La conception de systèmes embarqués nécessite de plus en plus l'utilisation d'outils logiciels afin de contenir la complexité croissante de ceux-ci. Les deux principaux outils industriels dans ce domaine sont Simulink et Lustre/Scade. Ces deux outils possèdent de nombreuses fonctionnalités comme un moteur de simulations, des générateurs de tests ou de code. Cependant, Simulink est, dans la majorité des cas, utilisé pour la conception de systèmes embarqués et ceci parce qu'il a une expressivité plus importante. Il est capable de modéliser et de simuler des systèmes à temps continu, à temps discret et un mélange des deux, c'est-à-dire des systèmes hybrides. Pour la conception des systèmes embarqués, Simulink permet de modéliser l'environnement physique et le logiciel embarqué dans un même formalisme. L'application des méthodes formelles sur de telles spécifications est un défi industriel et scientifique important pour la validation des logiciels embarqués. De plus, l'utilisation de méthodes formelles, au plus tôt dans le cycle de développement, est un challenge essentiel dans l'industrie afin de réduire les coûts liés à la correction de bogues.<br /><br />Dans cette thèse, nous définissons une analyse statique par interprétation abstraite de modèles Simulink. Nous appelons cette analyse Simulation Abstraite. L'objectif de la Simulation Abstraite est de fournir un critère de correction des comportements numériques des exécutions des modèles Simulink. Ces simulations sont souvent utilisées pour valider les systèmes modélisés, mais elles sont plus proches de l'activité de tests que celle de la preuve. En conséquence, elles ne permettent pas de valider vis-à-vis des spécifications un système modélisé avec Simulink. La Simulation Abstraite fournit un critère de correction dans le sens que les comportements des modèles Simulink représentent au mieux les comportements du monde réel.<br /><br />Nous supposons que le modèle mathématique, représenté par un modèle Simulink, est correcte vis-à-vis du monde réel. Notre objectif est de calculer automatiquement et conjointement une sur-approximation des comportements mathématiques et des comportements issus de la simulation numérique pour une plage d'entrées possibles. Nous sommes ainsi capable d'estimer l'ensemble des imprécisions introduit par la simulation numérique, c'est-à-dire les erreurs d'arrondi ou les erreurs de troncature liées, par exemple, aux capteurs. Le critère de correction des modèles à temps continu est obtenu en évaluant la distance séparant les résultats des méthodes d'intégration numérique, utilisées par le moteur de simulations, des résultats obtenus par une méthode d'intégration numérique garantie. Le critère de correction des modèles à temps discret est donné par l'utilisation du domaine numérique abstrait des nombres flottants avec erreurs différentiées. Ce nouveau domaine numérique est issu de la combinaison du domaine des flottants avec erreurs et la méthode de différentiation automatique permettant d'avoir une meilleure abstraction des erreurs. Nous définissons également une abstraction d'un domaine des séquences utilisant les partitions d'un ensemble. Nous sommes ainsi en mesure de représenter des simulations infinies d'une manière finie. L'ensemble de ces domaines permet alors d'estimer les erreurs introduites par les traitements numériques présents lors des simulations. Nous obtenons alors une méthode de validation des comportements numériques des systèmes embarqués modélisés en Simulink.

