Les activités de planification, et plus précisément l’ordonnancement, jouent un rôle majeur dans l’équilibre et l’efficience des systèmes de travail. L’ordonnancement est considéré comme un problème complexe ; et parmi les facteurs de complexité, l’incertitude représente une dimension centrale. Bien que de nombreux outils automatiques ou d’aide à la décision aient été conçus pour faciliter l’ordonnancement, la place de l’opérateur humain demeure primordiale. Paradoxalement, peu de travaux se sont intéressés à l’activité cognitive de l’ordonnanceur. Cette thèse de doctorat en ergonomie vise à étudier les processus cognitifs mis en œuvre par l’ordonnanceur, avec un intérêt particulier pour les stratégies de gestion de l’incertitude.Après la proposition d’une typologie des situations d’ordonnancement et d’une méthode d’analyse de l’activité, deux situations d’ordonnancement sous incertitude ont été étudiées : l’organisation des tournées dans le Transport Routier de Marchandises (TRM) et l’ordonnancement dans les Services de Soins Infirmiers à Domicile (SSIAD). Cette approche écologique a permis d’élaborer des modèles permettant de mieux appréhender les aspects humains de l’ordonnancement et de cerner les stratégies de gestion de l’incertitude. Des contributions à la fois théoriques, méthodologiques et pratiques seront issues de cette thèse. La combinaison de ces travaux permet d’enrichir la réflexion quant à l’optimisation de la collaboration Homme-Machine. / Planning processes, especially, scheduling play a major role in work systems stability and efficiency. Scheduling is regarded as a complex problem; among complexity factors, uncertainty represent a central dimension. Although numerous automated tools or decision support systems have already been designed to help operators schedule their activities. The part played by said operators remains primordial. Paradoxically, few researches were concerned by the cognitive activity of the scheduler. This PhD thesis in human factors aims at studying those cognitive processes, with a specific interest in uncertainty management strategies.After exposing a scheduling situations typology and a method for activity analysis, we presented two scheduling situations with high uncertainty factors to study: organization of rounds in Road Freight Transports (RFT) and scheduling in Visiting Nurse Agencies (VNAs). This ecological approach allowed for a better understanding of the human aspects of scheduling and the detection of uncertainty management strategies. This work contributes to widen the debate around the optimisation of Man-Machine collaboration.

La sécurité des systèmes de contrôle industriel est une préoccupation majeure. En effet, ces systèmes gèrent des installations qui jouent un rôle économique important. En outre, attaquer ces systèmes peut non seulement entraîner des pertes économiques, mais aussi menacer des vies humaines. Par conséquent, et comme ces systèmes dépendent des données collectées, il devient évident qu’en plus des exigences de temps réel, il est important de sécuriser les canaux de communication entre ces capteurs et les contrôleurs principaux. Ces problèmes sont plus difficiles à résoudre dans les réseaux de capteurs sans fil (WSN). Cette thèse a pour but d’aborder les questions de sécurité des WSN. Tout d’abord, nous effectuons une étude de sécurité approfondie du protocole WirelessHART. Ce dernier est le protocole leader pour les réseaux de capteurs sans fil industriels (WISN). Nous évaluons ses forces et soulignons ses faiblesses et ses limites. En particulier, nous décrivons deux vulnérabilités de sécurité dangereuses dans son schéma de communication et proposons des améliorations afin d’y remédier. Ensuite, nous présentons wIDS, un système de détection d’intrusion (IDS) multicouches qui se base sur les spécifications, spécialement développé pour les réseaux de capteurs sans fil industriels. L’IDS proposé vérifie la conformité de chaque action effectuée par un noeud sans fil sur la base d’un modèle formel du comportement normal attendu. / The security in Industrial Control Systems is a major concern. Indeed, these systems manage installations that play an important economical role. Furthermore, targeting these systems can lead not only to economical losses but can also threaten human lives. Therefore, and as these systems depend on sensing data, it becomes obvious that additionally to real-time requirement, it is important to secure communication channels between these sensors and the main controllers. These issues are more challenging inWireless Sensor Networks (WSN) as the use of wireless communications brings its own security weaknesses. This thesis aims to address WSN-based security issues. Firstly, we conduct an in-deep security study of the WirelessHART protocol. This latter is the leading protocol for Wireless Industrial Sensor Networks (WISN) and is the first international approved standard. We assess its strengths and emphasize its weaknesses and limitations. In particular, we describe two harmful security vulnerabilities in the communication scheme of WirelessHART and propose improvement in order to mitigate them. Secondly, we present wIDS, a multilayer specification based Intrusion Detection System (IDS) specially tailored for Wireless Industrial Sensor Networks. The proposed IDS checks the compliance of each action performed by a wireless node based on a formal model of the expected normal behavior.

