Search

Real-time systems are computer systems that are required not only to produce the correct output values, as a reaction to the system inputs, but also to produce these values at the correct time. In my work, I focus on hard real-time systems, where failing to respect some constraints may have catastrophic consequences. The flight-control system of an airplane, or the autonomous driving system of a car, are good examples of hard real-time systems.A real-time system can be represented as a set of concurrent tasks, where each task either senses, computes, or actuates. Each task is subject to real-time constraints, such as periodicity and deadline constraints. Reacting faster than these constraints usually does not improve the quality of the system. Instead, the main focus of hard real-time systems development is to ensure that the constraints will always be met, so as to ensure the system safety.The development of hard real-time systems involves several research domains, which are traditionally studied by separate research communities. An important part of my work focuses on the connection between these domains. My contributions concern three main topics. First, I studied the programming of real-time systems with a domain-specific synchronous data-flow language called Prelude. Second, I studied high-level timing analyses, that is to say analyses that ensure that the system will respect all its real-time constraints at execution. Third, I studied low-level timing analyses, which analyse the code of a task to determine its Worst-Case Execution Time.; Un système temps réel est un système informatique pour lequel il est nécessaire non seulement de produire les bonnes valeurs de sortie, en réaction aux entrées du système, mais aussi de produire ces sorties aux bonnes dates. Mon travail se concentre sur les systèmes temps réel dur, pour lesquels le non respect des contraintes fonctionnelles ou temporelles peut avoir des conséquencescatastrophiques. Le système de contrôle de vol d'un avion, ou encore de conduite automatique d'une voiture, sont des exemples typiques de systèmes temps réel dur.Un système temps réel peut être représenté par un ensemble de tâches concurrentes, effectuant captation, calcul, ou actionnement. Chaque tâche est soumise à des contraintes temps réel, telles que descontraintes de périodicité ou d'échéance. Réagir plus vite que ces contraintes n'améliore pas la qualité du système. La particularité du développement de système temps réel est plutôt de devoir assurer que les contraintes contraintes de temps seront toujours satisfaites à l'exécution, afin d'assurer la sûreté du système.Le développement de systèmes temps réel dur implique plusieurs domaines de recherches, traditionnellement étudiés par des communautés de recherche distinctes. Une part importante de mon travail seconcentre sur les liens entre ces domaines. Les contributions présentées dans ce document portent sur trois sujets principaux. Tout d'abord, je présente mes contributions sur la programmation desystèmes temps réel à l'aide du langage flot-de-données Prelude. Ensuite, je présente mes contributions sur l'analyse temporelle haut-niveau, dont l'objectif est d'assurer que les contraintes temps réel seront respectées à l'exécution. Enfin, je présente mes contributions sur l'analyse temporelle bas-niveau, qui détermine le pire temps d'exécution d'une tâche à partir de son code.

