L'importance des systèmes temps-réels embarqués dans les sociétés industrialisées modernes en font un terrain d'application privilégié pour les méthodes formelles. La prépondérance des contraintes temporelles dans les spécifications de ces systèmes motive la mise au point de solutions spécifiques. Cette thèse s'intéresse à une classe de systèmes temps-réels incluant ceux développés avec la chaîne d'outils OASIS, développée au CEA LIST. Nos travaux portent sur la notion de délai de bout-en-bout, que nous proposons de modéliser comme une contrainte temporelle concernant l'influence du flot d'informations des entrées sur celui des sorties. Afin de répondre à la complexité croissante des systèmes temps-réels, nous étudions l'applicabilité de cette notion nouvelle au développement incrémental par raffinement et par composition. Le raffinement est abordé sous l'angle de la conservation de propriétés garantes de la correction du système au cours du processus de développement. Nous délimitons les conditions nécessaires et suffisantes à la conservation du délai de bout-en-bout lors d'un tel processus. De même, nous donnons des conditions suffisantes pour permettre le calcul du délai de bout-en-bout de manière compositionnelle. Combinés, ces résultats permettent d'établir un formalisme permettant la preuve du délai de bout-en-bout lors d'une démarche de développement incrémentale.

" [...] Puis, l'on ferra des récepteurs de télévision bijoux, comme il y a des postes de TSF bijoux. Des postes de poches, grands comme une lampe électrique. Plus besoin d'acheter un journal, l'on se branchera sur l'émission d'information, ou sur l'éditorial politique, ou sur la chronique de mode, ou sur le compte rendu sportif. Voir même sur un problème de mots croisés. Et la rue présentera un singulier spectacle. " R. Barjavel, " La télévision, oeil de demain ", 1947. C'est ainsi que l'auteur de romans de science fiction et d'anticipation René Barjavel, avait prédit dés la fin des années 40 l'avènement de ce que nous connaissons sous le nom de smartphones. Drôle de scène, en effet, que de voir des individus déambuler dans les rues, les yeux rivés sur l'objet au creux de leur main. Pour le meilleur et pour le pire, l'avènement de la mise en réseau à l'échelle mondiale a rendu les systèmes embarqués omniprésents dans notre quotidien. Désormais dans le nuage, le nombre d'information personnel en transit et les vitesses de transfert toujours plus importants, imposent une sécurité adéquate. Cependant, le coût en général associé est économiquement dissuasif. Proposer des solutions de sécurité ad-hoc pour ces systèmes restreints en ressources, est le propos de nos travaux. S'appuyant sur des techniques à la fois anciennes et récentes, nous montrons que le couple embarqué/sécurité peut s'accorder, et éviter ainsi, une inévitable procédure de divorce.

Cette thèse a pour but de proposer un algorithme de partitionnement matériel/logiciel optimisé. On travaille sur l'hypothèse de que quelques caractéristiques spécifiques à certains algorithmes déjà publiés puissent être combinées de façon avantageuse, menant à l'amélioration d'un algorithme de partitionnement de base et, par conséquence, des systèmes hétérogènes générés par cet algorithme. L'ensemble d'optimisations proposées pour être réalisées dans ce nouvel algorithme consiste en : généralisation des architecturescible candidates avec l'ajout de FPGA's pour le partitionnement, considération précise des coûts et puissances des fonctions allouées en matériel, ordonnancement de systèmes au matériel dynamiquement reconfigurable, et prise en compte de plusieurs alternatives d'implémentation d'un noeud d'application dans un même processeur. Ces optimisations sont implémentées en versions successives de l'algorithme de partitionnement proposé, lesquelles sont testées avec deux applications de traitement du signal. Les résultats du partitionnement démontrent l'effet de chaque optimisation sur la qualité du système hétérogène obtenu.

