Les technologies pour l'adaptation dynamique (composants, aspects, ...)<br />arrivent à maturité et permettent de modifier les applications durant leur<br />exécution. Si l'on considère que la sûreté de fonctionnement d'une<br />application est la propriété permettant aux utilisateurs d'un système de<br />placer une confiance justifiée dans le service qu'il leur délivre alors il<br />faut garantir lors d'une adaptation dynamique que cette propriété est<br />préservée. Autrement dit, une adaptation n'est pas "sûre" à partir du moment<br />où le service que fournit l'application après adaptation diverge du service<br />attendu par l'utilisateur.<br /><br />Actuellement, il n'existe pas de solution appropriée au problème de la<br />sûreté des adaptations dynamiques. En effet, un certain nombre de techniques<br />(typage, model-checking, ...) destinées à concevoir et implémenter les<br />systèmes informatiques de façon sûre peuvent être utilisées dans le cadre<br />des adaptations statiques mais pas directement pour valider des adaptations<br />dynamiques. De plus, la prise en charge de ces dernières doit tenir compte<br />du risque qu'une adaptation se produise à un moment inadéquat dans<br />l'exécution de l'application et implique de traiter les problèmes de sûreté<br />parallèlement à l'exécution de l'application sans perturbation. Bien que les<br />plates-formes permettant les adaptations dynamiques proposent des solutions,<br />il n'existe pas de consensus autour des vérifications à effectuer dans un<br />contexte dynamique. D'autre part, la mise en oeuvre de ces vérifications<br />reste souvent informelle ou à la charge du développeur d'applications.<br /><br />Nous proposons d'identifier la sûreté d'une adaptation indépendamment des<br />plates-formes, et de déterminer le moment où les modifications liées à une<br />adaptation peuvent être prises en compte de façon sûre dans l'exécution de<br />l'application. Cette approche est basée sur un modèle nommé Satin sur lequel<br />des propriétés de sûreté sont exprimées et validées. Le modèle Satin est mis<br />en oeuvre sous la forme d'un service de sûreté que les plates-formes peuvent<br />interroger pour déterminer si une adaptation donnée risque de briser la<br />sûreté de fonctionnement de l'application.

Ce travail s'intègre dans des problématiques actuelles cherchant à caractériser l'impact des activités humaines sur les écosystèmes. Le sol, et en particulier, les communautés microbiennes fonctionnelles, abordées simultanément en tant qu'actrices des bio-transformations et en tant que biodescriptrices de l'état fonctionnel du système, ont été l'objet d'étude de ce travail qui s'est articulé autour de deux questions majeures : - Il s'agissait de savoir si des communautés microbiennes du sol exerçant deux fonctions considérées comme représentatives du fonctionnement global (respiration et dénitrification) pouvaient, sur un sol minier revégétalisé, récupérer des performances similaires à celles d'un sol de forêt. Cette étude menée in situ en forêt guyanaise, sur une zone minière aurifère réhabilitée a montré une certaine réversibilité des activités microbiennes des sols observées lors d'une telle perturbation. En effet, malgré une texture extrêmement hétérogène, le sol, une fois replanté en légumineuses, retrouve un fonctionnement similaire à celui de la forêt. Les biodescripteurs utilisés (ratio respiration réelle/potentielle et dénitrification/ respiration) ont permis de caractérise les différences de fonctionnement le long de la séquence de reforestation. Ils se sont révélés pertinents pour décrire les sols en cours de reconstruction et de stabilisation. La valeur de ratio respiration réelle/potentielle dans un sol de forêt pourrait être considérée comme un indicateur de stabilité, spécifique du site et caractérisant l'état d'équilibre à atteindre. Enfin, en permettant de détecter des variations qualitatives de la matière organique des sols qui n'avaient pas été mises en évidence par le C/N, l'utilisation de l'analyse NIRS associée aux analyses d'activité enzymatiques microbiennes a permis de vérifier que la dynamique de reconstruction des sols avait été accélérée par la plantation. La seconde question majeure de ce travail était: quel est l'impact d'une première perturbation sur (i) la structure et le fonctionnement microbien du sol et sur (ii) la capacité du sol à résister à une seconde perturbation ? Pour y répondre, une expérience in vitro menée sur des microcosmes de sol subissant deux types de perturbations (mercure et chaleur) a été élaborée. Les résultats ont montré que la respiration et la dénitrification répondaient d'une manière différente avec, parallèlement, des modifications durables de la structure des communautés. La diversité génétique des communautés microbiennes du sol a été évaluée à l'aide d'une ARISA après une extraction directe de l'ADN du sol. Au préalable, une étude méthodologique avait permis d'évaluer les biais engendrés par différentes méthodes d'extraction de l'ADN et donc de choisir l'extraction directe de l'ADN. Le maintien, dans certains cas, des fonctions après perturbation (respiration inchangée après l'application du mercure; dénitrification importante malgré le choc de température) suggère une redondance fonctionnelle importante parmi les communautés microbiennes du sol. Pourtant l'application de mercure, semble induire une vulnérabilité plus importante des sols face à une autre perturbation (chaleur). Cette vulnérabilité se traduit par une modification du fonctionnement de la communauté hétérotrophe du sol (respiration potentielle) mais aussi par la quasi disparition de la dénitrification dans ces sols. Cela peut révéler une diminution de la stabilité des sols qui pourrait être due à la modification de diversité mise en évidence dès le début de l'expérience. L'ensemble des résultats posés au cours de ce travail doit être analysé au regard des concepts de maintien des cycles biogéochimiques et d'ingénierie écologique. Les expériences menées aussi bien sur la Mine Boulanger qu'en microcosmes ont permis de mettre en exergue la nécessité de définir des biodescripteurs pertinents, capables de décrire l'état du système mais aussi sa probable évolution. Les indicateurs microbiens fonctionnels utilisés semblent remplir cette fonction en étant capables de rendre compte de la "performance" du système, de sa possibilité à être réhabilité ou à résister aux perturbations