Software programs are used for many critical roles. A bug in those can have a devastatingcost, possibly leading to the loss of human lives. Such bugs are usually found at a source level(which can be ruled out with source-level verification methods), but they can also be inserted bythe compiler unknowingly. CompCert is the first compiler with a formal proof of correctness:compiled programs are proven to behave the same as their source programs. However, because ofthe challenges involved in proving compiler optimizations, CompCert only has a limited numberof them. As such, CompCert usually generates low-performance code compared to classicalcompilers such as GCC. While this may not significantly impact out-of-order architectures suchas x86, on in-order architectures, particularly on VLIW processors, the slowness is significant(code running half as fast as GCC -O2). On VLIW processors, the intra-level parallelism isexplicit and specified in the assembly code through “bundles” of instructions: the compiler mustbundlize instructions to achieve good performance.In this thesis, we identify, investigate, implement and formally verify several classical optimiza-tions missing in CompCert. We start by introducing a formal model for VLIW bundles executionon an interlocked core and generate those bundles through a postpass (after register allocation)scheduling. Then, we introduce a prepass (before register allocation) superblock scheduling,implementing static branch prediction and tail-duplication along the way. Finally, we furtherincrease the performance of our generated code by implementing loop unrolling, loop rotationand loop peeling – the latter being used for Loop-Invariant Code Motion. These transformationsare verified by translation validation, some of them with hash-consing to achieve reasonablecompilation time.We evaluate each introduced optimization on benchmarks, including Polybench and TACleBench,on the KV3 VLIW core, ARM Cortex A53, and RiscV “Rocket” core. Thanks to this work, ourversion of CompCert is now only 16% slower (respectively 12% slower and 30% slower) thanGCC -O2 on the KV3 (respectively ARM and RiscV), instead of 50% (respectively 38% and45%)., On utilise des logiciels pour différents rôles, parfois critiques. La présence d’un bogue dans un logiciel peut avoir un coût dévastateur, pouvant aller jusqu’à la perte de vies humaines dans les cas les plus extrêmes. Les bogues viennent en général du code source (ceux-là peuvent être détectés par des méthodes de vérification formelle sur le langage source), mais ils peuvent être également générés par le compilateur. CompCert est le premier compilateur comportant une preuve formelle de correction : il est formellement prouvé que les programmes compilés avec cet outil ont le même comportement que leurs programmes sources originels. Cependant, comme prouver les optimisations d’un compilateur relève d’un défi considérable, CompCert n’en a qu’un nombre limité. Ainsi, en général CompCert génère du code moins performant comparé à d’autres compilateurs classiques tels que GCC. Bien que cela n’impacte peu les architectures à exécution dans le désordre telles que x86, sur des architectures à exécution dans l’ordre, et en particulier sur des processeurs VLIW, le ralentissement est important (le code résultant est deux fois plus lent que GCC -O2). Sur un processeur VLIW , le parallélisme d’instructions est explicite et spécifié dans le code assembleur par des bundles (paquets) d’instructions : le compilateur doit paquétiser les instructions pour obtenir une bonne performance. Le but de cette thèse est d’identifier, d’enquêter, d’implémenter et de vérifier formellementplusieurs optimisations classiques manquantes dans CompCert. Tout d’abord, j’introduis un model formel d’exécution de bundles VLIW sur processeur à bitoduc imbriqué. Nous génèronsces bundles à partir d’un réordonnancement en postpass (après allocation de registres). Ensuite, j’introduis un réordonnancement de superblocks en prepass (avant allocation de registres). Cetravail implique aussi l’introduction d’une prédiction statique de branchements, et une duplica-tion de queue. Enfin, pour continuer d’augmenter la performance du code généré, j’introduis du déroulage, rotation, et pelage de boucles – ce dernier étant utilisé dans du déplacementd’invariants de boucles. Ces transformations sont vérifiées par validation de translation, et certaines utilisent du partage maximal afin d’obtenir des temps de compilation raisonnables. Nous avons évalué chacune de ces optimisations sur des tests de performance, dont Polybench et TACLeBench, sur le coeur VLIW KV3, l’ARM Cortex A53, et le coeur RiscV “Rocket”. Grâce à nos travaux, notre version de CompCert est maintenant seulement 16% plus lente (respectivement12% et 30% plus lente) que GCC -O2 sur KV3 (respectivement ARM et RiscV), au lieu de 50% (respectivement 38% et 45%).