La coopération est un aspect important dans les équipes de conception. L'ingénierie concourante a fait que les organisations industrielles évoluent d'une approche séquentielle à une approche intégrée pour réaliser ses processus de conception. Ainsi les processus de conception se réalisent de plus en plus à distance, où les concepteurs sont repartis dans des endroits différents. Pour étudier cette problématique, cette thèse analyse l'activité de conception à distance. En particulier elle s'attache à la caractérisation des activités de conception et à la modélisation du phénomène d'intercompréhension à travers des objets. A partir des résultats deux propositions sont faites : d'une part, un modèle d'activité qui prend en compte les aspects collectifs et cognitifs de la conception et d'autre part, un cadre pour l'analyse et le développement des outils pour l'assistance de l'activité collective de conception.

A ce jour, pour rendre compte du traitement de l'information visuo-spatiale, l'hypothèse dominante est celle du calepin visuo-spatial (Baddeley, 1986), qui renvoie aux modèles structuralistes de la mémoire. Cependant ces types de modèles postulant l'existence de plusieurs modules autonomes sont actuellement remis en question et les théories fonctionnelles récentes défendent l'idée d'un système mnésique unique. C'est dans cette perspective que se situe notre recherche qui s'organise autour de trois questions. La première consiste à définir les différents traitements visuo-spatiaux mis en œuvre lors de la manipulation d'informations visuo-spatiales. La seconde tente d'établir des profils comportementaux des traitements visuo-spatiaux caractéristiques du vieillissement normal et pathologique (Alzheimer). La troisième porte sur l'expression de la flexibilité cognitive chez des sujets âgés lors de la résolution du problème des blocs de Corsi (épreuve visuo-spatiale séquentielle). Deux expériences ont été réalisées dans lesquelles les participants (personnes âgées souffrant de maladie d'Alzheimer et personnes âgées contrôle) devaient résoudre la tâche des blocs de Corsi, dans sa version ordre direct (expérience 1) et dans ces versions ordre direct et indirect (expérience 2). Les données ont été exploitées en recourant à une méthodologie d'analyse de protocoles individuels permettant une analyse qualitative à un degré suffisamment fin des réponses des sujets. Dans la première expérience, nous nous sommes intéressée aux différentes erreurs rencontrées lors de la résolution de l'épreuve. Dans la seconde étude, nous avons étendu nos analyses aux traitements visuo-spatiaux inhérents à ces erreurs. Les résultats obtenus ont permis de définir cinq grands traitements visuo-spatiaux (le traitement vectoriel, vectoriel partiel, identité stricte, approximatif et mixte), de mettre en évidence des profils comportementaux concernant le traitement vectoriel partiel et identité stricte pour les sujets âgés sains lors de la condition indirecte et de montrer l'expression de flexibilité cognitive spontanée chez les sujets Alzheimer et sains lors des traitements visuo-spatiaux séquentiels. Nos analyses ont ainsi permis de proposer une approche différente du traitement de l'information visuo-spatiale en substituant le concept de traitement visuo-spatial à celui de calepin visuo-spatial ainsi que d'approfondir les connaissances de celui-ci aussi bien dans le vieillissement normal que pathologique (Alzheimer) en analysant les sujets en action.

La coopération est aujourd'hui un aspect important dans les équipes de conception. L'ingénierie concourante a conduit les organisations industrielles à évoluer d'une approche séquentielle vers une approche intégrée des processus de conception. Ainsi les processus de conception se déroulent de plus en plus à distance, et les concepteurs sont repartis dans des lieux différents. Pour étudier cette problématique, cette thèse analyse l'activité de conception collaborative à distance à travers des analyse de protocoles. En particulier elle s'attache à la caractérisation des activités de conception et à la modélisation du phénomène d'intercompréhension à travers des objets intermédiaires. A partir des résultats deux propositions sont faites : d'une part, un modèle d'activité qui prend en compte les aspects collectifs et cognitifs de la conception et d'autre part, un cadre pour l'analyse et le développement des outils pour l'assistance à l'activité collective de conception.

