines a common methodology to develop automotive software platforms. The key features of this standard are modularity and configurability of automotive software; this allows functional reuse of software modules provided by different suppliers and guarantees interoperability of these modules through standardized interfaces. However, the development of an embedded application according to AUTOSAR necessitates configuring a lot of parameters related to the large number of Software Components (SWCs), their allocations to the hardware platform and then, the configurationof each Electronic Control Unit (ECU). Different alternatives are possible during the design of such systems. Each implementation decision may impact system performance and needs therefore to be evaluated and compared against performance constraints and optimization goals. In this thesis, we introduce a holistic optimization approach to synthesizearchitecture E/E of an embedded AUTOSAR system. This approach is based on heuristic and metaheuristic methods. The metaheuristics (e.g. genetic algorithm) has the role to find the most satisfactory allocations of SWCs to ECUs. Each allocation step, two heuristics are developed to solve the problem of the ECU configuration (the number of tasks and priorities, allocation of runnables to tasks, etc.) and networks configuration (the number of messagesand priorities, allocation of data-elements to messages, etc.). In order to evaluate the performance of each allocation, we propose a new analysis method to calculate the response time of tasks, runnables, and end-to-end paths. The architectural exploration approach proposed by this thesis considers the model for periodic applications and is evaluated using generic and industrial applications.

Au cours des dix dernières années, l’impact des questions de sécurité sur le développement et la mise en oeuvre des systèmes embarqués distribués n’a jamais cessé de croître. Ceci est principalement lié à l’interconnexion toujours plus importante de ces systèmes qui les rend vulnérables aux attaques, ainsi qu’à l’intérêt économique d’attaquer ces systèmes qui s’est simultanément accru. Dans un tel contexte, méthodologies et outils d’ingénierie des exigences de sécurité sont devenus indispensables pour prendre des décisions appropriées quant a` la sécurité, et ce le plus tôt possible. L’ingénierie des exigences devrait donc fournir une aide substantielle à l’explicitation et à la spécification des problèmes et solutions de sécurité des logiciels bien avant que concepteurs et développeurs ne soient engagés dans une implantation en particulier. Toutefois, et c’est particulièrement vrai dans les systèmes embarqués, les exigences de sécurité ne doivent pas être considérées seulement comme l’expression abstraite d’un ensemble de propriétés indépendamment de l’architecture système ou des menaces et des attaques qui pourraient y survenir. Nous estimons que cette considération est d’une importance capitale pour faire de l’ingénierie des exigences un guide et un moteur de la conception et de la mise en œuvre d’un système sécurisé. Notre approche s’appuie en particulier sur une approche centrée sur les connaissances de l’ingénierie des exigences de sécurité, applicable dès les premières phases de conception du système jusqu’à la mise en application des exigences de sécurité dans l’implantation. / During the last ten years, the impact of security concerns on the development and exploration of distributed embedded systems never ceased to grow. This is mainly related to the fact that these systems are increasingly interconnected and thus vulnerable to attacks, and that the economic interest in attacking them has simultane- ously increased. In such a context, requirement engineering methodologies and tools have become necessary to take appropriate decisions regarding security early on. Security requirements engineering should thus strongly support the elicitation and specifica- tion of software security issues and solutions well before designers and developers are committed to a particular implementation. However, and that is especially true in embedded systems, security requirements should not be considered only as the abstract expression of a set of properties independently from the system architecture or from the threats and attacks that may occur. We believe this consideration is of utmost importance for security requirements engineering to be the driving force behind the design and implementation of a secure system. We thus describe in this thesis a security engineering requirement methodology depending upon a constant dialog between the design of system functions, the requirements that are attached to them, the design and development of the system architecture, and the assessment of the threats to system assets. Our approach in particular relies on a knowledge-centric approach to security requirement engineering, applicable from the early phases of system conceptualization to the enforcement of security requirements.