Les systèmes de la robotique de service, tels que les robots médicaux, permettent<br />de réaliser des tâches complexes en milieu humain, et s'intègrent à ce titre dans les systèmes à<br />sécurité critique. Lors de la conception de ces nouvelles applications, la sécurité est souvent<br />traitée grâce à des techniques de sûreté de fonctionnement. Nous proposons cependant une<br />nouvelle approche plus globale, basée sur la notion de risque. L'objectif de cette thèse est<br />de proposer une démarche aux concepteurs pour appréhender la sécurité de tels systèmes, en<br />intégrant le concept de risque et en se plaçant à un niveau système. La maîtrise de la sécurité<br />dépend alors de l'activité de gestion du risque dont le coeur est l'analyse du risque. Cette<br />activité centrale se décompose en trois étapes : la description du système et de son utilisation,<br />l'identification des dangers, et l'estimation des risques de dommages induits par l'utilisation<br />du système. Nous proposons d'utiliser la notation UML (Unified Modeling Language) pour la<br />description du système. Les modèles UML sont alors couplés avec des activités du domaine<br />des facteurs humains, incluses dans l'analyse du risque proposée. Puis, pour les deux étapes<br />suivantes, les interactions entre cette notation et des techniques d'analyse du risque comme<br />l'AMDEC (Analyse des Modes de Défaillance, et de leurs Effets Critiques) et les arbres de<br />fautes sont étudiées. Cette démarche est ensuite appliquée sur le cas concret du développement<br />d'un robot télé-échographe actionné par des muscles artificiels de McKibben.

L'introduction des systèmes embarqués dans l'automobile à commandes électriques (X-by-Wire) pose des problèmes nouveaux et spécifiques pour la tenue des exigences de sûreté de fonctionnement. En effet, ils sont dépourvus de la redondance mécanique (barre de direction, circuit hydraulique...) capable d'offrir un service minimum en cas de dysfonctionnement important de l'électronique. Ces systèmes largement distribués sont particulièrement sensibles aux perturbations d'ordre électromagnétique, et chaque faute transitoire peut éventuellement être la cause d'une défaillance catastrophique.<br />Dans ce contexte, le travail présenté ici est d'ordre méthodologique. En particulier, nous proposons une méthode de vérification des contraintes temps réel en mode nominal (mode non perturbé), et une méthode de prévision quantitative de fautes (mode perturbé) dont l'objectif est de mesurer l'influence des fautes transitoires liées à l'environnement et des performances temps réel du système sur la sûreté (probabilité d'occurrences de défaillances catastrophiques par zone perturbée) de ce même système. Nos travaux ont été appliqués sur les systèmes de direction Steer-by-Wire, mais les méthodes d'évaluation proposées sont génériques. Pour l'instant, seule des préconisations internes aux entreprises sont ciblées. Ainsi, une exigence dont la garantie devrait être prouvée est, par exemple : la probabilité de défaillance catastrophique doit être inférieure à 1.10-9 par heure de fonctionnement. Grâce à la méthode que nous avons développée, cette garantie sera alors complétée par l'évaluation de la fiabilité comportementale du système. Fournissant des résultats quantitatifs, cette technique permet de réaliser plusieurs études de sensitivité, comme, par exemple, l'influence de la durée du cycle de communication sur un protocole de communication de type TDMA (Time Division Multiple Access), l'influence de la diversification dans la redondance des sous-systèmes, ou encore l'influence d'un mécanisme de tolérance aux fautes proposé par TTP/C et FlexRay.