Les systèmes de surveillance et de supervision jouent un rôle majeur pour la sécurité des installations industrielles et la disponibilité des équipements. Signaler le plus tôt possible à l'opérateur les écarts détectés par rapport au comportement nominal prévu est fondamental pour la mise en œuvre des actions préventives et correctives sur le procédé. Certains types d'installations tels que les procédés chimiques et de traitement par lots (batch systems) présentent une grande complexité pour la commande/surveillance en raison de leur caractère hybride (aspects continus et discrets étroitement liés), du nombre de variables mis en jeu et de la complexité de leurs relations. Cette complexité est accentuée par la nécessité de nombreux changements de modes opératoires qui conduisent à de nombreuses phases transitoires. <br />La surveillance de ces phases transitoires est délicate. Le nombre élevé de variables à considérer rend difficile l'interprétation du comportement du procédé. En cas de défaut, un diagnostic devient alors une tâche complexe. Les écarts, même marginaux, par rapport au comportement nominal souhaité doivent être surveillés de façon à avertir l'opérateur sur des évolutions non prévues qui peuvent aboutir à une défaillance. Les écarts marginaux peuvent indiquer un dysfonctionnement qui dégénère lentement ou encore une conduite inadéquate de l'opérateur ou du système de pilotage. <br />Pour faire face à la complexité, le système de commande/surveillance est hiérarchisé selon la hiérarchie procédurale proposée par la norme ISA88. Notre démarche de surveillance et diagnostic se situe à deux niveaux hauts de cette hiérarchie procédurale : i) au niveau d'une opération et plus particulièrement lors du transitoire du mode opératoire (MOt) où les relations d'influence entre les variables sont faiblement connues ou non connues, ii) au sein d'une phase où les relations d'influence sont connues dans un intervalle de temps appartenant à l'horizon du mode opératoire.<br />Concernant la complexité des relations des variables mises en jeu, il n'est pas toujours facile et forcément nécessaire une modélisation précise de la dynamique du procédé. Dans ce cas, les approches qualitatives permettent une représentation avec un degré d'abstraction plus en adéquation avec le niveau haut de surveillance considéré. <br />Pour cela, nous proposons une abstraction des dynamiques continues basée sur un raisonnement temporel et événementiel compatibles avec les niveaux de la hiérarchie de surveillance. Cette abstraction est basée sur un partitionnement temporel flou de la dynamique des variables importantes définissant ainsi un ensemble d'états qualitatifs. Des mécanismes de vérification et de rétablissement de cohérence temporelle entre les variables sont proposés de façon à décrire les relations dynamiques locales existantes. Pour son pouvoir de représentation et pour rester cohérent avec une approche hiérarchique basée réseau de Petri, les Réseaux de Petri Temporels Flous ont été choisis.

Le sujet de cette thèse se situe à l'intersection des domaines de la robotique mobile et des réseaux de neurones artificiels (RNA). Notre objectif est d'étudier les solutions que peuvent apporter les techniques connexionnistes aux problèmes particuliers posés par la commande automatique d'un robot de type voiture. Ce mémoire se compose de deux parties principales. La première d'entre elles traite des aspects fondamentaux de la commande d'un robot mobile et de l'utilisation des réseaux de neurones artificiels pour la commande de systèmes complexes. Cette première étude nous permet de mettre en évidence les différents points sur lesquels les réseaux de neurones peuvent jouer un rôle dans une architecture de commande conférant une véritable autonomie de mouvements au véhicule, tout en respectant les contraintes de robustesse et de rapidité de réaction induites par l'utilisation d'un robot de la taille et de la vitesse d'une voiture. Nous proposons dans la deuxième partie du mémoire plusieurs contrôleurs permettant d'accroître progressivement l'autonomie du robot. Nous nous intéressons tout d'abord à une tâche simple consistant uniquement à asservir le robot sur une trajectoire de référence issue d'un planificateur. Notre approche autorise une adaptation continue du système face à d'éventuels changements des paramètres du robot ou de son environnement. Afin de permettre la réalisation de manoeuvres sans consignes extérieures, nous proposons également une méthodologie pour la réalisation de contrôleurs basés sur l'utilisation des capteurs externes du véhicule. Notre appoche utilise un modèle alliant des caractéristiques issues de la logique floue et des RNA. Enfin nous montrons comment des tâches complexes peuvent être réalisées à partir de l'enchaînement de plusieurs contrôleurs simples. Notre réalisation du système de sélection de ces contrôleurs, utilisant un RNA récurrent, possède des capacités de robustesse et autorise des réactions très rapides face à l'ensemble des événements extérieurs qui doivent pouvoir être pris en compte.

