À l'heure actuelle et depuis plusieurs années, les nouveaux systèmes développés par les industriels ne cessent de se complexifier, de faire intervenir toujours plus de technologies différentes et cela, pour maximiser la rentabilité, améliorer les fonctionnalités, voire proposer de nouveaux services. L'approche d'ingénierie système à base de modèles (ISBM) adresse particulièrement ces problématiques et est de plus en plus plébiscitée par les industriels. Pour autant, l'ISBM ne permet pas d'assurer la sûreté de fonctionnement (SdF) de nos systèmes modernes. C'est pourquoi ces travaux visent à assurer la cohésion de l'ISBM avec les études de SdF ainsi que sa valorisation pour ces études. Le langage de modélisation SysML est choisi pour réifier l'ensemble des résultats des activités d'ingénierie système sous la forme d'un modèle système. Ce modèle système est ensuite manipulé par les processus de la méthodologie MéDISIS, définie dans la thèse, afin de faciliter les études de SdF. La thèse aborde notamment la génération d'AMDEC fonctionnelle et l'application de la méthodologie FIDES pour l'évaluation de fiabilité, avec l'aide de bases de données pérénisant les informations dysfonctionnelles. Les principes précédents sont aussi appliqués à un projet industriel conséquent : le projet LEA qui consiste à la réalisation d'un prototype de véhicule hypersonique. La thèse met l'accent sur l'étude de SdF des composants de type COTS qui sont courant au sein du projet LEA.

À l’heure actuelle et depuis plusieurs années, les nouveaux systèmes développés par les industriels ne cessent de se complexifier, de faire intervenir toujours plus de technologies différentes et cela, pour maximiser la rentabilité, améliorer les fonctionnalités, voire proposer de nouveaux services. L’approche d’ingénierie système à base de modèles (ISBM) adresse particulièrement ces problématiques et est de plus en plus plébiscitée par les industriels. Pour autant, l’ISBM ne permet pas d’assurer la sûreté de fonctionnement (SdF) de nos systèmes modernes. C’est pourquoi ces travaux visent à assurer la cohésion de l’ISBM avec les études de SdF ainsi que sa valorisation pour ces études. Le langage de modélisation SysML est choisi pour réifier l’ensemble des résultats des activités d’ingénierie système sous la forme d’un modèle système. Ce modèle système est ensuite manipulé par les processus de la méthodologie MéDISIS, définie dans la thèse, afin de faciliter les études de SdF. La thèse aborde notamment la génération d’AMDEC fonctionnelle et l’application de la méthodologie FIDES pour l’évaluation de fiabilité, avec l’aide de bases de données pérénisant les informations dysfonctionnelles. Les principes précédents sont aussi appliqués à un projet industriel conséquent : le projet LEA qui consiste à la réalisation d’un prototype de véhicule hypersonique. La thèse met l’accent sur l’étude de SdF des composants de type COTS qui sont courant au sein du projet LEA. / Nowadays, industrial systems are getting more and more complicated, integrating various technologies. Their designs involve many different engineering fields to maximize rentability and to offer the most up to date functionalities and services. The Model-Based System Engineering (MBSE) approach address specifically these issues by allowing a more global way of designing a complex system from many points of view. However, MBSE does not ensure dependability. That is the reason why, in this thesis, our work aims to connect the MBSE approach with dependability analysis. The SysML modeling language is used to reify the results of system engineering activities, to obtain a model of the system. This model is then computed to extract data that will help dependability analysis. These automatic processes of extraction and redaction are part of the MéDISIS methodology which is defined in this thesis. Two aspect of the MéDISIS methodology are discussed: the generation of functional FMEA and the use of the FIDES methodology in association with SysML to evaluate the failure rate of COTS. This work and the whole MéDISIS methodology are applied in the industrial context of the LEA project. This project, financed by MBDA, consists in designing an hypersonic vehicle.