Le nombre croissant des systèmes électroniques embarqués dans le secteur automobile a considérablement amélioré et diversifié les services rendus par le véhicule. Ces systèmes sont appelés systèmes mécatroniques. Ils intègrent une partie énergétique (mécanique, hydraulique ou électrique) commandée et contrôlée par un calculateur. Leur principal atout est la flexibilité logicielle dont dispose le concepteur pour implémenter de nouvelles fonctions. Toutefois, ceci a contribué à accroître leur complexité et à en diminuer la maîtrise, d'où la nécessité d'effectuer des études de Sûreté de Fonctionnement afin de garantir un bon niveau de sécurité. Par ailleurs, mener de telles études dès la phase de conception permet de diminuer les délais et les coûts de conception en détectant et en corrigeant au plus tôt les erreurs de conception. Actuellement, les études de sécurité prévisionnelle des systèmes automobiles sont réalisées par la méthode des Arbres de Défaillance. Or cette méthode est statique et ne permet pas de prendre en compte les phénomènes temporels liés à leur dynamique de fonctionnement et à leur aspect hybride. C'est dans ce contexte que des recherches sont menées en collaboration entre le groupe PSA Peugeot Citroën et le LAAS visant à développer une méthodologie d'aide à la conception de systèmes mécatroniques sûrs de fonctionnement. Mon projet de thèse se focalise sur l'analyse qualitative de la sécurité des systèmes mécatroniques en vue de l'obtention des scénarios redoutés. La connaissance de ces scénarios permet d'évaluer leurs probabilités d'occurrence et de valider les lois de reconfiguration pour orienter le choix des concepteurs quant aux différents types d'architectures possibles proposés pour le système. Nous avons développé une méthode de recherche des scénarios redoutés basée sur la modélisation préalable d'un système mécatronique sous la forme d'un Réseau de Petri et d'un ensemble d'équations différentielles. Cette modélisation hybride présente l'avantage de séparer clairement les aspects discrets et continus. Ceci nous permet une analyse logique (fondée sur la logique Linéaire) des causalités résultant des changements d'états. Grâce à cette analyse, il est possible à partir d'un état redouté de remonter les chaînes de causalité et de mettre ainsi en évidence tous les scénarios possibles conduisant à une situation critique. Chaque scénario est donné sous la forme d'un ordre partiel entre les événements nécessaires à l'apparition de l'état redouté. L'originalité de notre approche est qu'elle n'implique pas une énumération brutale et globale de tous les états accessibles du système. Au contraire elle permet de se focaliser sur le voisinage de l'état redouté en faisant une énumération locale d'états partiels. Autrement dit, nous ne considérons que les états des composants directement impliqués dans l'apparition de l'état redouté. Nous avons enfin élaboré un algorithme automatisant la recherche des scénarios redoutés et nous l'avons appliqué sur deux exemples simples de systèmes mécatroniques.

En logique classique, la formalisation du fonctionnement des réseaux de Petri (RdP) se heurte à la pérennité de la vérité. En logique modale, elle impose la construction préalable du graphe des marquages accessibles. A contrario, la logique linéaire (LL) fondée par Girard permet de formaliser directement par des séquents prouvables purement propositionnels les relations d'accessibilité dans les RdP : toute transition apparaît comme une implication linéaire disponible ad libitum entre les propositions traduisant ses marquages d'entrée et de sortie. Pour approfondir cette formalisation, nous définissons comme primitives en LL les notions de ressource, d'action et de consommabilité/productibilité, analogues mais distinctes de celles de proposition, de déduction et de vérité/fausseté en logique classique. Nous développons une interprétation concrète pour tous les connecteurs linéaires en cohérence avec leurs propriétés syntaxiques. Nous présentons le connecteur « par » comme un opérateur de cumul disjoint d'exemplaires de ressources (dual du connecteur « fois » de cumul conjoint) et la négation linéaire « nil » comme un inverseur du sens du temps. Cette concrétisation montre les limites des formalisations existantes des RdP en LL ; nous les généralisons en traduisant chaque transition par une implication linéaire ordinaire, traitée comme une ressource périssable, dont tout exemplaire consommé correspond à une occurrence de franchissement. Ainsi, nous apportons une expression logique aux aspects primordiaux du fonctionnement des RdP : nous démontrons qu'une relation d'accessibilité par séquence de transitions équivaut à un séquent prouvable et que l'équation fondamentale est l'expression algébrique d'un corollaire du critère d'équilibrage en LL. Grâce à la combinatoire de tous les connecteurs linéaires, notre approche ouvre des perspectives d'analyse de relations complexes d'accessibilité comme celles de reprise après défa illance dans un système industriel.

