L'adaptation en-ligne du logiciel de tolérance aux fautes permet de renforce la sûreté de fonctionnement du système et prenant en compte son environnement. L’adaptation nécessite de nouvelles techniques de conception. Ces travaux visent à comprendre et maîtriser l'impact des modifications du logiciel de tolérance aux fautes en opération sur les fonctionnalités du système, pour en maîtriser les effets de bords. L’approche proposée introduit une architecture réflexive à composants et une modélisation du logiciel. Un modèle structurel du logiciel permet de calculer et appliquer les modifications du contenu du logiciel. Un modèle comportemental décrit les observations attendues en fonctionnement. Il permet de déterminer les états permettant d’appliquer les modifications, d’amener et de maintenir le système dans ces états. Ces travaux montrent que, grâce aux capacités de manipulation et de contrôle en ligne du logiciel, la modification des mécanismes de tolérance aux fautes peut être réalisée en ligne de manière maîtrisée. / On-line fault tolerance adaptation aims at enforcing system dependability by taking into account operational conditions and environment. Adapting the system requires new design techniques. This work aims at understanding and mastering the impact of such software modification in operation, especially regarding side effects on functionalities and dependability properties. Our approach relies on a reflective architecture based on components and models of the software that reflects on the one hand the content of the software in terms of state and algorithms (architectural model) and on the other hand the expected correct behaviour (behavioural model). The first one is used to determine the modifications and apply them at runtime, and the second one is used to drive the system in a state in which modifications can be done consistently, and maintain the system in such a state. We show that; thanks to manipulation capabilities and execution control, we can master the modification of fault tolerance software and ensure correctness properties.

Une grille de calcul regroupe un très grand nombre de ressources de calcul hétérogènes, pouvant appartenir à différents domaines d'administration. Les grille sont attractives car elles peuvent fournir à leurs utilisateurs les ressources nécessaires à l'exécution d'applications de calcul scientifique. Cependant exécuter une application sur la grille est une tâche difficile car la fréquence des défaillances matérielles y est élevés. Pour assurer l'exécution fiable d'applications distribuées dans les grilles de calcul, nous proposons tout d'abord un service de recouvrement arrière assurant le redémarrage automatique des applications défaillantes. Nous proposons ensuite une solution assurant la haute disponibilité et l'auto-réparation de services de grille. Enfin nous proposons un protocole de recouvrement arrière pour application à échange de messages passant à l'échelle.

Avec l'accroissement de la complexité des traitements effectués à bord des véhicules spatiaux et l'utilisation de circuits de plus en plus intégrés, le phénomène d'upset devient de plus en plus critique. En effet, ce phénomène se traduit par le basculement intempestif du contenu d'un point mémoire suite à l'impact d'une particule lourde dans des zones sensibles du circuit. Ses conséquences sont parfois fatales et peuvent conduire à la perte voire à la destruction de l'engin sur lequel il a eu lieu. Les réseaux de neurones artificiels constituent une nouvelle approche de traitement de l'information. Ils offrent des solutions compactes et rapides pour une large gamme de problèmes, en particulier ceux ayant des contraintes temps réel tel le cas de la plupart des applications spatiales actuelles. Ceci est davantage vrai avec l'utilisation des émulations et des implantations matérielle. Parmi les propriétés importantes des réseaux de neurones, on peut citer leur tolérance aux fautes qui mesure leur aptitude à exécuter la tâche qui leur est demandée en présence d'informations erronées et de maintenir leur capacité de calcul même si une partie du réseau est endommagée. L'objectif de cette thèse est d'étudier la tolérance aux fautes des réseaux de neurones face aux fautes de type upset et ceci en vue d'étudier la possibilité de leur utilisation, sous forme matérielle, dans un environnement radiatif tel que l'espace, le but étant de choisir parmi des circuits candidats, ceux qui sont acceptés (ou rejetés) pour des applications spatiales. Pour ce faire, plusieurs réseaux et plusieurs circuits ont été testés. Les expériences réalisées étaient de type simulation logicielle d'erreurs, injection matérielle de fautes et tests aux ions lourds. Les résultats obtenus montrent que les réseaux de neurones artificiels sont tolérants aux fautes de type upsets ce qui en fait un bon candidat pour les applications s'exécutant à bord des engins spatiaux.