La complexité et le besoin en bande passante des architectures de communication avioniquene cessent de croitre avec le nombre des calculateurs et l’expansion des données échangées. Latechnologie AFDX a été introduite pour offrir des communications haut débit (100Mbps) pourles avions de nouvelle génération. Cependant, ce réseau commuté est déployé de manièreentièrement redondante, ce qui conduit à des quantités importantes de câbles, augmentant lepoids et les coûts d’intégration. Pour faire face à ces problèmes, on propose dans cette thèsel’intégration d’un réseau Ethernet en anneau comme une solution principale pour diminuerle poids et la complexité liés au câblage. Dans ce contexte, notre objectif est de concevoir etvalider un nouveau réseau de communication avionique, AeroRing, basé sur de l’EthernetGigabit avec une topologie anneau. / The inherent complexity and bandwidth requirement of avionics communication architecturesare increasing due to the growing number of interconnected end-systems and theexpansion of exchanged data. The Avionics Full Duplex Switched Ethernet (AFDX) has beenintroduced to provide high-speed communication (100Mbps) for new generation aircraft.However, this switched network is deployed in a fully redundant way, which leads to significantquantities of wires, and thus increases weight and integration costs. To cope with thesearising issues, integrating ring-based Ethernet network in avionics context is proposed in thisthesis as a main solution to decrease the wiring-related weight and complexity. In this context,our main objective is to design and validate a new avionic communication network, calledAeroRing, based on a Gigabit Ethernet technology and supporting a Full Duplex ring topology.To achieve this aim, first, a benchmarking of the most relevant Real-Time Ethernet (RTE)solutions supporting ring topologies vs avionics requirements has been conducted, and weparticularly assess the main Performance Indicators (PIs), specified in IEC 61784-2. Thisbenchmarking reveals that each existing RTE solution satisfies some requirements better thanothers, but there is no best solution in terms of all the requirements.

On assiste de nos jours à une utilisation croissante des systèmes RFID (Radio Frequency IDentification systems) dans diversdomaines d’application (logistique, systèmes de production, inventaires, traçabilité, etc.). Certaines de ces applicationsprésentent un caractère critique à l’image du respect de la chaîne de froid lors de l’acheminement de denrées alimentaires oudans le cas de systèmes de manutention de bagages dans les aéroports. Or, la sensibilité des systèmes RFID vis-à-vis de leurenvironnement, notamment des perturbations électromagnétiques ou de la présence d’obstacles, les rend vulnérables. Demême, de par le nombre important d’éléments (étiquettes, lecteurs) mis en oeuvre dans de tels systèmes, des comportementserronés peuvent survenir en raison de fautes dans les divers éléments constituant le système. D’où l’importance et la nécessitéde traiter le problème de la sûreté de fonctionnement et de la tolérance aux fautes dans le but de rendre ces systèmes plusrobustes.L’objectif de cette thèse concerne la proposition d’approches logicielles de test et de diagnostic en ligne adaptées aux systèmesRFID en vue d’améliorer leur robustesse. Depuis quelques années, une exploitation efficace des systèmes RFID a vu ledéveloppement d’intergiciels ou de middlewares RFID, dont le rôle est de proposer des services permettant la gestion desquantités de données importantes en provenance des lecteurs RFID. L’utilisation de tels intergiciels est d’un grand intérêt pourla sûreté de fonctionnement des systèmes RFID en raison de la nature distribuée de ces systèmes ; en particulier, grâce àl’intégration des mécanismes de sûreté de fonctionnement, plus précisément le test et le diagnostic en ligne, au niveau dumiddleware. Dans cette thématique, nous avons proposé plusieurs solutions pour couvrir les deux couches centrales du systèmeà savoir la couche middleware et son interface de communication avec les sources de données, le protocole LLRP (Low LevelReader Protocol). Nous avons proposé une solution middleware compatible avec le standard de communication des systèmesRFID, et utilisée comme un réceptacle pour une solution algorithmique de diagnostic probabiliste qui permet de détecter lesdéfaillances potentielles des composants du système sur la base d’un modèle probabiliste qui tient compte de l’environnementd’exécution. Ensuite, nous avons proposé un mécanisme d’analyse des fichiers log de l’interface de communication LLRP,complémentaire à l’algorithme probabiliste et qui permet d’approfondir le diagnostic en recherchant les causes de la défaillancedétectée sur la base de différentes signatures de défaillances déjà établies. Enfin, nous avons proposé