Pour rendre compte du traitement de l’information visuo-spatiale, l’hypothèse dominante est celle du calepin visuo-spatial (Baddeley, 1986). Cependant l’approche multi-systèmes est actuellement remise en question et les théories fonctionnelles défendent l’idée d’un système mnésique unique. C’est dans cette perspective que se situe notre recherche qui s’organise autour de trois questions. La première consiste à définir les traitements visuo-spatiaux mis en œuvre lors de la manipulation d’informations visuo-spatiales. La seconde tente d’établir des profils comportementaux des traitements visuo-spatiaux caractéristiques du vieillissement normal et pathologique (Alzheimer). La troisième porte sur l’expression de la flexibilité cognitive chez des sujets âgés lors de la résolution des blocs de Corsi.Deux expériences ont été réalisées dans lesquelles les participants (sujets Alzheimer et contrôles) devaient résoudre la tâche de Corsi, dans sa version ordre direct (expérience 1) et dans ces versions ordre direct et indirect (expérience 2). Les données ont été exploitées en recourant à une méthodologie d’analyse de protocoles individuels. Dans la première expérience, nous nous sommes intéressée aux erreurs rencontrées. Dans la seconde étude, nous avons étendu nos analyses aux traitements visuo-spatiaux inhérents à ces erreurs. Les résultats obtenus ont permis de définir cinq traitements visuo-spatiaux (vectoriel, vectoriel partiel, identité stricte, approximatif et mixte), de mettre en évidence des profils comportementaux concernant le traitement vectoriel partiel et identité stricte pour les sujets âgés sains lors de la condition indirecte et de montrer l’expression de flexibilité cognitive spontanée lors des traitements visuo-spatiaux séquentiels. Nos analyses ont ainsi permis de proposer une approche différente du traitement de l’information visuo-spatiale en substituant le concept de traitement visuo-spatial à celui de calepin visuo-spatial. / Currently, to account visuospatial information processing, the dominant hypothesis is that of the visuospatial sketchpad (Baddeley, 1896). However, such models postulating the existence of several independent modules are being questioned and recent functional theories defend a single memory system. Our research therefore is organized in this perspective around three questions.The first one aim to define the different visuospatial processing when visuospatial information is needed. The second one is to attempt to establish behavioral profiles of the visuospatial processing by normal ageing people and pathological one (Alzheimer). The third question is to express the cognitive flexibility of elderly patients when solving the Corsi block-tapping task.Two experiments were conducted where participants (seniors affected by Alzheimer’s disease ‘AD’ and a control group of elderly) had to solve the Corsi block-tapping task, in the direct condition (experiment 1) and in the direct and indirect conditions (experiment 2). The data were analyzed using the methodology of individual protocols analysis. In the first experiment, we examined different errors encountered during the resolution of the task. In the second research we extended our analysis to visuospatial processing associated with these errors.We identified five major visuospatial processing: “the vector processing”, “partially vectorial”, “strict identity”, “approximate identity” and “mixed”, to highlight behavioral profiles on the ‘partially vectorial’ processing and ‘strict identity’ to the healthy elderly subjects in the indirect condition and show the expression of spontaneous flexibility in AD patients and normal subjects. Our analysis allowed us to propose a different approach that improve knowledge about both normal and pathological (here Alzheimer’s disease) ageing. Analyzing the subjects in action, conducts to speak in terms of visuospatial processing rather than visuospatial sketchpad.