La programmation synchrone est utilisée pour faciliter la description des systèmes réactifs, devant réagir de façon continue avec leur environnement physique. Ces systèmes sont souvent répartis, pour des raisons d'implantation physique ou de tolérance aux fautes. D'autre part, de tels systèmes sont aussi critiques et temps-réel. Le but de ce travail est d'étudier des méthodologies d'implantation de tels systèmes sur des réseaux de calculateurs. Nous montrons comment l'application de la programmation synchrone pose des problèmes de robustesse pour la programmation de tels systèmes en raison de la non correspondance du temps logique au temps réel. Nous étudions la robustesse dans divers cas: systèmes continus et systèmes discrets. En particulier nous fournissons des outils de simulation pour des architectures réparties quasi-synchrones et des outils de vérification de la robustesse. Nous proposons aussi un protocole de synchronisation dans les cas de systèmes non robustes. Nous proposons enfin une approche de tolérance aux fautes pour les systèmes répartis quasi-synchrones.

Les applications scientifiques d'aujourd'hui, telles les simulations de grands phénomènes naturels, requièrent une grande puissance de calcul ainsi qu'une importante capacité de stockage. Les grilles de calcul apparaissent comme une solution permettant d'atteindre cette puissance par la mise en commun de ressources de différentes organisations. Ces architectures présentent en revanche des caractéristiques rendant leur programmation complexe: elles sont dynamiques, hétérogènes, réparties à grande échelle. Cette thèse s'intéresse aux problématiques liées à la conception d'un service de partage de données pour les grilles de calcul. L'objectif est de permettre un accès transparent aux données, en automatisant la localisation, le transfert, la gestion de la persistance et de la cohérence des données partagées. Nous nous sommes plus particulièrement concentrés sur la gestion de la cohérence et de la persistance des données en environnement dynamique. Dans un tel contexte, assurer la persistance nécessite la mise en place de mécanismes de tolérance aux fautes. Nous proposons une approche pour gérer conjointement ces deux aspects via une architecture logicielle multiprotocole permettant de coupler différents protocoles de cohérence avec différents mécanismes de tolérance aux fautes. Nous proposons une conception hiérarchique de cette architecture, adaptée à la topologie réseau des grilles de calcul. Ces contributions ont été mises en oeuvre au sein du service de partage de données pour grilles JUXMEM. Les expérimentations menées sur la grille expérimentale Grid'5000 montrent que notre conception hiérarchique permet d'améliorer les performances des accès aux données partagées.

Ce manuscrit décrit les travaux de recherche que nous avons mené pendant les six dernières années sur le thème du partage transparent des données réparties à grande échelle. L'infrastructure visée a été celle des grilles de calcul. Notre objectif a été de répondre à la question: comment serait-il possible de construire un système fournissant un modèle transparent d'accès aux données, tout en tenant compte des contraintes spécifiques aux infrastructures physiques utilisées (architecture hiérarchique, distribution à grande échelle, volatilité, tolérance aux défaillances, etc.)? En réponse à ce défi, nous avons proposé le concept de service de partage de données pour grilles, pour lequel nous avons défini une spécification, une architecture et une mise en oeuvre. Ce travail se situe à la frontière de plusieurs domaines: systèmes à mémoire virtuellement partagée, systèmes pair-à-pair, systèmes tolérants aux fautes. En nous appuyant sur des résultats déjà existants qui proposaient des solutions partielles à notre problème, notre approche a consisté à étendre, adapter et coupler ces solutions partielles et à rajouter les "briques" manquantes, afin de construire une solution globale, plus complexe, mais qui satisfasse l'ensemble des propriétés recherchées. Un résultat issu de cette approche est la notion de groupe hiérarchique auto-organisant, qui combine des protocoles de cohérence issus des systèmes à mémoire virtuellement partagée avec des protocoles de gestion de groupe tolérants aux fautes. Sur cette notion repose notre approche pour la définition de protocoles de cohérence tolérants aux fautes, adaptés aux grilles. Nous avons attaché une importance particulière à la validation expérimentale} de notre proposition par une mise en oeuvre et par une évaluation sur des plates-formes réelles à travers des prototypes expérimentaux. Ceci nous a permis de réaliser des expériences multisites en grandeur nature sur la plate-forme Grid'5000, avec l'objectif d'évaluer les bénéfices apportés par notre service de partage de données aux environnements de calcul réparti sur grille. A cet effet, nous avons évalué la capacité de JuxMem à s'intégrer avec plusieurs modèles de programmation pour grille d'une part (GridRPC, modèles à base de composants) et avec d'autres technologies de stockage d'autre part (Gfarm, ASSIST). Cette intégration a été réalisée en collaboration avec des équipes françaises, telles que les équipes-projets REGAL et GRAAL de l'INRIA, mais aussi avec des équipes étrangères des universités de Pise et de Calabre en Italie, d'Illinois/Urbana-Champaign aux Etats-Unis et de Tsukuba au Japon. Enfin, nous avons travaillé en étroite concertation avec l'équipe JXTA de Sun Microsystems (Santa Clara, Etats-Unis), qui a soutenu nos efforts à travers un contrat de collaboration industrielle.