une extension dustandard de communication LLRP qui tient compte de plusieurs comportements défaillants dans le but de rendre ce dernier plusfiable. / We are witnessing today a growing use of RFID (Radio Frequency IDentification) systems in various application areas (logistics,production systems, product traceability, etc.). Some of these applications are critical such as food-related cold chain logistics orbaggage handling systems in airports. Nevertheless, RFID are very sensitive to their environment, including electromagneticdisturbances or presence of obstacles, making them error-prone. Also, because of the large number of elements (tags, readers,and sensors) constituting current RFID systems, erroneous behaviors are more frequent. Hence, it is important to address all theproblems related to RFID system dependability and deal with them in order to make these systems more robust.The goal of this thesis is the development of software test and online diagnosis facilities for RFID systems to improve theirrobustness. In recent years, the effective use of RFID systems has seen the development of RFID middleware solutions, whoserole is to provide services for the management of large amounts of raw data of the various RFID sources. Due to the distributednature of current RFID systems, the use of such solutions is of great interest regarding the improvement of RFID systemdependability. In particular, thanks to the integration of dependability mechanisms, specifically the online test and diagnosisapproaches in the RFID middleware solution. In addition, because of the middleware is considered as the backbone of an RFIDsystem, whereby the whole RFID dataflow passes; all the needed information will be availabe to our proposed approaches toperform a correct diagnosis. We proposed several solutions to cover the two main layers of RFID systems; namely, themiddleware layer and the communication layer between the middleware and the data sources, the Low Level Reader Protocol(LLRP). We have proposed a LLRP compliant middleware solution, used to accommodate a probabilistic diagnosis algorithm todetect potential failures of the RFID system components on the basis of a probabilistic model that takes into account theexecution conditions. Then, we proposed a complementary mechanism to the previous algorithm for analyzing the log files ofthe LLRP communication interface allowing further analysis by looking for the causes of the detected failures on the basis of an already defined set of failure signatures. Finally, we proposed an extension of the LLRP standard to make it more reliable bytaking into account several RFID failures.

De nos jours, l'augmentation de la complexité des systèmes embarqués impose la prise en charge, dès les premiers prototypes et au niveau logiciel, d'exigences habituellement traitées plus tardivement voire même seulement lors du passage en série, comme notamment les contraintes de sûreté de fonctionnement. Nous proposons une méthodologie de développement de logiciels embarqués pouvant répondre aux besoins et contraintes de développement de ces logiciels dans la phase de prototypage. La flexibilité de la méthodologie garantit une meilleure gestion des évolutions récurrentes caractérisant les logiciels dans cette phase de prototypage. Aussi, grâce à sa structure bien adaptée, l'aspect automatisé de son intégration et de sa mise en place, notre méthodologie garantit une réduction significative des coûts du passage en série et de la mise en place de normes telles que l'ISO 26262 ou la DO-178. Pour illustrer les résultats que nous obtenons grâce à notre méthodologie et la chaîne d'outils associée, nous l'appliquons dans le cadre d'un projet industriel d'innovation qui consiste à la robotisation d'un véhicule prototype. Le cas d'étude se concentre sur la fonction "accélérateur" de ce prototype. / Nowadays, the increasing complexity of embedded systems requires the management, from the first prototypes and software level, of requirements usually handled later even only when passing in production, such as including dependability constraints. We propose a development methodology for embedded software that can meet the needs and constraints of developing this software in the prototyping phase. The flexibility of the methodology ensures better management of recurring changes characterizing the software in the prototyping phase. Also, due to its well-adapted structure, and automated aspect of its integration and implementation, our methodology ensures a significant cost reduction of serialization and implementation of norms such as ISO 26262 or DO-178. To illustrate the results, we apply our methodology and the associated toolchain to an innovative industrial project which consists to robotize a prototype car. The case study focuses on the accelerator function of the prototype.

