Cette thèse étudie la notion de sceau authentique au Moyen Âge. Elle aspire à proposer une définition du sceau à travers la lecture des lois et commentaires médiévaux. Ce travail nous permet de considérer qu’un acte scellé d’un sceau authentique était avant toute autre chose un instrument au service du pouvoir et des justiciables. Pour être reconnu comme authentique, le sceau devait répondre à un ensemble de conditions. Il devait donc : respecter un ensemble de formalités ; avoir été reçu, rédigé et vérifié par des agents compétents et avoir donné lieu au paiement d’une taxe sans laquelle l’acte n’aurait pu être authentique puisque d’une part il n’aurait pas été scellé et d’autre part il n’aurait pas été conservé. Une telle analyse met en lumière l’idée selon laquelle l’authenticité n’existe pas en soi mais se présente comme le résultat d’un processus de contrôle et de vérification créé par l’autorité publique et mis en œuvre par des agents spécialement habilités par elle. Cette étude nous donne également l’occasion d’observer que l’écrit n’était pas aussi déprécié dans la société médiévale que ne le pensait traditionnellement la doctrine en histoire du droit. Elle nous a enfin offert l’opportunité de reconsidérer le rapport entre la preuve scripturale et la preuve testimoniale. / This thesis puts forward the notion of the sigillum authenticum at the Medieval time. It proposes a definition of such a concept through the analysis of medieval legal material. The aim is to show that a deed with a sigilum authenticum was used as a tool for power and any persons subject to Community laws. To be recognised as authentic, the seal required a few conditions. It had to respect a set of formalities, to be received, written and verified by officials and to prove a tax payment. Without all these requirements, the seal could not be considered as authentic since it would neither have been sealed nor been. Such an analysis puts forward the idea that authenticity could not exist on its own but was the result of a dynamic process of controls and checkings. Such a process was created by the competent public authority and set up by assermented officials. This study also shows the importance of written proof by the medieval society. It underlines the relationship between the written proof and the oral testimonies.

Cette thèse revisite de deux manières le domaine abstrait des polyèdres utilisé pour l'analyse statique de programmes.D'abord, elle montre comment utiliser l'assistant à la preuve Coq pour apporter des garanties sur la correction des opérations sur les polyèdres sans compromettre l'efficacité de l'outil VP Lissu de ces travaux.L'outil est fondé sur le principe de la vérification de résultats :un oracle, auquel on ne fait pas confiance, fait les calculs,puis les résultats sont vérifiés par un validateur dont la correction est prouvée avec Coq. De plus, l'oracle fournit des témoins de la correction des résultats afin d'accélérer la vérification.L'autre caractéristique de VPL est l' utilsation de la seule représentation par contraintes des polyèdres,par opposition à l'approche habituelle qui consiste à utiliser à la fois des contraintes et des générateurs.Malgré ce choix inhabituel,les performances de VPL s'avèrent compétitives.Comme on pouvait le prévoir,l'opérateur "join",qui calcule l'enveloppe convexe de deux polyèdres,est le plus coûteux.Puisqu'il nécessite un grand nombre de projections,cette thèse explore plusieurs nouvelles approches de l'opérateur de projection,basées sur la programmation linéaire paramétrique.Elle propose une synthèse des variantes et des combinaisons possibles.La thèse se termine sur les éléments clés d'un nouvel algorithme de résolution tirant parti des spécificités de l'encodage afin d'obtenir de bonnes performances. / The work reported in this thesis revisits in two waysthe abstract domain of polyhedraused for static analysis of programs.First, strong guarantees are provided on the soundness of the operationson polyhedra,by using of the Coq proof assistant to check the soundness proofs.The means used to ensure correctnessdon't hinder the performance of the resultingVerimag Polyhedra Library (VPL).It is built on the principle of result verification:computations are performed by an untrusted oracleand their results are verified by a checkerwhose correctness is proved in Coq.In order to make verification cheap,the oracle computes soundness witnesses along with the results.The other distinguishing feature of VPL is thatit relies only on the constraint representation of polyhedra,as opposed to the common practice of using both constraints and generators.Despite this unusual choice,VPL turns out to be a competitive abstract domain of polyhedra,performance-wise.As expected, the join operator of VPL,which performs the convex hull of two polyhedra,is the costliest operator.Since it builds on the projection operator,this thesis also investigates a new approach toperforming projections,based on parametric linear programming.A new understanding of projection encoded asa parametric linear problem is presented.The thesis closes on a progress report in the design of a new solvingalgorithm,tailored to the specifics of the encodingso as to achieve good performance.