La production de systèmes temps-réel répartis embarqués (TR2E) est une opération lourde en temps et en coût de développement. De plus, les applications temps-réel doivent satisfaire des contraintes dures pour assurer leur bon fonctionnement (respect des échéances temporelles...). L'utilisation des langages de description d'architecture vise à réduire le coût de développement de ces applications. AADL (Architecture Analysis & Design Language) fait partie de cette famille de langages. Il propose la notion de ``composant'' (matériel ou logiciel) dont la sémantique bien définie permet de décrire plusieurs aspects d'un système TR2E. Les différentes contraintes qui doivent être satisfaites sont intégrées dans le modèle AADL sous forme de propriétés. Ce travail de thèse exploite les fonctionnalités offertes par AADL pour spécifier les besoins exacts d'une application AADL afin de la produire automatiquement. En effet, le processus de production que nous proposons (1) génère automatiquement le code pour intégrer les composants applicatifs à la plate-forme d'exécution, (2) génère automatiquement une importante partie des composants intergiciels taillés sur mesure pour l'application et (3) déploie automatiquement les composants applicatifs et intergiciels afin d'obtenir un système fortement dédié à l'application. Notamment, la plate-forme d'exécution supportant les composants AADL est elle même configurée statiquement en fonction des propriétés spécifiées. L'approche adoptée réduit le temps de développement et permet d'obtenir un code personnalisé et analysable. La configuration et le déploiement (souvent séparés du processus de développement) sont désormais automatiques et intégrés à la chaîne de production.

CCSL (Clock Constraint Specification Language) a été construit pour abstraire les données et l'algorithme dans l'intention de focaliser sur les événements et le contrôle. Même si CCSL a été initialement conçu pour servir de modèle de temps au profil UML MARTE, il est devenu un langage de modélisation à part entière dédié à la capture des relations de causalités, chronologiques et temporelles, propres à un modèle. Il est destiné à complémenter des modèles syntaxiques qui eux capturent les structures de données, l'architecture et l'algorithme. Ce document commence par décrire les modèles de parallélisme qui ont inspirés CCSL. Ensuite, le langage CCSL est présenté puis utilisé pour construire des bibliothèques dédiées à deux spécifications standardisées dans les domaines de l'avionique (AADL) et de l'automobile (East-ADL). Finalement, nous introduisons une technique basée sur des observateurs pour vérifier des implantations (Esterel et VHDL) et s'assurer qu'elles respectent bien les propriétés données par une spécification CCSL.

La sécurité des systèmes embarqués très contraints est un domaine qui prend de l'importance car ceux-ci ont tendance à être toujours plus connectés et présents dans de nombreuses applications industrielles aussi bien que dans la vie de tous les jours. Cette thèse étudie les attaques logicielles dans le contexte des systèmes embarqués communicants par exemple de type réseaux de capteurs. Ceux-ci, reposent sur diverses architectures qui possèdent souvent, pour des raisons des coût, des capacités de calcul et de mémoire très réduites. Dans la première partie de cette thèse nous montrons la faisabilité de l'injection de code dans des micro-contrôleurs d'architecture Harvard, ce qui était, jusqu'à présent, souvent considéré comme impossible. Dans la seconde partie nous étudions les protocoles d'attestation de code. Ceux-ci permettent de détecter les équipements compromis dans un réseau de capteurs. Nous présentons plusieurs attaques sur les protocoles d'attestation de code existants. De plus nous proposons une méthode améliorée permettant d'éviter ces attaques. Finalement, dans la dernière partie de cette thèse, nous proposons une modification de l'architecture mémoire d'un micro-contrôleur. Cette modification permet de prévenir les attaques de manipulation du flot de contrôle, tout en restant très simple a implémenter.