Dans le domaine de l'aéronautique, les systèmes embarqués ont fait leur apparition durant les années 60, lorsque les équipements analogiques ont commencé à être remplacés par leurs équivalents numériques. Dès lors, l'engouement suscité par les progrès de l'informatique fut tel que de plus en plus de fonctionnali- tés ont été numérisées. L'accroissement permanent de la complexité des systèmes a conduit à la définition d'une architecture appelée Avionique Modulaire Intégrée (IMA pour Integrated Modular Avionics). Cette architecture se distingue des architectures antérieures, car elle est fondée sur des standards (ARINC 653 et ARINC 664 partie 7) permettant le partage des ressources de calcul et de communication entre les différentes fonctions avioniques. Ce type d'architecture est appliqué aussi bien dans le domaine civil avec le Boeing B777 et l'Airbus A380, que dans le domaine militaire avec le Rafale ou encore l'A400M. Pour des raisons de sûreté, le comportement temporel d'un système s'appuyant sur une architecture IMA doit être prévisible. Ce besoin se traduit par un ensemble d'exigences temps réel que doit satisfaire le système. Le problème exploré dans cette thèse concerne la vérification d'exigences temps réel dans les systèmes IMA. Ces exigences s'articulent autour de chaînes fonctionnelles, qui sont des séquences de fonctions. Une exigence spécifie alors une borne acceptable (minimale ou maximale) pour une propriété temporelle d'une ou plusieurs chaînes fonctionnelles. Nous avons identifié trois catégories d'exigences temps réel, que nous considérons pertinentes vis-à-vis des systèmes étudiés. Il s'agit des exigences de latence, de fraîcheur et de cohérence. Nous proposons une modélisation des systèmes IMA, et des exigences qu'ils doivent satisfaire, dans le formalisme du tagged signal model. Nous montrons alors comment, à partir de ce modèle, nous pouvons générer pour chaque exigence un programme linéaire mixte, c'est-à-dire contenant à la fois des variables entières et réelles, dont la solution optimale permet de vérifier la satisfaction de l'exigence.

Les systèmes embarqués multiprocesseur monopuces (Multi-Processor System-on-Chip, MPSoC) visent l'intégration des sous-systèmes variés, matériels et logiciels, sur une seule puce. Ainsi, l'hétérogénéité et les contraintes imposées pour la mise sur le marché rendent l'analyse en vue de l'évaluation des performances et de l'optimisation de ces systèmes très complexes. L'évaluation des performances est une étape clef dans n'importe quel flot de conception. En se basant sur les résultats de l'évaluation des performances, il est possible de prendre des décisions et de réaliser des compromis pour l'optimisation du système global. La littérature prouve qu'une grande partie du temps de conception est passée dans l'évaluation des performances. De plus, les itérations dans le flot de conception deviennent prohibitives pour des systèmes complexes. Par conséquent, la réalisation des MPSoCs à rendement élevé est un défi. La solution est fortement liée à la disponibilité des méthodes rapides et précises pour l'évaluation des performances. Dans cette thèse, le terme « performances » est limité aux performances des temps d'exécution pour la réalisation finale du système. L'aspect temporel est intensivement analysé pour la validation des systèmes temps-réel et l'optimisation des sous-ensembles d'interconnexion. Nous avons également considéré la vitesse de la méthode proposée d'évaluation des performances, car les temps d'évaluation peuvent devenir prohibitifs pour des systèmes MPSoC complexes. Notre principale contribution est de définir une méthodologie globale d'évaluation des performances pour les systèmes MPSoC. Nous avons également orienté notre recherche vers les performances de l'exécution du logiciel. On a considéré l'évaluation des performances pour un modèle de haut niveau d'abstraction, afin d'avoir une vitesse élevée d'évaluation. De plus, on a inclus des annotations des temps d'exécution, afin d'avoir une bonne précision d'évaluation.

La pression pour la qualité et la mise sur le marché de systèmes embarqués monopuces fait que la validation de tels systèmes devient le point clé du processus de conception. La validation répond pour plus de la moitié du temps de conception. Mais à chaque jour la validation devient plus difficile car les systèmes sont de plus en plus hétérogènes. Cette hétérogénéité touche plusieurs aspects du système, comme les niveaux d'abstraction, les APIs et protocoles de communication, les langages de spécification, entre autres. Les points clés pour réduire le temps de validation sont : (1) maîtriser l'intégration des composants hétérogènes à travers de l'adaptation de la communication, (2) et générer automatiquement le modèle de simulation du système.<br />Ainsi, les contributions apportées par ce travail pour accélérer le temps de validation sont: (1) la proposition d'un modèle d'adaptateur de communication basé sur les services pour la cosimulation des systèmes hétérogènes embarqués ; (2) la proposition et l'implémentation d'un flot de génération automatique de modèles de simulation pour les systèmes hétérogènes embarqués. <br />Les approches proposées ont été validées sur deux systèmes hétérogènes embarqués : un modem VDSL et un encodeur MPEG-4.