Cette thèse se fixe comme tâche d’examiner la manière originale et inédite par laquelle Maurice Blondel revisite les preuves classiques de l’existence de Dieu, principalement, l’argument ontologique. Cet argument occupe, chez notre auteur, une place prépondérante, et constitue un moment essentiel dans le développement de sa doctrine. C’est une approche qui se comprend comme un retour à une doctrine ancienne (Cf. l’argument d’Anselme), mais en même temps comme une élaboration originale. De ce point de vue, la lecture suivie de L’Action laisse entrevoir trois axes d’interprétations de l’argument ontologique que notre thèse entend mettre en lumière.D’abord, Blondel relit les preuves de l’existence de Dieu dans la perspective de la dialectique de la volonté dont elles amorcent le « troisième moment » conflictuel, avant que le conflit ne se résolve en alternative ou en option. Car, il y a toujours une inadéquation entre ce qui est voulu et le dynamisme qui, en nous, est le principe du vouloir c’est-à-dire entre ce qu’il appelle la volonté voulue et la volonté voulante. En conséquence, c’est en vue de l’Unique nécessaire que Blondel ébauche une synergie des preuves et renouvelle, en quelque sorte, l’argument ontologique pour montrer que chaque homme y est inévitablement embarqué.Ensuite le recours « à un inconnu inaccessible, dont la présence est pourtant pressentie sans être encore reconnue » ou la référence explicite à des expressions apophatiques pour parler de l’Être ou de l’Absolu manifeste clairement un recours symptomatique à la théologie négative comme il le reconnaît, à la suite du Pseudo-Denys que « l’affirmation est moins juste, et la négation plus vraie », et d’autant plus qu’il ajoute : « c’est le néant qui le confesse ». Or, cette donnée n’affaiblit en rien la pertinence de la preuve, car Blondel en fait une véritable expérience spirituelle.Enfin la conséquence qu’il tire de cette relecture, en insistant sur la portée philosophique de l’option, constitue le lieu privilégié qui confirme bien que cette approche n’a pas pour visée la pleine possession de l’Être, mais une ouverture, une préparation nécessaire de notre indigence à admettre et à affirmer cette existence de Dieu. Car, pour chaque existence, « cette preuve est, moins une vue qu’une vie » et que suivant une influence de la preuve cartésienne « celle-ci n’est absolue que là où il y a idée parfaite de la perfection même, là où l’essence est réelle et l’existence idéale. Dans ces conditions, l’idée de Dieu, de l’Être est comme réfractée, conditionnée, obscurcie par notre imperfection. Cependant, elle nous contraint à affirmer, du lieu où somme toute elle n’est pas, sa réalité, sa perfection.À partir d’une reconsidération des articulations de la preuve dans L’Action, notre thèse aura eu comme tâche d’élucider la portée et la pertinence de ces trois axes qui constituent l’originalité de la lecture blondélienne de l’argument ontologique. / This thesis has set itself the task of reviewing the new and original way in which Maurice Blondel revisits the classic proofs of God’s existence, mainly, the ontological argument. This argument holds, in our author, a prominent place, and is a key moment in the development of his doctrine. It is an approach that makes sense as a return to an old doctrine (See the Anselm’s argument ), but at the same time as an original development. From this point of view, reading followed by L’Action suggests three lines of interpretations of the ontological argument that our thesis intends to highlight.Firstly, Blondel reread the proofs of God’s existence from the perspective of the dialectic of the will they begin the third time conflict before the conflict will be resolved in alternative or optional. Because, there is always a mismatch between what is wanted and dynamism which, in us, is the principle of the will that is to say between what he calls the necessary will and determination voulante. Consequently, it is for the One need Blondel draft synergy evidence and renewed, in a way, the ontological argument to show that every man is inevitably embedded.Then use an inaccessible stranger, whose presence is sensed without being yet still recognized or the explicit reference to apophatiques expressions to speak of Being or the Absolute manifests clearly symptomatic use of negative theology as acknowledges, following the Pseudo-Dionysius that “the statement is less just, and truest denial”, and especially as he adds, “ it is the nothingness that confess.” However , this data does not weaken in any way the relevance of the evidence , because Blondel makes a truly spiritual experience.Finally he draws the consequence of this replay, emphasizing the philosophical significance of the option, which is the central authority confirms that this approach has not referred to the