Ces travaux portent sur les probabilités et la statistique appliquées à la sûreté de fonctionnement. Plus précisément, il s'agit d'une part de construire des modèles stochastiques du processus des défaillances et réparations de systèmes divers, et d'autre part de mettre en oeuvre des méthodes statistiques pour exploiter les données de défaillance dans le but d'évaluer et de prévoir la fiabilité de ces systèmes. Les résultats présentés concernent : la modélisation et l'évaluation de la fiabilité des logiciels, les tests d'adéquation aux modèles de croissance de fiabilité des systèmes réparables, la modélisation de l'influence d'un environnement aléatoire stressant sur la durée de vie des composants et systèmes, l'étude du vieillissement en temps discret, et l'évaluation de l'efficacité de la maintenance.

Ce travail vise une exploration et une évaluation de nouvelles variantes de topologies multiniveaux AC/DC non réversibles (PFC) du point de vue de leur sûreté de fonctionnement : recherche d'une grande sécurité électrique sur destruction interne et maintien d'une continuité de fonctionnement. Elles sont caractérisées par une connexion AC non différentielle, un partitionnement cellulaire en série et symétrique autour d'un point milieu. Cette organisation permet d'exploiter la redondance active série entre les cellules d'un même groupe et l'effet de ségrégation topologique qui apparaît entre les deux groupes de cellules. Les structures étudiées sont modulaires et peuvent être parallélisées et étendues à un nombre quelconque de phases. Elles ne possèdent que des cellules mono-transistors basse-tension (Si et SiC 600V max) performantes et intrinsèquement tolérantes aux imperfections de la commande et aux parasites donc naturellement sécurisées. Les comparaisons prenant en compte les pertes, la répartition des pertes, le dimensionnement et le report de contraintes sur défaut interne mettent en avant la structure PFC Double- Boost Flying Cap. à 5 Niveaux, brevetée en début de thèse, comme une solution ayant le meilleur compromis. Sur le plan théorique nous montrons que le seul calcul de la fiabilité basé uniquement sur un critère d'occurrence au premier défaut est inadapté pour décrire ce type de topologie. La prise en compte de la tolérance de panne est nécessaire et permet d'évaluer la fiabilité globalement sur une panne effective (i.e. au second défaut). L'adaptation de modèles théoriques de fiabilité à taux de défaillance constant mais prenant en compte, au niveau de leurs paramètres, le report de contrainte en tension et l'augmentation de température qui résulte d'un premier défaut, permet de chiffrer par intégration et en valeur relative, le gain obtenu sur un temps court. Ce résultat est compatible avec les systèmes embarqués et la maintenance conditionnelle. Un prototype monophasé à 5 niveaux, à commande entièrement numérique et à MLI optimisée reconfigurable en temps réel a été réalisé afin de valider l'étude. Il permet une adaptation automatique de la topologie de 5 à 4 puis à 3 niveaux par exemple. Ce prototype a également servi de banc de test d'endurance du mode de défaillance sur claquage - avalanche de transistors CoolMos™ et diodes SiC, volontairement détruits individuellement dans des conditions d'énergie maîtrisée et reproductibles, afin de prouver expérimentalement le maintien du service sur plusieurs centaines d'heures au prix d'un derating de 30% maximum en puissance seulement. La détection et le diagnostic rapide de défauts internes ont également été traités dans ce travail. D'une part, par la surveillance directe et le seuillage des tensions internes (tensions flottantes) et d'autre part, par une détection harmonique de la fréquence de base (amplitude et phase) en temps réel. Ces deux techniques ont été intégrées numériquement et évaluées sur le prototype, en particulier la seconde qui ne requiert qu'un seul capteur. VI Enfin, nous proposons dans ce travail une nouvelle variante PFC Vienna multicellulaire expérimentée en fin de mémoire, utilisant deux fois moins de transistors et de drivers pour les mêmes performances fréquentielles au prix d'un rendement et d'une répartition des pertes légèrement moins favorables que la structure brevetée.

