Nos travaux se situent au croisement de trois domaines : la sûreté de fonctionnement, l'analysefonctionnelle et l'ingénierie des modèles. Dans l'objectif d'assister les analyses préliminaires desrisques, nous avons proposé d'exploiter les modèles issus de l'analyse fonctionnelle de l'avion. Cesmodèles décrivent les dépendances entre les fonctions qui doivent être réalisées durant une phasede vol. Pour exploiter ces modèles, nous avons introduit la notion d'efficacité qui mesure ledegré de contribution d'une fonction à la réalisation nominale d'une phase de vol. Cette notionest utile pour les analyses de risques car elle permet de formaliser divers cas dedysfonctionnements des fonctions et pour évaluer le niveau de dégradation d'une phase de vol encas de dysfonctionnement d'une ou plusieurs fonctions. Nous avons proposé d'annoter les modèlesissus de l'analyse fonctionnelle avec des informations relatives à l'efficacité des fonctions et à leursdysfonctionnements possibles. En suivant les principes de la transformation de modèles, nousavons étudié les moyens de produire le plus automatiquement possible des modèles utiles auxanalyses de risques à partir des modèles annotés. Les modèles produits sont décrits avec lelangage AltaRica, ils peuvent être analysés avec les outils associés à ce langage afin d'évaluerl'effet du dysfonctionnement de fonctions de l'avion ou de rechercher les combinaisons dedysfonctionnements les plus critiques. L'approche proposée a été appliquée pour analyser lesrisques associés aux fonctions utiles lors du décollage d'un avion.

Nos travaux se situent au croisement de trois domaines : la sûreté de fonctionnement, l'analysefonctionnelle et l'ingénierie des modèles. Dans l'objectif d'assister les analyses préliminaires desrisques, nous avons proposé d'exploiter les modèles issus de l'analyse fonctionnelle de l'avion. Cesmodèles décrivent les dépendances entre les fonctions qui doivent être réalisées durant une phasede vol. Pour exploiter ces modèles, nous avons introduit la notion d'efficacité qui mesure ledegré de contribution d'une fonction à la réalisation nominale d'une phase de vol. Cette notionest utile pour les analyses de risques car elle permet de formaliser divers cas dedysfonctionnements des fonctions et pour évaluer le niveau de dégradation d'une phase de vol encas de dysfonctionnement d'une ou plusieurs fonctions. Nous avons proposé d'annoter les modèlesissus de l'analyse fonctionnelle avec des informations relatives à l'efficacité des fonctions et à leursdysfonctionnements possibles. En suivant les principes de la transformation de modèles, nousavons étudié les moyens de produire le plus automatiquement possible des modèles utiles auxanalyses de risques à partir des modèles annotés. Les modèles produits sont décrits avec lelangage AltaRica, ils peuvent être analysés avec les outils associés à ce langage afin d'évaluerl'effet du dysfonctionnement de fonctions de l'avion ou de rechercher les combinaisons dedysfonctionnements les plus critiques. L'approche proposée a été appliquée pour analyser lesrisques associés aux fonctions utiles lors du décollage d'un avion. / Our work links three domains: safety, functional analysis and model based engineering. In orderto assist preliminary risk analysis, we have proposed to exploit models developed for functionalanalysis. These models describe dependencies between functions that have to be performed duringa flight phase. To exploit these models, we have introduced the notion of efficiency thatmeasures the degree of contribution of a function to the nominal realisation of a flight phase.This notion is useful for risk analysis because it enables the formalisation of various cases offunction failures and the evaluation of the level of degradation of a flight phase in case offunction failures. We have proposed to annotate functional analysis models with informationrelated with function efficiency and potential function failures. Following the principles of modeltransformation, we have studied the means to produce as automatically as possible models thatcould be used to support risk analysis starting from annotated models. Produced models aredescribed with the AltaRica language, they can be analysed with the tools associated with thislanguage in order to evaluate the effect of function failures or to search for the most criticalcombinations of failures. The approach was applied in order to analyse the risks associated withthe functions used during an aircraft take-off.

L'Ingénierie Système (IS) est une méthodologie pluridisciplinaire de conception et de mise en oeuvre des systèmes complexes. La maîtrise de la Sûreté de Fonctionnement est un processus essentiel de l'IS et, dans sa poursuite, le recours à des méthodes formelles telles que le model checking se heurte généralement à des diffcultés d'utilisation. Dans cette thèse Cifre, effectuée en collaboration avec l'IRCCyN et Sodius, nous avons cherché à concevoir un outil de vérification formelle d'architectures fonctionnelles qui soit immédiatement utilisable dans des démarches de conception d'IS. Dans ce but, nous transformons des modèles et des propriétés comportementales haut niveau vers des équivalents bas niveau sur lesquels sont effectuées les vérifications formelles, le résultat étant présenté en termes haut niveau. Plus particulièrement, nous avons choisi comme modèles d'entrée les diagrammes EFFBDs : ils constituent un outil de modélisation largement utilisé en IS et adapté aux contraintes du model checking. Nous en avons établi la syntaxe et la sémantique formelles ; nous avons alors pu décrire une transformation vers les réseaux de Petri temporels (TPNs) dont nous avons prouvé qu'elle préserve le comportement temporel des modèles. Parallèlement, nous avons décrit une logique temporelle quantitative adaptée aux EFFBDs et sa traduction vers une logique correspondante sur les TPNs; nous avons alors pu établir la complexité de son model checking. Ces différents résultats théoriques nous ont ensuite permis de réaliser un outil de simulation enfin de vérification d'architectures fonctionnelles et dysfonctionnelles (c.-à-d. modélisant des fonctions défaillantes), déployé et utilisé industriellement.