Software programs are used for many critical roles. A bug in those can have a devastating cost, possibly leading to the loss of human lives. Such bugs are usually found at the source level (which can be ruled out with source-level verification methods), but they can also be inserted by the compiler unknowingly. CompCert is the first commercially available optimizing compiler with a formal proof of correctness: compiled programs are proven to behave the same as their source programs. However, because of the challenges involved in proving compiler optimizations, CompCert only has a limited number of them. As such, CompCert usually generates low-performance code compared to classical compilers such as GCC. While this may not significantly impact out-of-order architectures such as x86, on in-order architectures, particularly on VLIW processors, the slowness is significant (code running half as fast as GCC -O2). On VLIW processors, the intra-level parallelism is explicit and specified in the assembly code through “bundles” of instructions: the compiler must bundlize instructions to achieve good performance.In this thesis, we identify, investigate, implement and formally verify several classical optimizations missing in CompCert. We start by introducing a formal model for VLIW bundles executing on an interlocked core and generate those bundles through a postpass (after register allocation) scheduling. Then, we introduce a prepass (before register allocation) superblock scheduling, implementing static branch prediction and tail-duplication along the way. Finally, we further increase the performance of our generated code by implementing loop unrolling, loop rotation and loop peeling – the latter being used for Loop-Invariant Code Motion. These transformations are verified by translation validation, some of them with hash-consing to achieve reasonable compilation time.We evaluate each introduced optimization on benchmarks, including Polybench and TACleBench, on the KV3 VLIW core, ARM Cortex A53, and RISC-V “Rocket” core. Thanks to this work, our version of CompCert is now only 16% slower (respectively 12% slower and 30% slower) thanGCC -O2 on the KV3 (respectively ARM and RISC-V), instead of 50% (respectively 38% and 45%).; On utilise des logiciels pour différents rôles, parfois critiques. La présence d’un bogue dans un logiciel peut avoir un coût dévastateur, pouvant aller jusqu’à la perte de vies humaines dans les cas les plus extrêmes. Les bogues viennent en général du code source (ceux-là peuvent être détectés par des méthodes de vérification formelle sur le langage source), mais ils peuvent être également générés par le compilateur. CompCert est le premier compilateur optimisant commercialisé comportant une preuve formelle de correction : il est formellement prouvé que les programmes compilés avec cet outil ont le même comportement que leurs programmes sources originels. Cependant, comme prouver les optimisations d’un compilateur relève d’un défi considérable, CompCert n’en a qu’un nombre limité. Ainsi, en général CompCert génère du code moins performant comparé à d’autres compilateurs classiques tels que GCC. Bien que cela n’impacte peu les architectures à exécution dans le désordre telles que x86, sur des architectures à exécution dans l’ordre, et en particulier sur des processeurs VLIW, le ralentissement estimportant (le code résultant est deux fois plus lent que GCC -O2). Sur un processeur VLIW , le parallélisme d’instructions est explicite et spécifié dans le code assembleur par des bundles (paquets) d’instructions : le compilateur doit paquétiser les instructions pour obtenir une bonne performance.Le but de cette thèse est d’identifier, d’enquêter, d’implémenter et de vérifier formellement plusieurs optimisations classiques manquantes dans CompCert. Tout d’abord, j’introduis un model formel d’exécution de bundles VLIW sur processeur à pipeline imbriqué. Nous générons ces bundles à partir d’un réordonnancement en postpass (après allocation de registres). Ensuite, j’introduis un réordonnancement de superblocks en prepass (avant allocation de registres). Ce travail implique aussi l’introduction d’une prédiction statique de branchements, et une duplication de queue. Enfin, pour continuer d’augmenter la performance du code généré, j’introduis du déroulage, rotation, et pelage de boucles – ce dernier étant utilisé dans du déplacement d’invariants de boucles. Ces transformations sont vérifiées par validation de translation, et certaines utilisent du partage maximal afin d’obtenir des temps de compilation raisonnables.Nous avons évalué chacune de ces optimisations sur des tests de performance, dont Polybench et TACLeBench, sur le coeur VLIW KV3, l’ARM Cortex A53, et le coeur RISC-V “Rocket”. Grâce à nos travaux, notre version de CompCert est maintenant seulement 16% plus lente (respectivement 12% et 30% plus lente) que GCC -O2 sur KV3 (respectivement ARM et RISC-V), au lieu de 50% (respectivement 38% et 45%).

International audience; Nowadays, air travel is one of the safest transportation means. While safety is historically well integrated into avionics systems, it is becoming increasingly important to take into account the security of such systems for the future. In particular, Host-based Intrusion Detection Systems (HIDS) are commonly used in traditional information systems to improve their security. The adaptation of such systems for deployment inside an aircraft has been studied in another work and has shown to be effective in detecting anomalous behavior in an avionic application. However, the detection itself is not sufficient to provide an on-board reaction, and to prevent such intrusion. This paper proposes to improve such HIDS by introducing a signature-based system capable of providing a first diagnosis after the detection of an anomalous behavior. The proposed diagnosis approach is based on the definition of the signature of an alert, and its comparison with a knowledge database that is regularly updated throughout aircraft lifetime. This approach has been implemented on a real avionic computer and yielded good results in terms of classification accuracy and resources consumption.