La RATP est l'exploitant et le gestionnaire du réseau de transport métropolitain de la ville de Paris et de sa banlieue proche. Actuellement, avec près de 10 millions de voyageurs par jour, il est l'un des réseaux les plus chargés au monde. Dans ce contexte de fortes exigences d'exploitation, les gestionnaires de la RATP doivent assurer la sécurité, la capacité de service et la pérennité d'un patrimoine d'infrastructures hétérogène et ancien. Mais les ressources disponibles sont, par nature, limitées et, dans ces circonstances, deux tâches deviennent essentielles : justifier les budgets nécessaires et optimiser les programmations de travaux de maintenance. Le système de maintenance actuel est fondé sur des inspections visuelles permettant de relever les désordres affectant l'état structurel des ouvrages. Ensuite, les gestionnaires doivent choisir et prioriser les ouvrages à entretenir en fonction de ces résultats et des différentes contraintes qui interviennent dans la gestion du patrimoine. Ce processus décisionnel est fondé sur l'expertise des gestionnaires et n'est pas formalisé. Ainsi, l'objectif de cette thèse consiste à développer un outil d'aide à la gestion patrimoniale qui réduise la variabilité intrinsèque des actions de surveillance visuelle et le manque de transparence dans les décisions. Pour fournir aux gestionnaires de la RATP un tel outil, cette recherche s'appuie sur les étapes suivantes :- La modélisation fonctionnelle des mécanismes de dégradation des ouvrages bâtie à partir des outils de la Sûreté de Fonctionnement. L'Analyse Fonctionnelle (AF), l'Analyse des Modes de Défaillance et de leurs Effets(AMDE) et des graphes causaux sont appliqués pour connaître comment les infrastructures fonctionnent, se dégradent et interagissent avec leur environnement.- La construction d'un outil d'aide à la gestion fondé sur les méthodes multicritère d'aide à la décision. Dans un premier temps, nous construisons une famille cohérente de critères qui formalise les différents aspects techniques et socioéconomiques qui interviennent dans le processus décisionnel de la RATP (méthode d'agrégation à base de règles). Ensuite, à partir des méthodes ELECTRE, nous développons un outil multicritère d'aide à la décision permettant d'optimiser la gestion du patrimoine de la RATP. Après une application sur la ligne 4 du métro de Paris, les perspectives ouvertes par un tel outil sont étudiées, dont la principale est le développement opérationnel de cet outil dans le cadre de la gestion du patrimoine d'infrastructures de la RATP / The RATP is the operator and asset manager of the public railway transport of Paris and the next suburbs. Nowadays, with more than 10 million trips per day, this transport network is one of the most crowded in the world. In this context of high service requirements, the RATP asset managers must assure the structural integrity, the quality of service and the sustainability of an aging and heterogeneous asset. However, available budgets are, by nature, limited and, in this context, two tasks become essential: to justify budget requirements and to optimize the programming of maintenance actions. The current asset strategy is based on visual inspections to detect degradation symptoms that concern the structural integrity of the structure. Depending on these results, managers must select and prioritize the maintenance actions taking into account the constraints involved in asset management. This decision-making process is based on the expert knowledge and is not formalized. In this context, the purpose of this thesis is to develop a multicritera decision support tool which reduces the inherent variability degree of visual inspections and the lack of transparency in the decision-making process. In order to provide RATP's managers a decision support tool, this research is based on the next stages :- The development of a functional model of degradation mechanisms by the application of the operational safety methods. The Functional Analyse (FA), the Failure Mode and Effect Analysis (FMEA) and the casual graphs are applied to know how infrastructures function, degrade and interact with the environment.- The construction of a decision support tool based on multicriteria methods. The first stage is the construction of a lot of criteria formalizing the technical, economic and social aspects involved in the RATP's asset management (rule based assignment model). The second stage is the application of ELECTRE methods to develop a multicriteria decision support tool which optimizes the management of the RATP's asset. This tool is tested on the line 4 of the Paris metro in order to study development prospects. The main prospect is the operational development of this tool in the context of the management of the RATP's asset