Depuis l'A380 et avec l'introduction du standard ARINC 661, les systèmes d'affichage et de contrôle des cockpits sont passés d'un rôle de simple afficheur, à celui d'un système interactif permettant à l'équipage d'interagir sur les écrans grâce à l'utilisation d'un ensemble clavier/dispositif de pointage appelé KCCU. L'utilisation de cette nouvelle capacité d'interaction est à ce jour limitée à des interactions avec des systèmes avions non critiques. Pour envisager son extension à des systèmes critiques il faut se poser la question du respect d'exigences de sureté de fonctionnement imposées à de tels systèmes sans pour autant diminuer son niveau d'utilisabilité. Dans cette optique, nous proposons dans le cadre de nos travaux de recherche, différentes approches pour contribuer au développement d'un tel système interactif critique. La première approche est de tendre vers une conception zéro défaut, en réalisant une description précise et non ambigüe des composants logiciels du système interactif en utilisant une technique de description formelle. La seconde approche est l'utilisation de techniques de tolérance aux fautes car il existe toujours des fautes résiduelles de conception, des fautes matérielles ou venant de l'environnement. Dans ce cas, l'utilisation de technique de tolérance aux fautes permet au système de continuer à remplir ses fonctions en dépit de l'occurrence de fautes. La troisième approche est l'explicitation de l'impact des différentes approches de tolérance aux fautes sur l'utilisabilité du système interactif. Cette explicitation est faite au travers de la réalisation et de l'analyse des modèles de tâche, décrivant l'activité de l'utilisateur du système.

La surveillance en-ligne d'un système industriel a pour objectifs de détecter tout dysfonctionnement du procédé, de localiser le ou les éléments défaillants et de déterminer la ou les causes de défaillances. Ces informations sur l'état du système peuvent alors être transmises aux opérateurs qui peuvent agir en conséquence et/ou être utilisées pour modifier, reconfigurer la commande voire le système lui-même ou sa mission. Dans ce mémoire, je présente une synthèse scientifique de mes contributions dans ce vaste domaine de recherche. <br />Toutes les méthodes de surveillance reposent sur la redondance d'information disponible sur le système. L'approche dite « à base de modèle » consiste à vérifier la cohérence des mesures effectuées en-ligne sur l'installation avec un modèle comportemental de celle-ci sous certaines hypothèses de fonctionnement. La première étape consiste à générer un ensemble de signaux indicateurs appelés communément « résidus ». Deux catégories de méthodes sont classiquement utilisées pour générer ces résidus : la méthode à base de Relations de Redondance Analytique et les méthodes à base d'observateurs. Ces méthodes, qui ont été récemment étendues au cas des modèles non-linéaires, présentent chacune des avantages et des inconvénients suivant le type de système (de modèle) considéré et les contraintes imposées pour l'implémentation des algorithmes. Ces travaux, initialement destinés à la surveillance des systèmes continus (ou discrétisés) ont été récemment adaptés et complétés pour traiter le problème de la surveillance des Systèmes Dynamiques Hybrides. Lorsque le système considéré est complexe, c'est à dire lorsque les éléments physiques ou composants qui le constituent sont nombreux, un pré-traitement structurel du modèle peut permettre de déterminer les conditions nécessaires de « surveillabilité » du système. L'analyse structurelle est un outil puissant qui ne nécessite pas la connaissance explicite des équations du modèle. Elle permet cependant de déterminer les sous-systèmes sur lesquels des algorithmes plus sophistiqués de surveillance peuvent être implantés.<br />La surveillance n'est qu'un module d'un processus complet permettant à une installation de fonctionner en respectant des critères de sécurité, de productivité et de qualité même en présence de défaillance. La commande du système peut être conçue de manière à utiliser les informations fournies par le module de surveillance. On parle alors de « commande tolérante aux défaillances »<br />Une réflexion sur les perspectives de recherche est exposée tout au long du manuscrit suivant le thème traité. Ces perspectives sont complétées à la fin du document par quelques orientations de recherche plus générales.