full possession of Being, but an opening, a necessary preparation to admit our poverty and affirm the existence of God. For each existence, " the evidence is less a view that a life " and following the influence of the Cartesian evidence " it is absolute that where there is perfect idea of perfection , there where gasoline is real and the ideal existence . In these circumstances, the idea of God, of Being is refracted as conditioned , darkened by our imperfection . However, it forces us to state , after all, the place where it is not , its reality, its perfection.From a reconsideration of the joints of proof in L'Action, our thesis has had the task of clarifying the scope and relevance of these three areas which constitute the originality of the Blondel reading the ontological argument.

La miniaturisation de la gravure et l'ajustement dynamique du voltage augmentent le risque de fautes dans les circuits intégrés. Pour pallier cet inconvénient, les ingénieurs utilisent des techniques de tolérance aux fautes pour masquer ou, au moins, détecter les fautes. Ces techniques sont particulièrement utilisées dans les domaines critiques (aérospatial, médical, nucléaire, etc.) où les garanties de bon fonctionnement des circuits et leurs tolérance aux fautes sont cruciales. Cependant, la vérification de propriétés fonctionnelles et de tolérance aux fautes est un problème complexe qui ne peut être résolu par simulation en raison du grand nombre d'exécutions possibles et de scénarios d'occurrence des fautes. De même, l'optimisation des surcoûts matériels ou temporels imposés par ces techniques demande de garantir que le circuit conserve ses propriétés de tolérance aux fautes après optimisation.Dans cette thèse, nous décrivons une optimisation de techniques de tolérance aux fautes classiques basée sur des analyses statiques, ainsi que de nouvelles techniques basées sur la redondance temporelle. Nous présentons comment leur correction peut être vérifiée formellement à l'aide d'un assistant de preuves.Nous étudions d'abord comment certains voteurs majoritaires peuvent être supprimés des circuits basés sur la redondance matérielle triple (TMR) sans violer leurs propriétés de tolérance. La méthodologie développée prend en compte les particularités des circuits (par ex. masquage logique d'erreurs) et des entrées/sorties pour optimiser la technique TMR.Deuxièmement, nous proposons une famille de techniques utilisant la redondance temporelle comme des transformations automatiques de circuits. Elles demandent moins de ressources matérielles que TMR et peuvent être facilement intégrés dans les outils de CAO. Les transformations sont basées sur une nouvelle idée de redondance temporelle dynamique qui permet de modifier le niveau de redondance «à la volée» sans interrompre le calcul. Le niveau de redondance peut être augmenté uniquement dans les situations critiques (par exemple, au-dessus des pôles où le niveau de rayonnement est élevé), lors du traitement de données cruciales (par exemple, le cryptage de données sensibles), ou pendant des processus critiques (par exemple, le redémarrage de l'ordinateur d'un satellite).Troisièmement, en associant la redondance temporelle dynamique avec un mécanisme de micro-points de reprise, nous proposons une transformation avec redondance temporelle double capable de masquer les fautes transitoires. La procédure de recouvrement est transparente et le comportement entrée/sortie du circuit reste identique même lors d'occurrences de fautes. En raison de la complexité de cette méthode, la garantie totale de sa correction a nécessité une certification formelle en utilisant l'assistant de preuves Coq. La méthodologie développée peut être appliquée pour certifier d'autres techniques de tolérance aux fautes exprimées comme des transformations de circuits. / Technology shrinking and voltage scaling increase the risk of fault occurrences in digital circuits. To address this challenge, engineers use fault-tolerance techniques to mask or, at least, to detect faults. These techniques are especially needed in safety critical domains (e.g., aerospace, medical, nuclear, etc.), where ensuring the circuit functionality and fault-tolerance is crucial. However, the verification of functional and fault-tolerance properties is a complex problem that cannot be solved with simulation-based methodologies due to the need to check a huge number of executions and fault occurrence scenarios. The optimization of the overheads imposed by fault-tolerance techniques also requires the proof that the circuit keeps its fault-tolerance properties after the optimization.In this work, we propose a verification-based optimization of existing fault-tolerance techniques as well as the design of new techniques and their formal verification using theorem proving. We first investigate