Java est une technologie attractive pour les équipements embarqués et contraints, de par ses propriétés de sûreté, de portabilité et de faible empreinte mémoire du code. Cependant, la taille imposante d'un environnement Java complet a obligé les producteurs d'équipements embarqués à utiliser des spécifications dégradées de Java aux fonctionnalités limitées, telles que J2ME ou Java Card. Ces spécialisations précoces de Java perdent la compatibilité au niveau applicatif avec l'édition standard, et ne peuvent ainsi s'adresser qu'à des cas d'utilisation particuliers.Notre travail consiste à permettre l'utilisation de l'édition standard de Java sur les systèmes contraints, au travers d'une spécialisation tardive et agressive du système qui intervient après déploiement de ses applications. L'occurrence tardive de la spécialisation permet de mieux déterminer les conditions d'utilisation du système, et donc de le spécialiser « sur mesure » par rapport aux applications qu'il exécute.Nos contributions sont les suivantes : dans un premier temps, nous définissons la notion de « romization », consistant à déployer un système hors-ligne avant de capturer et de transférer son image mémoire vers l'équipement sur lequel il doit s'exécuter. De cette définition, nous proposons une architecture de romization capable de capturer une image mémoire du système à n'importe quel moment de son exécution. Dans un second temps, nous traitons des moyens d'analyse et de spécialisation permettant de rendre cette image mémoire embarquable. L'évaluation effectuée montre que cette spécialisation tardive, appliquée à un environnement Java standard déployé, permet effectivement d'en obtenir une version minimaliste et embarquable sur un équipement contraint.

Les architectures des systèmes embarqués des nouvelles générations d'avions civils et militaires tendent à s'organiser autour d'une plateforme avionique constituée de calculateurs interconnectés par un réseau central. Ce type d'architecture a fait apparaitre le besoin de développer de nouvelles méthodes de conception afin d'assister le dialogue entre les concepteurs des fonctions à embarquer (commandes de vol, gestion de l'énergie, ...) et les architectes de la plateforme avionique. Il est, en particulier, primordial de s'assurer que l'allocation des ressources de la plateforme aux fonctions embarquées respecte les exigences de sûreté de fonctionnement propres aux systèmes avioniques. Dans un premier temps, un cadre général a été proposé pour modéliser et vérifier l'effet de l'allocation des ressources d'une plateforme avionique du point de la sûreté de fonctionnement. Ce cadre est fondé sur l'utilisation du langage AltaRica pour décrire formellement la propagation des défaillances au sein de systèmes embarqués et des outils associés à ce langage (model-checking, génération de séquences et d'arbres de défaillances) pour vérifier la tenue des exigences de sûreté de fonctionnement. Ce cadre a été utilisé pour étudier, d'une part, l'allocation d'équipements informatiques aux fonctions de systèmes embarqués, et d'autre part, les placements des équipements au sein de l'avion en tenant compte de risques tels que l'éclatement d'un pneu ou l'explosion d'un moteur. Dans un second temps, la génération d'allocations respectant les exigences de sûreté de fonctionnement a été étudiée. L'approche retenue est fondée sur l'expression de contraintes d'allocation sous forme d'inégalités linéaires entières et sur l'utilisation de techniques de résolution de ces contraintes. Plusieurs types de contraintes (ségrégation, co-location, exclusion, ...) sont pris en compte. De plus, des critères d'optimisation permettent de guider la résolution des contraintes de façon à proposer des allocations les plus pertinentes du point de vue des besoins des systèmes aéronautiques. Finalement, une approche intégrant les techniques de vérification et de génération a été proposée. La première étape consiste à vérifier un modèle des fonctions embarquées qui est indépendant de la plateforme avionique. Il est possible d'extraire automatiquement des contraintes d'allocation à partir des résultats de cette vérification. L'étape de résolution de contraintes génère alors une allocation sûre. Les travaux sont illustrés par deux études de cas industrielles : une fonction de suivi de terrain d'un avion de chasse et un système de génération et de distribution hydraulique d'un avion de type A320. / Abstract

Ces dernières années, la sécurité des systèmes embarqués a fait l'objet de recherches intensives. Comme l'énergie, le coût et la performance; la sécurité est un aspect important qui doit être considérée tout au long du processus de conception d'un système embarqué. Des menaces récentes appelées "attaques par canaux cachés'' (Side-Channel Analysis (SCA)) ont attiré beaucoup d'attention dans le milieu de la sécurité embarquée. Ces attaques exploitent des propriétés physiques, telles que la consommation d'énergie ou le champ magnétique rayonné, afin de retrouver le secret. De plus, elles sont passives dans le sens où l'analyse se contente d'une observation extérieure du système sans l'endommager. Dans ce contexte, il est évident que la sécurisation des systèmes embarqués contre les attaques SCA constitue un aspect vital dans le flot de conception. Par conséquent, la nécessité d'assurer et d'évaluer la robustesse des systèmes embarqués contre ces attaques devient clair. Cette thèse propose principalement des techniques et méthodes génériques dans l'analyse par canaux cachés. Ces techniques qui touchent à différents aspects de l'analyse SCA (acquisition, pré-traitement, attaque et évaluation) peuvent être utilisées dans un cadre d'évaluation plus officiel tel que les Critères Communs (CC) ou le FIPS-140 afin d'améliorer la visibilité de l'évaluateur. Par ailleurs, le propriétaire d'un produit pourrait aussi se baser sur ces techniques dans le but d'évaluer la sécurité de son produit face aux attaques par canaux cachés avant de solliciter un certificat.