High performance in real-time is one of today's challenge of embedded Computer Vision. The study of the human vision models inspires several solutions. The bio-inspired method used by the BVS-Tech component caught the attention of the community with its hardware characteristics and its application in different industrial projects. However, the lack of mathematical formalization and simulation of the method does not allow to analyse it on academical databases.This thesis focused on the understanding, the formalization and the reproduction of the method. The mathematical model and the simulator produced allowed to validate the concept on artificial images, to analyse its behaviour and performances in a specific application. The promising results shows, however, the strong influence of several parameters. Two extensions of the method have recently been proposed: the automatic adaptation of the feature inputs and the prediction integration., Il devient difficile aujourd'hui de maintenir une amélioration des performances en vision artificielle tout en gardant une capacité de traitement embarqué temps-réel. L'étude du modèle de vision de l'être humain apporte différentes inspirations pour répondre à ce problème. La méthode utilisée par le composant bio-inspirée de BVS-Tech a attiré l'attention de la communauté par ses caractéristiques matérielles et sa mise en oeuvre dans plusieurs projets industriels. Mais l'absence de formalisme mathématique et de simulation de la méthode ne permet pas une analyse des performances de la méthode sur des bases académique. Cette thèse s'est appliquée à approfondir, formaliser et reproduire le concept du système. La modélisation mathématique et la création d'un simulateur ont permis de valider le concept de la méthode sur un set d'images artificielles et d'analyser son comportement et ses performances dans une application spécifique. Les résultats prometteurs mettent cependant en avant la forte dépendance paramétrique de la méthode. Deux extensions de la méthode ont récemment été proposées : l'adaptation automatique des caractéristiques d'entrée d'une part, et la mise en place d'un suivi de cible.

High performance in real-time is one of today's challenge of embedded Computer Vision. The study of the human vision models inspires several solutions. The bio-inspired method used by the BVS-Tech component caught the attention of the community with its hardware characteristics and its application in different industrial projects. However, the lack of mathematical formalization and simulation of the method does not allow to analyse it on academical databases.This thesis focused on the understanding, the formalization and the reproduction of the method. The mathematical model and the simulator produced allowed to validate the concept on artificial images, to analyse its behaviour and performances in a specific application. The promising results shows, however, the strong influence of several parameters. Two extensions of the method have recently been proposed: the automatic adaptation of the feature inputs and the prediction integration.; Il devient difficile aujourd'hui de maintenir une amélioration des performances en vision artificielle tout en gardant une capacité de traitement embarqué temps-réel. L'étude du modèle de vision de l'être humain apporte différentes inspirations pour répondre à ce problème. La méthode utilisée par le composant bio-inspirée de BVS-Tech a attiré l'attention de la communauté par ses caractéristiques matérielles et sa mise en oeuvre dans plusieurs projets industriels. Mais l'absence de formalisme mathématique et de simulation de la méthode ne permet pas une analyse des performances de la méthode sur des bases académique. Cette thèse s'est appliquée à approfondir, formaliser et reproduire le concept du système. La modélisation mathématique et la création d'un simulateur ont permis de valider le concept de la méthode sur un set d'images artificielles et d'analyser son comportement et ses performances dans une application spécifique. Les résultats prometteurs mettent cependant en avant la forte dépendance paramétrique de la méthode. Deux extensions de la méthode ont récemment été proposées : l'adaptation automatique des caractéristiques d'entrée d'une part, et la mise en place d'un suivi de cible.

International audience; Today, aircraft are protected by strong safety properties, qualified operators and process-based security measures. However, considering the recent evolution of in-flight services towards more connectivity, resource sharing and advanced entertainment functionalities, together with the increase of threats targeting embedded systems, the potential malicious modification of an aircraft application must be seriously considered for future systems. In this context, several solutions can be developed to improve aircraft security. In particular, Host-based Intrusion Detection Systems (HIDS) are relevant to deal with targeted threats such as an insider attack. This paper presents the specific constraints of building an HIDS onboard an aircraft, and discusses some relevant solutions that satisfy these constraints. These solutions are evaluated in terms of detection efficiency and resource consumption in order to select the solution that allows the best trade-off between efficiency and performances. The implementation of this solution on an embedded avionic computer is also described.