how some majority voters can be removed from Triple-Modular Redundant (TMR) circuits without violating their fault-tolerance properties. The developed methodology clarifies how to take into account circuit native error-masking capabilities that may exist due to the structure of the combinational part or due to the way the circuit is used and communicates with the surrounding device.Second, we propose a family of time-redundant fault-tolerance techniques as automatic circuit transformations. They require less hardware resources than TMR alternatives and could be easily integrated in EDA tools. The transformations are based on the novel idea of dynamic time redundancy that allows the redundancy level to be changed "on-the-fly" without interrupting the computation. Therefore, time-redundancy can be used only in critical situations (e.g., above Earth poles where the radiation level is increased), during the processing of crucial data (e.g., the encryption of selected data), or during critical processes (e.g., a satellite computer reboot).Third, merging dynamic time redundancy with a micro-checkpointing mechanism, we have created a double-time redundancy transformation capable of masking transient faults. Our technique makes the recovery procedure transparent and the circuit input/output behavior remains unchanged even under faults. Due to the complexity of that method and the need to provide full assurance of its fault-tolerance capabilities, we have formally certified the technique using the Coq proof assistant. The developed proof methodology can be applied to certify other fault-tolerance techniques implemented through circuit transformations at the netlist level.

La sécurité des Systèmes d’Information (SI) constitue un défi majeur car elle conditionne amplement la future exploitation d’un SI. C’est pourquoi l’étude des vulnérabilités d’un SI dès les phases conceptuelles est cruciale. Il s’agit d’étudier la validation de politiques de sécurité, souvent exprimées par des règles de contrôle d’accès, et d’effectuer des vérifications automatisées sur des modèles afin de garantir une certaine confiance dans le SI avant son opérationnalisation. Notre intérêt porte plus particulièrement sur la détection des vulnérabilités pouvant être exploitées par des utilisateurs internes afin de commettre des attaques, appelées attaques internes, en profitant de leur accès légitime au système. Pour ce faire, nous exploitons des spécifications formelles B générées, par la plateforme B4MSecure, à partir de modèles fonctionnels UML et d’une description Secure UML des règles de contrôle d’accès basées sur les rôles. Ces vulnérabilités étant dues à l’évolution dynamique de l’état fonctionnel du système, nous proposons d’étudier l’atteignabilité des états, dits indésirables, donnant lieu à des attaques potentielles, à partir d’un état normal du système. Les techniques proposées constituent une alternative aux techniques de model-checking. En effet, elles mettent en œuvre une recherche symbolique vers l’arrière fondée sur des approches complémentaires : la preuve et la résolution de contraintes. Ce processus de recherche est entièrement automatisé grâce à notre outil GenISIS qui a montré, sur la base d’études de cas disponibles dans la littérature, sa capacité à retrouver des attaques déjà publiées mais aussi des attaques nouvelles. / The early detection of potential threats during the modelling phase of a Secure Information System (IS) is required because it favours the design of a robust access control policy and the prevention of malicious behaviours during the system execution. This involves studying the validation of access control rules and performing vulnerabilities automated checks before the IS operationalization. We are particularly interested in detecting vulnerabilities that can be exploited by internal trusted users to commit attacks, called insider attacks, by taking advantage of their legitimate access to the system. To do so, we use formal B specifications which are generated by the B4MSecure platform from UML functional models and a SecureUML modelling of role-based access control rules. Since these vulnerabilities are due to the dynamic evolution of the functional state, we propose to study the reachability of someundesirable states starting from a normal state of the system. The proposed techniques are an alternative to model-checking techniques. Indeed, they implement symbolic backward search algorithm based on complementary approaches: proof and constraint solving. This rich technical background allowed the development of the GenISIS tool which automates our approach and which was successfully experimented on several case studies available in the literature. These experiments showed its capability to extract already published attacks but also new attacks.