Ce manuscrit résume mes travaux de recherche depuis ma thèse soutenue en septembre 2002. Certains de mes travaux présentés sont achevés à l'heure actuelle, d'autres sont en cours d'avancement ou encore à un stade exploratoire. Tout au long de ces années, mes travaux se sont inscrit dans le contexte de la conception conjointe logicielle/matérielle de SoCs dédiés aux applications de traitement de signal intensif. La complexité des systèmes ciblant ce domaine d'application ne cesse de s'accroitre lors des dernières années. En effet, les besoins grandissants, en terme de puissance de calcul et stockage mémoire des applicatifs du traitement de signal intensif, rendent la conception des Soc les implémentant très fastidieuse et nécessitant un temps et des efforts considérables. Ainsi, la ligne directrice de mes travaux a toujours été de fournir des méthodes et outils d'aide à la conception de tels SoC, permettant un maximum d'automatisation, une augmentation de la productivité des concepteurs et une réduction des temps de mise sur le marché des systèmes conçus. Je me suis donc concentré principalement sur trois aspects : la modélisation de haut niveau en fournissant des méta-modèles et profils respectant le standard MARTE ; les plateformes de simulation distribuées, supportant l'interopérabilité entre plusieurs niveaux d'abstraction tout en permettant une bonne estimation de la consommation d'énergie ; et finalement la production d'outils de conception basés sur les transformations automatiques modèle à modèle de l'approche IDM. Etant convaincu du grand potentiel des FPGAs partiellement et dynamiquement reconfigurables, j'oriente de plus en plus mes travaux pour cibler de telles architectures. Ainsi, mes travaux futurs iront certainement dans le même sens, dans le cadre notamment du projet ANR FAMOUS que je dirige. Ainsi, les grandes orientations de mes recherches concerneront notamment : la modélisation (basée sur MARTE) de la reconfiguration dynamique sous toutes ses facettes (architecture, application, association, déploiement; et partitionnement); la simulation des FPGAs et l'estimation de leur consommation (pour piloter l'exploration d'architectures) ; et enfin l'intégration dans des outils de conception basés sur les standards (tels que MARTE et IDM).

Ce manuscrit résume mes travaux de recherche depuis ma thèse soutenue en septembre 2002. Certains de mes travaux présentés sont achevés à l'heure actuelle, d'autres sont en cours d'avancement ou encore à un stade exploratoire. Tout au long de ces années, mes travaux se sont inscrit dans le contexte de la conception conjointe logicielle/matérielle de SoCs dédiés aux applications de traitement de signal intensif. La complexité des systèmes ciblant ce domaine d'application ne cesse de s'accroitre lors des dernières années. En effet, les besoins grandissants, en terme de puissance de calcul et stockage mémoire des applicatifs du traitement de signal intensif, rendent la conception des Soc les implémentant très fastidieuse et nécessitant un temps et des efforts considérables. Ainsi, la ligne directrice de mes travaux a toujours été de fournir des méthodes et outils d'aide à la conception de tels SoC, permettant un maximum d'automatisation, une augmentation de la productivité des concepteurs et une réduction des temps de mise sur le marché des systèmes conçus. Je me suis donc concentré principalement sur trois aspects : la modélisation de haut niveau en fournissant des méta-modèles et profils respectant le standard MARTE ; les plateformes de simulation distribuées, supportant l'interopérabilité entre plusieurs niveaux d'abstraction tout en permettant une bonne estimation de la consommation d'énergie ; et finalement la production d'outils de conception basés sur les transformations automatiques modèle à modèle de l'approche IDM. Etant convaincu du grand potentiel des FPGAs partiellement et dynamiquement reconfigurables, j'oriente de plus en plus mes travaux pour cibler de telles architectures. Ainsi, mes travaux futurs iront certainement dans le même sens, dans le cadre notamment du projet ANR FAMOUS que je dirige. Ainsi, les grandes orientations de mes recherches concerneront notamment : la modélisation (basée sur MARTE) de la reconfiguration dynamique sous toutes ses facettes (architecture, application, association, déploiement; et partitionnement); la simulation des FPGAs et l'estimation de leur consommation (pour piloter l'exploration d'architectures) ; et enfin l'intégration dans des outils de conception basés sur les standards (tels que MARTE et IDM).

Le langage d'analyse et de description d'architectures (AADL) fait l'objet d'un intérêt croissant dans l'industrie des systèmes embarqués tempsréel. Il définit plusieurs catégories de composants, réparties en trois grandes familles (logiciel, matériel, système). Le travail réalisé durant cette thèse exploite les fonctionnalités offertes par AADL pour spécifier les besoins exacts d'une application et exprimer toutes les caractéristiques tant fonctionnelles que non fonctionnelles dimensions temporelle et spatiale), afin de la produire automatiquement. La méthodologie de production que nous proposons génère automatiquement, à partir d'une application décrite en AADL, une application décrite en BIP. BIP permet de mettre en place des systèmes robustes et sûrs en produisant un contrôleur d'exécution correct par construction et en fournissant un modèle formel. Les objectifs de ce processus de production sont : (1) fournir à AADL une sémantique formelle définie en termes de systèmes de transitions étiquetés ; (2) permettre l'analyse et la validation, c'est à dire, l'exploration exhaustive de l'espace des états du système, la détection des blocages potentiels et la vérification de certaines propriétés ; (3) permettre la génération d'une application exécutable pour simuler et déboguer les modèles AADL. Ces trois derniers points jouent en faveur de l'utilisation de méthodes formelles dans le cycle de développement.