Nous proposons une méthodologie de conception pour les systèmes de commande tolérants aux fautes en partant d'un modèle de base exhaustif pour le système complexe à superviser. En pratique, la modélisation exhaustive est réalisée grâce à un automate hybride enrichi par des paramètres quantifiant les défaillances possibles. Ceci permet de modéliser les défaillances partielles. Dans la phase hors ligne, ce système complexe est transformé en un système discret abstrait et exploitable selon des techniques dédiées. Un superviseur est alors construit selon les objectifs de fonctionnement.Lors du fonctionnement du système, l'occurrence d'une défaillance se traduit par l'invalidation de plusieurs comportements dans le modèle abstrait et l'introduction d'incertitudes. Par la suite, les modules de diagnostic et d'identification (qui ne rentrent pas dans l'objet de notre thèse) réduisent de façon progressive le modèle hybride au cours du temps. Afin de pouvoir mettre à jour le modèle discret abstrait, on a développé des algorithmes de calcul d'atteignabilité, de vérification et de génération de régions stabilisées.Pour pouvoir superviser un tel système, l'utilisation de méthodologies d'abstraction est nécessaire afin de transformer le modèle bas niveau exhaustif en un modèle discret approprié. Nous réalisons cette abstraction en proposant des algorithmes qui tiennent compte du contexte d'utilisation (objectifs, contraintes...). Lorsqu'une défaillance est détectée, la reconfiguration est déclenchée en essayant, au fur et à mesure de l'enrichissement du modèle abstrait, de réduire le fonctionnement du système défaillant dans un des schémas prédéfinis

Les systèmes hybrides EnR/H2 sont une solution innovante au problème du stockage des énergies renouvelables. Ces systèmes comprennent : une ou plusieurs sources renouvelables d'énergie ; un électrolyseur pour produire de l'hydrogène et de l'oxygène lorsque la source renouvelable fournit un excédent d'énergie ; à l'inverse, lorsque la demande excède la capacité de la source renouvelable, une pile à combustible consomme les gaz afin de fournir le complément d'énergie nécessaire. Afin de développer ces solutions dans le futur : il est nécessaire de constituer un ensemble de références architecturales correspondant aux applications cibles pour les systèmes hybrides EnR/H2 ; et de posséder un instrument décisionnel permettant le dimensionnement optimum des sous-systèmes selon plusieurs critères (efficacité énergétique du système ou coût du kWh). Un code numérique de dimensionnement sous langage MATLAB®, baptisé ORIENTE, a donc été développé dans le cadre des travaux de recherches qui s'inscrivent dans le projet ANR PEPITE (ANR-07-PANH-012). Les différents partenaires de ce projet sont la société HELION, l'Université De Corse, le CEA, l'INPT - LAPLACE et ARMINES. Les applications concernées par ce code, sont l'électrification de sites isolés, la gestion énergétique de micro-réseaux électriques et l'écrêtage de pointes de puissance sur un réseau électrique. La première application sera traitée via un démonstrateur qui sera installé à Cadarache début 2011, sur le site du CEA, celle-ci concerne l'alimentation d'un pylône météorologique. Cette application est labellisée par les pôles de compétitivité CAPENERGIES et TENERRDIS. La 2ème application concerne l'étude d'un micro-réseau sur le site de MAFATE (îlet de la Réunion). Cette étudie est en partenariat avec l'ARER. La dernière application, nommée projet MYRTE a été traitée à travers une plateforme technologique sur le site de Vignola (près d'Ajaccio) pour des modes de contrôle-commande répondant à de l'écrêtage de pointe et à du lissage de la production photovoltaïque. Cette plateforme est financée par la région, l'Etat et l'Europe (FEDER). Cette application a fait l'objet d'une labellisation par CAPENERGIES.