Cette recherche a permis d'analyser deux points essentiels: le travail de mise en ordre des discours et la place occupée par le requérant d'asile dans cette opération de biographisation de l'exil. L'observation de la prise en charge et de l'accompagnement des demandeurs d'asile a permis de constater que dans le meilleur des cas, ils étaient suivis par des acteurs tiers-conseils, membres associatifs, juristes ou avocats, etc. L'aide qui leur est délivrée se préoccupe principalement de la réalisation de la requête dans l'objectif de la transmettre à l'administration; il s'agit là d'une forme de sous-traitance qui tait son nom. Un des premiers constats de cette recherche a été de comprendre comment la centralité de la crédibilité était construite par l'ensemble des acteurs intervenant dans le champ du droit d'asile. C'est ainsi que l'administration, les associations de soutien aux exilés, les professionnels du droit, les exilés eux-mêmes participent à une définition de la preuve pour peu à peu la délaisser car elle est très difficile à fournir, et donc se recentrer vers une approche plus facilement mobilisable, celle de la crédibilité. Il s'agit de prôner la force des discours, car le demandeur d'asile démuni de documents, d'attestations, ne peut démontrer du bien-fondé de sa requête que par le biais de ses paroles, qu'elles soient retranscrites à l'écrit ou simplement retransmises à l'oral via un interprète. Aussi pour les acteurs de l'accompagnement, il s'agit de travailler à un processus de légitimation des discours de l'exilé, d'organiser les propos de celui-ci de façon à les objectiver. Le travail de mise en ordre décrit dans cette thèse démontre de l'opération de rationalisation des discours incité par les exigences institutionnelles. Il s'agit à la fois de mettre de l'ordre dans les propos afin de permettre une lisibilité des discours et ainsi faciliter l'instruction. Mais les résultats de cette recherche reviennent également sur la place de l'exilé au coeur de cet agencement de la requête d'asile. Il s'agissait de décrypter si l'exilé réussit ou non à être acteur de sa propre requête, or l'étude réalisée montre qu'indéniablement la majorité des requérants d'asile sont démunis face à la procédure. La barrière de la langue, la faiblesse des capitaux scolaires, culturels, économiques et sociaux ne leur permettent pas de mobiliser les ressources suffisantes pour faire face aux exigences liées à la demande d'asile. Par ailleurs, le processus de subjectivation ne se contente pas de couvrir les compétences de l'exilé à s'inscrire dans une narration de soi, mais pose également la possibilité qui lui est ouverte de se construire une identité nouvelle dans le cadre de son parcours d'exil. Il s'agit de comprendre comment l'exilé réussit à endosser l'identité du requérant d'asile, puis du réfugié statutaire si celui-ci obtient la reconnaissance juridique / This dissertation provides a theoretical explanation of two key topics: the models which exist to deal with the petitioners for refugee status and the framework that manages the procedures linked to assesing the biography of the respondents. The investigation of the procedures linked to the petitions of asylum results showed that in the best case situations the respondents were monitored by the counsellors ,association members, jurists or lawyers, etc.The investigation showed help was mainly administered to achieve the goals linked to the adminstrative procedures.This represents a form of sub-contracting. One of the features of this disseration was to understand how the pillars of credibility was constructed by actors involved in the framework comprising the right to exile, explain the role and the model used by the respondents in the procedures of asylums to acquire proof in face of the difficulties encountered, and the methods used to overcome the challenges by strategies linked to credibility. This examination required extracting key points of the arguments as the petitioner often lacks the neccessary documents to validate their statements, as well as from the transcripts provided of their arguments in writing or orally by an interpreter.The anaylsis of the actors that govern the procedures sets out to consider whether the methods of operation are consistent with the institutional requirements. The results of the research suggests that the respondents are flustered when confronted with the procedures of asylum.Other key factors that play a role in the result are language barriers, financial conditions,cultures,economic and social means that influence the capacity to fulfil the demands to achieve the status of refugee.The results also suggests the process of examining oneself as the subject which leads to the petitioner constructing a new identity in the procedures to achieve a refugee status