The desire for miniaturization of electronic circuits led the electronics to develop new methods of assembly. Progress is made through the complexification of functions, the development of new interconnections linking the circuit to the component or by the choice of architecture, an optimization of the volume. After pushing the limits of optimization with the three-dimensional assemblies, the technology turned to a volume present in all the electronic cards but which plays no active part in this one: the support of the functions, the PCB. The solution provided is to embed component in this volume. The first benefits of this solution appear quickly: volume gain and protection of components, which is why it is developing rapidly in the industry.Based on this premise, Valeo wants to adapt this technology to reduce the size of a rearview camera dedicated to the automobile. As automotive requirements are stricter than in other industries, further investigation of embedded technology is required. The objective is to validate the reliability and robustness of the circuit according to a manufacturing method. Thus, the IMS Bordeaux integrates the EDDEMA project to provide expertise, via finite element thermomechanical simulations, on the design of the circuit.As part of this thesis and to meet the expectations of the project, two studies are investigated. A general methodology is proposed to define the interconnections considered the most fragile in the context of the use of embedded technology and justify the use of finite element simulations according to the expected requirements. The objective is to determine the lifetime of an interconnection linking the component to the circuit according to its nature (solder, via, ...) and the characteristics of the component and the circuit (dimensions, height, ...) and validate the choices. such as materials or techniques made from the time of manufacture. This study is part of a local search around the component. The second study focuses on the circuit developed in the project. The impact of the position of the active components embedded in the PCB on the circuit (deformation, constraints) and the representation of the passive components in this structure will be studied to define, according to the thermomechanical considerations, the positioning limits in the circuit design. . To refine the model will pass by measurements realized on the first prototypes to corroborate the realized simulations.All this leads to determining the advantages on the embedded technology and the gain in terms of reliability and robustness of the circuit and components and validating its use in the automotive sector.; Le désir de miniaturisation des circuits électroniques a mené l’électronique à développer de nouvelles méthodes d’assemblage. Les progrès réalisés passent par la complexification des fonctions, le développement de nouvelles interconnexions liant le circuit au composant ou par les choix d’architecture, une optimisation du volume. Après avoir repoussé les limites d’optimisation avec les assemblages en trois dimensions, la technologie s’est tournée vers un volume présent dans toutes les cartes électroniques mais qui ne joue aucun rôle actif dans celui-ci : le support des fonctions, le PCB. La solution apportée est l’enfouissement de composant dans ce volume. Les premiers bénéfices de cette solution apparaissent rapidement : gain de volume et protection des composants, c’est pourquoi elle se développe rapidement dans l’industrie.Partant de ce postulat, Valeo souhaite adapter cette technologie pour réduire la taille d’une caméra de recul dédiée à l’automobile. Les exigences du domaine automobile étant plus strictes que dans d’autres industries, l’investigation plus poussée de la technologie d’enfouissement est nécessaire. L’objectif est de valider la fiabilité et la robustesse du circuit selon une méthode de fabrication. Ainsi, l’IMS de Bordeaux intègre le projet EDDEMA pour apporter une expertise, via des simulations thermomécaniques par éléments finis, sur la conception du circuit.Dans le cadre de cette thèse et pour répondre aux attentes du projet, deux axes d’études sont suivis. Une méthodologie généraliste est proposée pour parvenir à définir les interconnexions jugées les plus fragiles dans le cadre de l’emploi de la technologie d’enfouissement et justifier l’utilisation des simulations par éléments finis selon les exigences attendues. L’objectif est de déterminer la durée de vie d’une interconnexion liant le composant au circuit en fonction de sa nature (brasure, via,…) et des caractéristiques du composant et du circuit (dimensions, hauteur,…) et valider les choix technologiques tels que les matériaux ou les techniques faits dès la fabrication. Cette étude s’inscrit dans une recherche locale autour du composant. La seconde étude se recentre sur le circuit développé dans le cadre du projet. Il sera étudié l’impact de la position des composants actifs enfouis dans le PCB sur le circuit (déformation, contraintes) et la représentation des composants passifs dans cette structure pour définir, selon les considérations thermomécaniques, les limites de positionnement dans la conception du circuit. Affiner le modèle passera par des mesures réalisées sur les premiers prototypes pour corroborer les simulations réalisées.Tout ceci mène à déterminer les avantages sur la technologie d’enfouissement et le gain apporté en terme de fiabilité et de robustesse du circuit et des composants et valider son utilisation dans le secteur automobile.