Les contributions que nous avons choisi de présenter dans ce mémoire ont trait en général à la commande, à la stabilité et à l'observation des systèmes dynamiques hybrides. Ce mémoire retrace le cheminement de mes recherches sur les dix dernières années au CRAN au sein du projet systèmes dynamiques hybrides et complexes mais également aux travers de projets et collaborations locales (CPER : projet SC2), nationales (GdR SDH, AS 192, ANR ArHyCo) et européennes (Hycon). L'extension du principe du minimum et l'établissement de conditions nécessaires pour la résolution d'un problème de commande optimale pour les SDH ont permis de soulever et de mettre en évidence des difficultés liées à la résolution de ce type de problème. Deux freins principaux à la mise en oeuvre d'algorithmes généraux efficaces ont été identifiés et proviennent d'une part, de l'explosion combinatoire engendrée par la dynamique discrète couplée aux dynamiques continues et d'autre part, de l'existence de trajectoires singulières conduisant nécessairement à des solutions sous optimales. Une discussion sur les méthodes de résolution directes et indirectes montre que même dans des situations simplifiées, l'existence de trajectoires singulières pose un réel problème et les algorithmes utilisant le principe du minimum sont inadaptés sans traitement particulier pour gérer ces situations. Nous montrons sur un exemple qu'il peut être préférable d'utiliser des méthodes directes sous une formulation de tirs multiples. Pour la classe des systèmes affines commutés qui représente une classe de systèmes technologiques très répandus, les points de fonctionnement rendent particulièrement évident le rôle joué par les trajectoires singulières. On constate qu'elles correspondent aux solutions optimales au sens de Fillipov du système commuté. Nous avons proposé une méthode permettant d'effectuer la synthèse de ces trajectoires optimales pour des critères de type temps optimal ou quadratique en temps infini applicable sur des systèmes de dimension faible et en général inférieure ou égale à 3. Une seconde méthode de synthèse à base de commande prédictive utilise les degrés de liberté sur la commande autour du point de fonctionnement pour poursuivre un cycle particulier défini par un critère. L' algorithme rapide d'optimisation des solutions tient compte des discontinuités issues des instants de commutations et utilise les fonctions de sensibilité vis à vis de ces instants. La généralisation aux SDH du calcul des fonctions de sensibilité lorsque le système hybride est le siège de discontinuités de champs et de saut sur l'état, est un résultat utile qui permet d'utiliser des outils nécessitant une différentiation. Le calcul rapide des cycles limites et l'étude de leur stabilité est une première application possible, l'optimisation est très clairement la cible principale. L'étude et l'analyse du comportement asymptotique des systèmes linéaires commutés via la formulation d'un principe d'invariance de Lasalle nous amène à un constat similaire à celui fait sur la commande optimale : Le comportement asymptotique est identique à celui que l'on obtient en considérant les solutions de Fillipov du système commuté. Nous avons montré en considérant plusieurs hypothèses sur les lois de commutation que la séparation est opérée si on restreint la loi de commutation en considérant par exemple des hypothèses fortes de temps d'activation minimum sur les modes. Ces résultats d'analyse sont primordiaux dans la compréhension de la complexité de la dynamique issue de la commutation. La synthèse d'observateurs commutés pour la classe des systèmes linéaires commutés que nous avons proposée, et l'identification algébrique des lois ne permettant pas d'observer le système ont été déduites du principe d'invariance mentionné à l'item précédent. La mise en évidence de la décroissance de la vitesse de convergence de l'erreur d'observation en fonction de la vitesse de commutation est une conséquence de cette caractérisation algébrique. Les travaux réalisés ont permis de soulever de très nombreux problèmes spécifiques à la classe des systèmes commutés (Robustesse vis à vis d'incertitudes paramétriques, extension au cas discret et échantillonné, synthèse de lois préservant l'observabilité, vitesse de convergence de l'observateur, ...) et de dégager des pistes de recherche concernant leur résolution.