De nos jours, le degré de complexité des systèmes de transport notamment ferroviaires est important et grandissant. En effet, les nouvelles technologies et besoins des grandes métropoles contraignent les concepteurs de ces systèmes à toujours intégrer de plus en plus de fonctionnalités. Cette complexité rend obsolète les méthodes de conception traditionnelles qui reposent sur l'expertise d'ingénieurs. La conception du système est définie sur plusieurs documents de spécification, de centaines de pages chacun. Ces derniers comprennent généralement la description des différentes exigences, fonctionnalités et sous-systèmes, ils sont rédigés en langage naturel. Ceci est source d'erreurs et ambigüités lors des différentes phases de conception et de validation sécuritaire. De ce fait, l'ingénierie système basée sur les modèles propose des solutions outillées afin de structurer et spécifier de manière systématique le fonctionnement du système. Dans cette thèse, nous proposons une approche de rétro-ingénierie de ces spécifications système. Cette approche nous permet de définir une méthodologie orientée-scénarios pour la formalisation et analyse de spécifications système. Elle est basée sur le langage de modélisation semi-formel ScOLa (Scénarios Oriented Language) et un modèle d'exécution formel basé sur le langage AltaRica 3.0. Nous proposons, á partir de ScOLa, des techniques contribuant aux analyses de sûreté fonctionnelles du système. Ces techniques permettent de clarifier, structurer et analyser / As of today, the complexity of transportation systems and especially railways is continuously growing. Indeed, new technologies and needs of major metropolitan areas constrain system designers to integrate more and more functionalities. Traditional methods for the design of systems are mainly based on the knowledge of experts. Systems are specified in several documents, of hundreds of pages each. These documents provide a general description of the requirements, functionalities and sub-systems, and are written in a natural language. This is error-prone and source of ambiguities. Model-based systems engineering proposes systematic solutions to structure and specify systems architectures. In this thesis, we propose a reverse engineering approach that is able to capture systems concepts. This leads us to propose ScOLa, a scenario-oriented modeling language for systems specifications with the following features:- A scenario-oriented approach to provide a more contextual view of the system, at several abstraction levels.- A co-construction of the architecture and behavior of the system in the same model.- The use of ScOLa for a seamless integration of system specification and safety analysis. We propose ascenario-oriented methodology for safety analysis, implemented using AltaRica 3.0.

La présence de systèmes et d'objets embarqués communicants dans notre vie quotidienne nous a apporté une myriade d'avantages, allant de l'ajout de commodité et de divertissement à l'amélioration de la sûreté de nos déplacements et des soins de santé. Cependant, les défauts et les vulnérabilités de ces systèmes exposent leurs utilisateurs à des risques de dommages matériels, de pertes financières, et même des dommages corporels. Par exemple, certains véhicules commercialisés, qu'ils soient connectés ou conventionnels, ont déjà souffert d'une variété de défauts de conception entraînant des blessures et la mort. Dans le même temps, alors que les véhicules sont de plus en plus connectés (et dans un avenir proche, autonomes), les chercheurs ont démontré la possibilité de piratage de leurs capteurs ou de leurs systèmes de contrôle interne, y compris l'injection directe de messages sur le bus CAN.Pour assurer la sûreté des utilisateurs et des passants, il faut considérer plusieurs facteurs. La sûreté conventionnelle suggère qu'un système ne devrait pas contenir de défauts logiciels et matériels qui peuvent l'empêcher de fonctionner correctement. La "sûreté de la fonction attendue" consiste à éviter les situations que le système ou ses composants ne peuvent pas gérer, comme des conditions environnementales extrêmes. Le timing peut être critique pour certains systèmes en temps réel, car afin d'éviter des situations dangereuses, le système devra réagir à certains événements, comme l'évitement d'obstacles, dans un délai déterminé. Enfin, la sûreté d'un système dépend de sa sécurité. Un attaquant qui peut envoyer des commandes fausses ou modifier le logiciel du système peut changer son comportement et le mettre dans diverses situations dangereuses. Diverses contre-mesures de sécurité et de sûreté pour les systèmes embarqués, en particulier les véhicules connectés, ont été proposées. Pour mettre en oeuvre correctement ces contre-mesures, il faut analyser et vérifier que le système répond à toutes les exigences de sûreté, de sécurité et de performance, et les faire la plus tôt possible dans les premières phases de conception afin de réduire le temps de mise sur le marché, et éviter les reprises. Cette thèse s'intéresse à la sécurité et la sûreté des les systèmes embarqués, dans le contexte du véhicule autonome