Les travaux développés dans ce mémoire de thèse portent sur la contribution à une méthodologie de synthèse de lois de commande tolérante aux fautes garantissant la fiabilité des systèmes. Cette nouvelle méthodologie nécessite l'adaptation des différents outils de caractérisation de la fiabilité avec la théorie de la commande. L'intégration explicite de l'aspect charge dans les lois modélisant la fiabilité en ligne est considérée. Une première partie des travaux est consacrée à la reconfigurabilité des systèmes tolérants aux fautes. Une analyse de reconfigurabilité en présence de défauts basée sur la consommation d'énergie ainsi que des objectifs liés à la fiabilité globale du système sont proposés. Un indice de reconfigurabilité est proposé définissant les limites fonctionnelles d'un système commandé en ligne en fonction de la sévérité des défauts et de la dégradation des actionneurs en terme de fiabilité. Dans la deuxième partie, le problème d'allocation et ré-allocation de la commande est considéré. Des solutions sont développées tenant compte de l'état de dégradation et du vieillissement des actionneurs. Les entrées de commande sont attribuées au système en tenant compte de la fiabilité des actionneurs ainsi que les éventuels défauts. Des indicateurs de fiabilité sont proposés et intégrés dans la solution du problème d'allocation et ré-allocation de la commande. La dernière partie est entièrement consacrée à la synthèse d'une loi de commande tolérante aux fautes garantissant la fiabilité globale du système. Une procédure d'analyse de fiabilité des systèmes commandés en ligne est proposée en se basant sur une étude de sensibilité et de criticité des actionneurs. Ainsi, une méthode de commande tolérante aux fautes en tenant compte de la criticité des actionneurs est synthétisée sous une formulation LMI.

Dans cette thèse, une comparaison entre différentes topologies de machines a été tout d'abord réalisée. Deux machines électriques: Machine à Réluctance Variable (MRV) et Machine à Commutation de Flux (MCF) ont ensuite été choisies pour les études suivantes. Un modèle électromagnétique-thermiquement couplé est mis en ouvre pour ces deux structures. Ce modèle est basé sur une caractérisation préalable par la méthode des éléments finis (EF) 2D via le calcul du couple instantané, des deux composantes de l'induction magnétique (Br et Bθ) de chaque élément du maillage du rotor ainsi que du stator pour différentes densités des courants efficaces et pour différentes positions du rotor. Ces résultats sont ensuite utilisés dans les modèles analytiques de pertes permettant de calculer les pertes Joule et les pertes fer sur un cycle de fonctionnement. Des modèles thermiques transitoires basés sur un réseau de résistances thermiques et l'EF 2D sont réalisés, dans lesquels les pertes instantanées obtenues précédemment sont utilisées comme sources de chaleur pour le calcul des variations des températures dans différents composants d'une machine électrique sur cycle de fonctionnement. Un modèle de défaut couplé avec la thermique pour une MCF triphasée est aussi proposé. Les défauts étudiés dans cette thèse sont principalement dus au court-circuit: le court-circuit entre-spires d'une phase, le court-circuit entre-spires et entre-phase dans une MCF sans redondance, le court-circuit d'une phase ou de trois phases dans une MCF avec redondance. A l'aide de MATLAB/Simulink, les courants sains et les courants de court-circuit sont obtenus, et les pertes instantanées peuvent être calculées en utilisant la méthode mentionnée précédemment. De cette manière, le comportement thermique en cas de défauts peut être prévu. Enfin, des études de défauts pour une MCF hexa-phasée sans redondance sont présentées, et un convertisseur du type pont complet est utilisé pour alimenter la machine. Cela nous permet de contrôler indépendamment chaque phase en cas de défauts. Les défauts sont entre autres le circuit ouvert ou le court-circuit dans une ou plusieurs phases (jusqu'à trois). Certaines méthodes de correction telles que: l'augmentation de l'amplitude du courant dans les phases saines et / ou modifier leurs phases, sont proposées pour maintenir le couple électromagnétique tout en minimisant l'ondulation de couple. Les résultats analytiques et numériques ont montré la bonne efficacité des méthodes proposées, tant dans le cas de l'ouverture des phases que dans le cas d'un court-circuit.