The desire for miniaturization of electronic circuits led the electronics to develop new methods of assembly. Progress is made through the complexification of functions, the development of new interconnections linking the circuit to the component or by the choice of architecture, an optimization of the volume. After pushing the limits of optimization with the three-dimensional assemblies, the technology turned to a volume present in all the electronic cards but which plays no active part in this one: the support of the functions, the PCB. The solution provided is to embed component in this volume. The first benefits of this solution appear quickly: volume gain and protection of components, which is why it is developing rapidly in the industry.Based on this premise, Valeo wants to adapt this technology to reduce the size of a rearview camera dedicated to the automobile. As automotive requirements are stricter than in other industries, further investigation of embedded technology is required. The objective is to validate the reliability and robustness of the circuit according to a manufacturing method. Thus, the IMS Bordeaux integrates the EDDEMA project to provide expertise, via finite element thermomechanical simulations, on the design of the circuit.As part of this thesis and to meet the expectations of the project, two studies are investigated. A general methodology is proposed to define the interconnections considered the most fragile in the context of the use of embedded technology and justify the use of finite element simulations according to the expected requirements. The objective is to determine the lifetime of an interconnection linking the component to the circuit according to its nature (solder, via, ...) and the characteristics of the component and the circuit (dimensions, height, ...) and validate the choices. such as materials or techniques made from the time of manufacture. This study is part of a local search around the component. The second study focuses on the circuit developed in the project. The impact of the position of the active components embedded in the PCB on the circuit (deformation, constraints) and the representation of the passive components in this structure will be studied to define, according to the thermomechanical considerations, the positioning limits in the circuit design. . To refine the model will pass by measurements realized on the first prototypes to corroborate the realized simulations.All this leads to determining the advantages on the embedded technology and the gain in terms of reliability and robustness of the circuit and components and validating its use in the automotive sector., Le désir de miniaturisation des circuits électroniques a mené l’électronique à développer de nouvelles méthodes d’assemblage. Les progrès réalisés passent par la complexification des fonctions, le développement de nouvelles interconnexions liant le circuit au composant ou par les choix d’architecture, une optimisation du volume. Après avoir repoussé les limites d’optimisation avec les assemblages en trois dimensions, la technologie s’est tournée vers un volume présent dans toutes les cartes électroniques mais qui ne joue aucun rôle actif dans celui-ci : le support des fonctions, le PCB. La solution apportée est l’enfouissement de composant dans ce volume. Les premiers bénéfices de cette solution apparaissent rapidement : gain de volume et protection des composants, c’est pourquoi elle se développe rapidement dans l’industrie.Partant de ce postulat, Valeo souhaite adapter cette technologie pour réduire la taille d’une caméra de recul dédiée à l’automobile. Les exigences du domaine automobile étant plus strictes que dans d’autres industries, l’investigation plus poussée de la technologie d’enfouissement est nécessaire. L’objectif est de valider la fiabilité et la robustesse du circuit selon une méthode de fabrication. Ainsi, l’IMS de Bordeaux intègre le projet EDDEMA pour apporter une expertise, via des simulations thermomécaniques par éléments finis, sur la conception du circuit.Dans le cadre de cette thèse et pour répondre aux attentes du projet, deux axes d’études sont suivis. Une méthodologie généraliste est proposée pour parvenir à définir les interconnexions jugées les plus fragiles dans le cadre de l’emploi de la technologie d’enfouissement et justifier l’utilisation des simulations par éléments finis selon les exigences attendues. L’objectif est de déterminer la durée de vie d’une interconnexion liant le composant au circuit en fonction de sa nature (brasure, via,…) et des caractéristiques du composant et du circuit (dimensions, hauteur,…) et valider les choix technologiques tels que les matériaux ou les techniques faits dès la fabrication. Cette étude s’inscrit dans une recherche locale autour du composant. La seconde étude se recentre sur le circuit développé dans le cadre du projet. Il sera étudié l’impact de la position des composants actifs enfouis dans le PCB sur le circuit (déformation, contraintes) et la représentation des composants passifs dans cette structure pour définir, selon les considérations thermomécaniques, les limites de positionnement dans la conception du circuit. Affiner le modèle passera par des mesures réalisées sur les premiers prototypes pour corroborer les simulations réalisées.Tout ceci mène à déterminer les avantages sur la technologie d’enfouissement et le gain apporté en terme de fiabilité et de robustesse du circuit et des composants et valider son utilisation dans le secteur automobile.