Si l'interet et l'efficacite des methodes d'analyse statique par interpretation abstraite pour la verification des programmes critiques embarques ne sont plus a demontrer, il est maintenant necessaire d'obtenir des methodes les plus precises possibles. Si l'utilisation de domaines abstraits relationnels de plus en plus elabores permet de diminuer la surapproximation dont souffre les domaines les plus simples, les analyses actuelles souffrent toujours d'une mauvais prise en compte des entrees du programme. Ces entrees sont fournies par un capteur qui mesure une grandeur physique, et sont generalement surapproximees par un intervalle. Une piste d'etude recente pour mieux gerer ces entrees continues consiste a etudier, outre le programme lui-meme, l'environnement physique dans lequel il est execute. On obtient ainsi un systeme plus complexe comprenant une dynamique discrete (le programme) et une dynamique continue (l'environnement). L'etude de tels systemes hybrides repose actuellement essentiellement sur des extensions des automates a etats finis et des algebres de processus introduisant une dynamique continue. L'analyse de ces systemes par des techniques de model-checking souffre encore d'une explosion combinatoire excluant leur utilisation pour les logiciels embarques critiques les plus gros. La premiere contribution de cette these est une extension des langages de programmation imperatifs permettant de d´ecrire a la fois le programme, l'environnement exterieur et les interactions entre le programme et l'environnement. L'environnement physique est d´ecrit par un ensemble d'equations differentielles representant chacune un mode continu, et les interactions entre le programme et l'exterieur sont modelises par deux mots cles representant les capteurs et actionneurs. Nous donnons a l'ensemble (programme plus environnement physique) une semantique denotationnelle qui reste tres proche de celle definie pour les langages imperatifs classiques. La difficulte majeure dans la construction de cette semantique a ete de definir une semantique pour la partie continue : les solutions des equations diff´erentielles sont exprimees comme le plus petit point fixe d'un operateur monotone dans un CPO, et nous montrons que les iterees de Kleene convergent vers ce point fixe. La seconde contribution est une methode d'analyse statique par interpretation abstraite de ces systemes hybrides. Cette methode fonctionne en deux temps. Tout d'abord, sous certaines restrictions portant sur le programme a analyser, on construit un recouvrement de l'espace des variables d'entree via une analyse par intervalle couplee a une analyse d'atteignabilite en avant. On obtient ainsi une abstraction de l'impact qu'a le programme sur l'evolution continue : l'espace d'entree du programme est d´coupe en zones dans lesquelles on est sur qu'un actionneur sera active. Dans un deuxieme temps, nous utilisons ce recouvrement et une methode d'integration garantie des equations differentielles pour obtenir une surapproximation de l'evolution continue. Un analyseur prototype implementant ces techniques a ete developpe et les tests sur les exemples classiques de systemes hybrides montrent de bons resultats. Enfin, la troisieme contribution de cette these est une nouvelle methode d'integration garantie nommee GRKLib. Contrairement aux methodes existantes, GRKLib se fonde sur un schema d'integration numerique non garantie (nous avons choisi un schema de Runge-Kutta d'ordre 4, mais n'importe quelle autre convient) et nous calculons, en utilisant l'arithmetique d'intervalles, l'erreur globale commise lors de l'integration numerique. Cette erreur s'exprime comme la somme de trois termes : l'erreur sur un pas, la propagation de l'erreur et l'erreur due aux nombres flottants. Chaque terme est calcule separement et des techniques avancees permettent de les reduire et de controler au mieux le pas d'integration pour limiter l'accroissement de l'erreur globale. Une librairie C++ implementant ces concepts a ete developpee, et les resultats presentes dans cette these sont prometteurs.