Si l'interet et l'efficacite des methodes d'analyse statique par interpretation abstraite pour la verification des programmes critiques embarques ne sont plus a demontrer, il est maintenant necessaire d'obtenir des methodes les plus precises possibles. Si l'utilisation de domaines abstraits relationnels de plus en plus elabores permet de diminuer la surapproximation dont souffre les domaines les plus simples, les analyses actuelles souffrent toujours d'une mauvais prise en compte des entrees du programme. Ces entrees sont fournies par un capteur qui mesure une grandeur physique, et sont generalement surapproximees par un intervalle. Une piste d'etude recente pour mieux gerer ces entrees continues consiste a etudier, outre le programme lui-meme, l'environnement physique dans lequel il est execute. On obtient ainsi un systeme plus complexe comprenant une dynamique discrete (le programme) et une dynamique continue (l'environnement). L'etude de tels systemes hybrides repose actuellement essentiellement sur des extensions des automates a etats finis et des algebres de processus introduisant une dynamique continue. L'analyse de ces systemes par des techniques de model-checking souffre encore d'une explosion combinatoire excluant leur utilisation pour les logiciels embarques critiques les plus gros. La premiere contribution de cette these est une extension des langages de programmation imperatifs permettant de d´ecrire a la fois le programme, l'environnement exterieur et les interactions entre le programme et l'environnement. L'environnement physique est d´ecrit par un ensemble d'equations differentielles representant chacune un mode continu, et les interactions entre le programme et l'exterieur sont modelises par deux mots cles representant les capteurs et actionneurs. Nous donnons a l'ensemble (programme plus environnement physique) une semantique denotationnelle qui reste tres proche de celle definie pour les langages imperatifs classiques. La difficulte majeure dans la construction de cette semantique a ete de definir une semantique pour la partie continue : les solutions des equations diff´erentielles sont exprimees comme le plus petit point fixe d'un operateur monotone dans un CPO, et nous montrons que les iterees de Kleene convergent vers ce point fixe. La seconde contribution est une methode d'analyse statique par interpretation abstraite de ces systemes hybrides. Cette methode fonctionne en deux temps. Tout d'abord, sous certaines restrictions portant sur le programme a analyser, on construit un recouvrement de l'espace des variables d'entree via une analyse par intervalle couplee a une analyse d'atteignabilite en avant. On obtient ainsi une abstraction de l'impact qu'a le programme sur l'evolution continue : l'espace d'entree du programme est d´coupe en zones dans lesquelles on est sur qu'un actionneur sera active. Dans un deuxieme temps, nous utilisons ce recouvrement et une methode d'integration garantie des equations differentielles pour obtenir une surapproximation de l'evolution continue. Un analyseur prototype implementant ces techniques a ete developpe et les tests sur les exemples classiques de systemes hybrides montrent de bons resultats. Enfin, la troisieme contribution de cette these est une nouvelle methode d'integration garantie nommee GRKLib. Contrairement aux methodes existantes, GRKLib se fonde sur un schema d'integration numerique non garantie (nous avons choisi un schema de Runge-Kutta d'ordre 4, mais n'importe quelle autre convient) et nous calculons, en utilisant l'arithmetique d'intervalles, l'erreur globale commise lors de l'integration numerique. Cette erreur s'exprime comme la somme de trois termes : l'erreur sur un pas, la propagation de l'erreur et l'erreur due aux nombres flottants. Chaque terme est calcule separement et des techniques avancees permettent de les reduire et de controler au mieux le pas d'integration pour limiter l'accroissement de l'erreur globale. Une librairie C++ implementant ces concepts a ete developpee, et les resultats presentes dans cette these sont prometteurs.

Nous présentons un ensemble de méthodes pour la vérification et la commande de systèmes continus et hybrides, basées sur l'utilisation de trajectoires individuelles. Dans une première partie, nous précisons la classe des systèmes considérés et leurs propriétés. Nous partons de systèmes continus régis par des équations différentielles ordinaires auxquels nous ajoutons des entrées et des événements discrets, constituant ainsi une classe de systèmes dynamiques hybrides. La seconde partie est consacrée à la vérification de ces systèmes basée sur le calcul d'atteignabilité. Nous étudions comment un nombre fini de trajectoires peut couvrir l'ensemble infini des états atteignables du système. Nous montrons qu'en utilisant une analyse de la sensibilité aux conditions initiales, une sur-approximation de l'ensemble atteignable peut être obtenue. Nous en déduisons un algorithme qui, par une sélection hiérarchique des trajectoires, trouve rapidement un comportement mauvais ou prouve qu'il n'en existe aucun. La troisième partie concerne la commande optimale et se base sur des techniques de programmation dynamique approchée. Un coût est défini pour chaque trajectoire, et la commande minimisant ce coût se déduit d'une fonction valeur définie sur l'espace d'état et que nous représentons en utilisant un approximateur de fonction . Nous utilisons l'expérience fournie par des trajectoires tests pour améliorer cette approximation. Enfin, nous utilisons les résultats de la deuxième partie pour sélectionner ces trajectoires en cohérence avec les propriétés de généralisation locales de l'approximateur de fonction et en restreignant l'exploration de l'espace d'état pour limiter les calculs.