Est-il possible de démontrer un théorème prouvant que l’accès aux données confidentielles d’un utilisateur d’un service Web (tel que GMail) nécessite la connaissance de son mot de passe, en supposant certaines hypothèses sur ce qu’un attaquant est incapable de faire (par exemple, casser des primitives cryptographiques ou accéder directement aux bases de données de Google), sans toutefois le restreindre au point d’exclure des attaques possibles en pratique?Il existe plusieurs facteurs spécifiques aux protocoles du Web qui rendent impossible une application directe des méthodes et outils existants issus du domaine de l’analyse des protocoles cryptographiques.Tout d’abord, les capacités d’un attaquant sur le Web vont largement au-delà de la simple manipulation des messages échangés entre le client et le serveur sur le réseau. Par exemple, il est tout à fait possible (et même fréquent en pratique) que l’utilisateur ait dans son navigateur un onglet contenant un site contrôlé par l’adversaire pendant qu’il se connecte à sa messagerie (par exemple, via une bannière publicitaire) ; cet onglet est, comme n’importe quel autre site, capable de provoquer l’envoi de requêtes arbitraires vers le serveur de GMail, bien que la politique d’isolation des pages du navigateur empêche la lecture directe de la réponse à ces requêtes. De plus, la procédure pour se connecter à GMail implique un empilement complexe de protocoles : tout d’abord, un canal chiffré, et dont le serveur est authentifié, est établi avec le protocole TLS ; puis, une session HTTP est créée en utilisant un cookie ; enfin, le navigateur exécute le code JavaScript retourné par le client, qui se charge de demander son mot de passe à l’utilisateur.Enfin, même en imaginant que la conception de ce système soit sûre, il suffit d’une erreur minime de programmation (par exemple, une simple instruction goto mal placée) pour que la sécurité de l’ensemble de l’édifice s’effondre.Le but de cette thèse est de bâtir un ensemble d’outils et de librairies permettant de programmer et d’analyser formellement de manière compositionelle la sécurité d’applicationsWeb confrontées à un modère plausible des capacités actuelles d’un attaquant sur le Web. Dans cette optique, nous étudions la conception des divers protocoles utilisés à chaque niveau de l’infrastructure du Web (TLS, X.509, HTTP, HTML, JavaScript) et évaluons leurs compositions respectives. Nous nous intéressons aussi aux implémentations existantes et en créons de nouvelles que nous prouvons correctes afin de servir de référence lors de comparaisons. Nos travaux mettent au jour un grand nombre de vulnérabilités aussi bien dans les protocoles que dans leurs implémentations, ainsi que dans les navigateurs, serveurs, et sites internet ; plusieurs de ces failles ont été reconnues d’importance critiques. Enfin, ces découvertes ont eu une influence sur les versions actuelles et futures du protocole TLS. / As ever more private user data gets stored on the Web, ensuring proper protection of this data (in particular when it transits through untrusted networks, or when it is accessed by the user from her browser) becomes increasingly critical. However, in order to formally prove that, for instance, email from GMail can only be accessed by knowing the user’s password, assuming some reasonable set of assumptions about what an attacker cannot do (e.g. he cannot break AES encryption), one must precisely understand the security properties of many complex protocols and standards (including DNS, TLS, X.509, HTTP, HTML,JavaScript), and more importantly, the composite security goals of the complete Web stack.In addition to this compositional security challenge, onemust account for the powerful additional attacker capabilities that are specific to the Web, besides the usual tampering of network messages. For instance, a user may browse a malicious pages while keeping an active GMail session in a tab; this page is allowed to trigger arbitrary, implicitly authenticated requests to GMail using JavaScript (even though the isolation policy of the browser may prevent it from reading the response). An attacker may also inject himself into honest page (for instance, as a malicious advertising script, or exploiting a data sanitization flaw), get the user to click bad links, or try to impersonate other pages.Besides the attacker, the protocols and applications are themselves a lot more complex than typical examples from the protocol analysis literature. Logging into GMail already requires multiple TLS sessions and HTTP requests between (at least) three principals, representing dozens of atomic messages. Hence, ad hoc models and hand written proofs do not scale to the complexity of Web protocols, mandating the use of advanced verification automation and modeling tools.Lastly, even assuming that the design of GMail is indeed secure against such an attacker, any single programming bug may completely undermine the security of the whole system. Therefore, in addition to modeling protocols based on their specification, it is necessary to evaluate implementations in order to achieve practical security.The goal of this thesis is to develop new tools and methods that can serve as the foundation towards an extensive compositional Web security analysis framework that could be used to implement and formally verify applications against a reasonably extensive model of attacker capabilities on the Web. To this end, we investigate the design of Web protocols at various levels (TLS, HTTP, HTML, JavaScript) and evaluate their composition using a broad range of formal methods, including symbolic protocol models, type systems, model extraction, and type-based program verification. We also analyze current implementations and develop some new verified versions to run tests against. We uncover a broad range of vulnerabilities in protocols and their implementations, and propose countermeasures that we formally verify, some of which have been implemented in browsers and by various websites. For instance, the Triple Handshake attack we discovered required a protocol fix (RFC 7627), and influenced the design of the new version 1.3 of the TLS protocol.