Comment croire ou mettre en doute les propos des individus qui montent à la tribune lors d’un procès de l’Athènes classique ? Les orateurs qui prennent la parole lors d’une affaire mobilisent tout un éventail de preuves pour construire leur discours comme crédible aux yeux des juges. Ces procédures constituent le dispositif de vérité, au milieu duquel les témoins se situent en bonne place dans les discours judiciaires, c’est-à-dire les textes des dix auteurs sélectionnés comme le canon des orateurs attiques des Ve et IVe siècles avant Jésus-Christ (Antiphon, Andocide, Lysias, Isocrate, Isée, Démosthène, Eschine, Hypéride, Lycurgue et Dinarque). Si aucune théorie de la preuve ne se fait jour dans ces corpus, la figure du témoin judiciaire apparaît comme centrale, comme l’illustrent les très nombreuses convocations testimoniales. Le rapport entre témoignage et documents écrits montre également la valeur probante des dépositions. Qu’est-ce qui, alors, permet aux paroles d’un témoin d’être présentées comme véridiques ? Les déposants peuvent être crus car ils engagent leur responsabilité, du fait d’une possible punition divine, s’ils prêtent serment, ou humaine, si l’adversaire lance un procès pour faux témoignage. En outre, les témoins doivent avoir une connaissance directe des événements en question. Mais cette exigence est paradoxale : ils sont le premier intermédiaire entre l’auditoire et les faits. Les plaignants rappellent donc fréquemment aux juges des points déjà connus, afin d’en faire leur propres témoins. Ils cherchent aussi à effacer leur propre rôle dans l’argumentation, en désignant leurs propos comme simples et en minimisant leur expérience oratoire. / How did the Athenians trust or doubt the words of someone who came up to the tribune during a trial? The speakers used a whole range of evidence to make their speech credible for the judges. All these techniques and the witnesses were a very important part of this process can be qualify as the truth apparatus in the orators’ speeches, i.e. the texts from the ten authors chosen as the canon of the Attic orators of the 5th and 4th centuries B.C.: Antiphon, Andocides, Lysias, Isocrates, Isaeus, Demosthenes, Aeschines, Hyperides, Lycurgus, and Dinarchus. Even if no proof theory has been found out, the witnesses were crucial in the courtroom, as we can see from the many times a litigant called a witness to testify. The relation between testimony and written documents also shows the convincing value of the witness statement. Therefore, to what extent could a testimony be considered as truthful? The witnesses were usually trusted because their responsibility was at stake: they could incur a divine punishment, if they swore an oath, or a humane penalty, if they were put on trial for false witnessing. Besides, the witnesses must have a direct knowledge of the events. Yet, there was a paradox in this requirement: they were the first part of the demarcation between the facts and the public of the trial. Thus, the litigants often reminded the judges about some elements already known in order to make them witnesses. Litigants also tried to erase their own role in the demonstration, by presenting their words as simple and by minimising their oratory skills.

Nous proposons deux caractérisations des arbres réguliers. La première est sémantique et s'appuie sur les types co-inductifs. La seconde est syntaxique et repose sur une représentation des arbres réguliers par des termes cycliques. Nous prouvons que ces deux caractérisations sont isomorphes.Ensuite, nous étudions le problème de la définition de morphisme d'arbres préservant la propriété de régularité. Nous montrons en utilisant le formalisme des transducteurs d'arbres, l'existence d'un critère syntaxique garantissant la préservation de cette propriété. Enfin, nous considérons des applications de la théorie des arbres réguliers comme la définition de l'opérateur de composition parallèle d'une algèbre de processus ou encore, les problèmes de décidabilité sur les arbres réguliers via une mécanisation d'un vérificateur de modèles pour un mu-calcul coalgébrique. Tous les résultats ont été mécanisés et prouvés corrects dans l'assistant de preuve Coq. / We propose two characterizations of regular trees. The first one is semantic and is based on coinductive types. The second one is syntactic and represents regular trees by means of cyclic terms. We prove that both of these characterizations are isomorphic. Then, we study the problem of defining tree morphisms preserving the regularity property. We show, by using the formalism of tree transducers, the existence of syntactic criterion ensuring that this property is preserved. Finally, we consider applications of the theory of regular trees such as the definition of the parallel composition operator of a process algebra or, the decidability problems on regular trees through a mechanization of a model-checker for a coalgebraic mu-calculus. All the results were mechanized and proved correct in the Coq proof assistant.