de l'Institut Vedecom. Parmi les approches proposées pour assurer la sûreté et la sécurité des les systèmes embarqués, l'ingénierie dirigée par modèle est l'une de ces approches qui couvre l'ensemble du processus de conception, depuis la définition des exigences, la conception du matériel et des logiciels, la simulation/vérification formelle et la génération du code final. Cette thèse propose une méthodologie de modélisation pour une conception sûre et sécurisée, basée sur la méthodologie SysML-Sec, qui implique de nouvelles méthodes de modélisation et de vérification. La modélisation de la sécurité est généralement effectuée dans les dernières phases de la conception. Cependant, la sécurité a un impact sur l'architecture/allocation; les décisions de partitionnement logiciel/matériel devraient être prises en fonction de la capacité de l'architecture à satisfaire aux exigences de sécurité. Cette thèse propose comment modéliser les mécanismes de sécurité et l'impact d'un attaquant dans la phase de partitionnement logiciel/matériel. Comme les protocoles de sécurité ont un impact négatif sur le performance d'un système, c'est important de mesurer l'utilisation des composants matériels et les temps de réponse du système. Des composants surchargés peuvent entraîner des performances imprévisibles et des retards indésirables. Cette thèse traite aussi des mesures de latence des événements critiques pour la sécurité, en se concentrant sur un exemple critique pour les véhicules autonomes : le freinage/réponse après la détection d'obstacles. Ainsi, nos contributions soutiennent la conception sûre et sécurisée des systèmes embarqués. / The presence of communicating embedded systems/IoTs in our daily lives have brought a myriad of benefits, from adding conveniences and entertainment, to improving the safety of our commutes and health care. However, the flaws and vulnerabilities in these devices expose their users to risks of property damage, monetary losses, and personal injury. For example, consumer vehicles, both connected and conventional, have succumbed to a variety of design flaws resulting in injuries and death. At the same time, as vehicles are increasingly connected (and in the near future, autonomous), researchers have demonstrated possible hacks on their sensors or internal control systems, including direct injection of messages on the CAN bus.Ensuring the safety of users or bystanders involves considering multiple factors. Conventional safety suggests that a system should not contain software and hardware flaws which can prevent it from correct function. `Safety of the Intended Function' involves avoiding the situations which the system or its components cannot handle, such as adverse extreme environmental conditions. Timing can be critical for certain real-time systems, as the system will need to respond to certain events, such as obstacle avoidance, within a set period to avoid dangerous situations. Finally, the safety of a system depends on its security. An attacker who can send custom commands or modify the software of the system may change its behavior and send it into various unsafe situations. Various safety and security countermeasures for embedded systems, especially connected vehicles, have been proposed. To place these countermeasures correctly requires methods of analyzing and verifying that the system meets all safety, security, and performance requirements, preferably at the early design phases to minimize costly re-work after production. This thesis discusses the safety and security considerations for embedded systems, in the context of Institut Vedecom's autonomous vehicle. Among the proposed approaches to ensure safety and security in embedded systems, Model-Driven Engineering is one such approach that covers the full design process, from elicitation of requirements, design of hardware and software, simulation/formal verification, and final code generation. This thesis proposes a modeling-based methodology for safe and secure design, based on the SysML-Sec Methodology, which involve new modeling and verification methods. Security modeling is generally performed in the last phases of design. However, security impacts the early architecture/mapping and HW/SW partitioning decisions should be made based on the ability of the architecture to satisfy security requirements. This thesis proposes how to model the security mechanisms and the impact of an attacker as relevant to the HW/SW Partitioning phase. As security protocols negatively impact performance, it becomes important to measure both the usage of hardware components and response times of the system. Overcharged components can result in unpredictable performance and undesired delays. This thesis also discusses latency measurements of safety-critical events, focusing on one critical to autonomous vehicles: braking as after obstacle detection. Together, these additions support the safe and secure design of embedded systems.