Dans le cadre de la vérification formelle de programmes, nous étudions des systèmes placés dans un environnement extérieur : il s'agit de guider ou contrôler le système pour qu'il satisfasse certaines propriétés. Pour modéliser l'écoulement du temps, nous nous intéressons aux systèmes hybrides et aux logiques temporisées. Nous étudions les systèmes hybrides o minimaux pondérés et établissons que ce modèle est expressif mais analysable puisque le model checking ainsi que le contrôle optimal sont décidables, ces problèmes étant indécidables pour les automates temporisés. Nous étudions également les logiques temporisées et montrons que la logique TPTL est strictement plus expressive que MTL, prouvant une conjecture énoncée par Alur et Henzinger au début des années 1990. Enfin nous introduisons une classe d'automates paramétrés par des opérateurs et obtenons des résultats génériques d'expressivité entre automates et logiques, qui peuvent notamment s'appliquer à MTL+Past.

Ce travail s'inscrit dans le domaine du diagnostic des systèmes hybrides et est basé sur l'utilisation d'un modèle. Il a pour objectif de diagnostiquer les fautes à partir de la connaissance structurelle, comportementale ou fonctionnelle du système en représentant ces connaissances (modèle du système) séparément de la connaissance sur la tâche de diagnostic. Les systèmes hybrides incluent à la fois des variables continues et discrètes. La dynamique continue est généralement fournie par des équations différentielles et algébriques alors que la partie discrète est modélisée par des automates ou des systèmes à transition. Le formalisme adopté dans ce travail pour modéliser ces systèmes s'appuie sur le modèle " Réseau de Petri Différentiel à Objet " (RdPDO) qui est intégré dans la plate forme de simulation PrODHyS (Process Object Dynamic Hybrid Simulator). Il possède l'avantage de prendre en compte le comportement hybride d'une part, en associant les variables continues aux jetons et d'autre part, en associant un système algébro-différentiel aux places permettant de faire évoluer les variables d'état continues. La méthodologie de diagnostic proposée s'effectue en deux étapes. La première étape consiste à détecter à l'aide d'une classification floue, des fautes qui présentent les mêmes symptômes - à partir d'une connaissance préalable des états de défaillance obtenue par apprentissage - afin de réduire les chemins ou les scénarios à explorer lors de la seconde phase. Cette dernière sert à diagnostiquer la faute parmi celles détectées à l'étape précédente en levant l'ambiguïté. Pour ce faire, deux raisonnements ont été suivis. Le premier, qualifié de raisonnement avant, consiste à former pour chaque faute incriminée, un critère d'écarts entre les mesures effectuées sur le système et celles émanant du modèle avec la faute simulée, sur une fenêtre temporelle et d'isoler ainsi la faute aboutissant au critère le plus faible. Le second raisonnement qualifié de raisonne ment arrière, effectue des calculs similaires mais sur l'évolution temporelle passée du système par une simulation arrière effectuée avec PrODHys, offrant la possibilité supplémentaire par rapport au premier raisonnement de remonter à l'instant de la défaillance. La méthodologie développée est illustrée sur un système hydraulique souvent utilisé comme " benchmark ". Comme nous ne disposons pas d'un système réel, celui-ci est simulé à l'aide d'un modèle de simulation de type RdPDO qui cette fois-ci contient les états de défaillances et des différences (bruits, erreurs de modélisation) par rapport au modèle utilisé pour le diagnostic.