Dans cette thèse, nous nous sommes intéressés au concept de stabilisation instantanée. Ainsi, nous avons tout d'abord proposé deux solutions instantanément stabilisantes au problème de parcours en profondeur pour des réseaux enracinés quelconques. Ces deux protocoles sont écrits dans le modèle à états et fonctionnent sous l'hypothèse d'un démon distribué inéquitable : le démon le plus général du modèle. Le premier est basé sur des listes d'identités. Le second utilise un principe de question/réponse pour remplacer les listes d'identités. Nous proposons ensuite deux applications instantanément stabilisantes obtenues à partir de nos deux protocoles de parcours en profondeur. Ces deux applications évaluent des propriétés globales sur le réseau. La première application permet de marquer les points d'articulation et les isthmes du réseau. La seconde application permet d'évaluer si un ensemble donné est un ensemble séparateur du réseau. Enfin, dans une dernière partie, nous adoptons une approche plus générale en étudiant un protocole efficace permettant de transformer semi-automatiquement des protocoles de service mono-initiateurs en protocoles instantanément stabilisants. Un protocole de parcours en profondeur et un protocole de construction d'arbre en largeur illustrent la facilité avec laquelle nous pouvons rendre instantanément stabilisants ce type protocole grâce à notre transformateur. Le protocole de parcours en profondeur est non seulement trivial à écrire mais les performances obtenues en font un compromis quasi idéal entre les protocoles à listes et à questions présentés précédemment. Enfin, grâce à une propriété de comptage due à notre transformateur, nous montrerons comment utiliser ce protocole de parcours pour résoudre en quelques lignes l'exclusion mutuelle de manière instantanément stabilisante.

Dans ce travail, on s'intéresse aux problèmes de localisation et de classification des capteurs pour des propriétés de commande et d'observation de systèmes dynamiques. Lorsqu'une propriété considérée du système n'est pas vérifiée avec l'ensemble des capteurs initiaux, on cherche à implanter de nouveaux capteurs pour rendre cette propriété vraie. Lorsqu'une propriété du système est vérifiée avec l'ensemble des capteurs existants, on classe ces capteurs en différentes catégories en fonction de leur importance pour la préservation de cette propriété. On détermine les capteurs essentiels dont la défaillance fait perdre la propriété considérée et les capteurs inutiles qui peuvent tomber en panne sans aucun impact sur la propriété. Pour étudier ces deux problèmes, on utilise l'approche des systèmes linéaires structurés avec les graphes orientés associés. Les systèmes linéaires structurés sont une classe particulière de systèmes linéaires où les éléments des matrices d'état sont soit fixés à zéro soit des paramètres libres. Avec cette approche structurée, on étudie les problèmes de localisation et de classification des capteurs pour le rejet de perturbation par retour de mesure et la détection et localisation de défauts. Les résultats sont représentés en termes graphiques. Mots-Clés:Systèmes linéaires structurés ; Analyse structurelle ; Localisation de capteurs ; Classification de capteurs ; Rejet de perturbation; Détection et localisation de défaut.