L'intégration de diverses technologies, notamment celles de l'informatique et l'électronique, fait que les systèmes conçus de nos jours sont de plus en plus complexes. Ils ont des comportements plus élaborés et plus difficiles à prévoir, ont un nombre de constituants en interaction plus important et/ou réalisent des fonctions de plus haut niveau. Parallèlement à cette complexification des systèmes, la compétitivité du marché mondial impose aux développeurs de systèmes des contraintes de coût et de délais de plus en plus strictes. La même course s'opère concernant la qualité des systèmes, notamment lorsque ceux-ci mettent en jeu un risque en vies humaines ou un risque financier important. Ainsi, les développeurs sont contraints d'adopter une approche de conception rigoureuse pour répondre aux exigences du système souhaité et satisfaire les diverses contraintes (coût, délais, qualité, sûreté de fonctionnement,...). Plusieurs démarches méthodologiques visant à guider la conception de système sont définies par l'intermédiaire de normes d'Ingénierie Système. Notre travail s'appuie sur la norme EIA-632, qui est largement employée, en particulier dans les domaines aéronautique et militaire. Il consiste à améliorer les processus d'ingénierie système décrits par l'EIA-632, afin d'intégrer une prise en compte globale et explicite de la sûreté de fonctionnement. En effet, jusqu'à présent la sûreté de fonctionnement était obtenue par la réutilisation de modèles génériques après avoir étudié et développé chaque fonction indépendamment. Il n'y avait donc pas de prise en compte spécifique des risques liés à l'intégration de plusieurs technologies. Pour cette raison, nous proposons de nous intéresser aux exigences de Sûreté de Fonctionnement au niveau global et le plus tôt possible dans la phase de développement, pour ensuite les décliner aux niveaux inférieurs, ceci en s'appuyant sur les processus de la norme EIA-632 que nous étoffons. Nous proposons également une méthode original e de déclinaison d'exigences de sûreté de fonctionnement à base d'arbres de défaillances et d'AMDEC, ainsi qu'un modèle d'information basé sur SysML pour appuyer notre approche. Un exemple issu du monde aéronautique permet d'illustrer nos propositions.

La protection des systèmes répartis est un problème complexe : en quelles entités du système peut-on avoir confiance et étant donné cette confiance, comment assurer la protection du système global. L'approche adoptée dans cette thèse consiste à combiner d'une part une gestion globale et centralisée des droits d'accès aux objets persistants du système par un serveur d'autorisation et d'autre part une protection locale par un noyau de sécurité sur chaque site du système réparti. Ce noyau contrôle les accès à tous les objets locaux (persistants ou temporaires) et a de plus la responsabilité de la gestion des droits d'accès aux objets temporaires locaux. Un schéma d'autorisation est développé pour une telle architecture. Ce schéma est élaboré dans le cadre de systèmes composés d'objets répartis (au sens de la programmation orientée-objets). Il permet de respecter au mieux le principe du moindre privilège, définit de nouveaux droits facilement administrables (appelés droits symboliques), et un nouveau schéma de délégation de droits. Ce modèle est utilisé dans le cadre d'une politique de sécurité discrétionnaire et dans le cadre d'une politique de sécurité multiniveau. Pour cela, un modèle de sécurité multiniveau adapté au modèle objet est développé et présenté dans cette thèse. Un exemple d'implémentation de ce schéma d'autorisation est enfin détaillé.