La vérification de logiciels repose le plus souvent sur une spécification formelle encodant les propriétés du programme à vérifier. La tâche de spécification et de vérification déductive des programmes est longue et difficile et nécessite une connaissance des outils de preuve de programmes. En effet, un échec de preuve de programme peut être dû à une non-conformité du code par rapport à sa spécification, à un contrat de boucle ou de fonction appelée trop faible pour prouver une autre propriété, ou à une incapacité du prouveur. Il est souvent difficile pour l’utilisateur de décider laquelle de ces trois raisons est la cause de l’échec de la preuve car cette information n’est pas (ou rarement) donnée par le prouveur et requiert donc une revue approfondie du code et de la spécification. L’objectif de cette thèse est de fournir une méthode de diagnostic automatique des échecs de preuve afin d’améliorer le processus de spécification et de preuve des programmes C. Nous nous plaçons dans le cadre de la plate-forme d’analyse des programmes C FRAMA-C, qui fournit un langage de spécification unique ACSL, un greffon de vérification déductive WP et un générateur de tests structurels PATHCRAWLER. La méthode que nous proposons consiste à diagnostiquer les échecs de preuve en utilisant la génération de tests structurels sur une version instrumentée du programme d’origine / Software verification often relies on a formal specification encoding the program properties to check. Formally specifying and deductively verifying programs is difficult and time consuming and requires some knowledge about theorem provers. Indeed, a proof failure for a program can be due to a noncompliance between the code and its specification, a loop or callee contrat being insufficient to prove another property, or a prover incapacity. It is often difficult for the user to decide which one of these three reasons causes a given proof failure. Indeed, this feedback is not (or rarely) provided by the theorem prover thus requires a thorough review of the code and the specification. This thesis develops a method to automatically diagnose proof failures and facilitate the specification and verification task. This work takes place within the analysis framework for C programs FRAMAC, that provides the specification language ACSL, the deductive verification plugin WP, and the structural test generator PATHCRAWLER. The proposed method consists in diagnosing proof failures using structural test generation on an instrumented version of the program under verification.

Établir des preuves de bon fonctionnement des programmes est délicat ; on a recours à des outils de preuve, qui doivent procéder par surapproximation (à cause du théorème de Rice). La complétion d'automate est un tel outil, qui surapproxime l'ensemble des termes accessibles lors de l'exécution d'un programme représenté par un système de réécriture. La stratégie d'évaluation donne l'ordre dans lequel les sous-termes d'un terme doivent être réécrits ; en tenir compte permet une meilleur précision de l'analyse. Notre thèse propose une adaptation de la complétion d'automate à la stratégie en profondeur, utilisée notamment par OCaml. Nous établissons la correction et la précision de notre méthode et montrons comment elle s'inscrit dans le cadre plus large de l'analyse de programmes fonctionnels (OCaml). / Proving that programs behave correctly is difficult; one uses proof tools, which must rely on overapproximation (because of Rice's theorem). Automaton completion is such a tool, which overapproximates the set of reachable terms during the execution of a program represented as a TRS. An evaluation strategy dictates which subterm of a term should be rewritten first; taking this into account allows for a better approximation. Our thesis sets forward an adaptation of automaton completion to the innermost strategy, which is used among others by OCaml. We prove the soundness and the precision of our adaptation and show how it is part of a greater framework for analysis of functional programms (OCaml).