The 3 years collaboration with ESS* at Lund (Sweden) has given us the opportunity to use new COTS hardware and new tools. Based on that experience, we have developed the IEE (IRFU** EPICS Environment) by retaining relevant and scalable ESS solutions. This platform centralized several functionalities, fully installed by scripting, on a server that is running on a virtual machine. The functionalities are an EPICS environment and the root file system with the kernel for each embedded systems. In order to provide homogeneous EPICS modules between all collaborators, a template was designed and used as containers for new developments. Furthermore, a development and a production workflow is also proposed and strongly recommended. Due to the current responsibility of CEA IRFU to provide an EPICS platform for SARAF** at Tel Aviv (Israel), IEE was chosen as the standard platform for the whole accelerator. This paper will present the new standard IRFU EPICS Environment based on MTCA and virtual machines., Proceedings of the 17th International Conference on Accelerator and Large Experimental Physics Control Systems, ICALEPCS2019, New York, NY, USA

Optimization of SRF cavities mainly focuses on pushing the limits of bulk Niobium, cost reduction of cavity fabrication and development of new SRF materials for future accelerators (ILC, FCC). Nowadays chemical etching is the only surface treatment used to prepare SRF surface made of Nb. However the operational cost of chemical facilities is high and these present a very bad ecological footprint. The search of an alternative technique could make the construction of these future large scale facilities possible. Metallographic polishing (MP) is a candidate not only for bulk Nb treatment, but could also provide the mirror-finished substrate for alternative SRF thin films deposition. Recent R studies, conducted at IPNO IRFU, focused on the development of 2-steps MP procedure of Nb flat samples. Roughness of polished surface has been proven better than standard EP treatment and less polluted than CBP. MP provides on flat surfaces a high removal rate (above 1 µm/min) and high reproducibility. The paper will describe the optimized method and present all the surface analysis performed. The first RF characterization of a polished disk will be presented., Proceedings of the 19th International Conference on RF Superconductivity, SRF2019, Dresden, Germany

Superconducting thin film is the promising technology to increase the performance of SRF cavities. The lower critical field Hc1, which is one of the important physical parameters characterizing a superconducting material, will be enhanced by coating Nb with thin film superconductor such as NbN. To investigate the Hc1, we developed the Hc1 measurement system using the third harmonic response of applied AC magnetic field. The measurement system consists of helium cryostat with two of GM refrigerators, sample Cu stage, solenoid coil Cu mount, solenoid coil, temperature sensors, and liquid helium level meter. AC magnetic field is produced by a coil which is driven by function generator and power amplifier at around 1 kHz. In order to control the temperature of the sample, we installed heaters and thermal anchors which could be moved by the motor. By this temperature control the sample state can be easily transferred from Meissner state to mixed state. So that the measurement is repeated for various applied magnetic field, and the transition curve can be made. In this report, measurement result of the bulk Nb sample and NbN-SiO2 multilayer thin film sample will be discussed., Proceedings of the 29\textsuperscript{th} Linear Accelerator Conf., LINAC2018, Beijing, China

We are studying a new kind of embedded real-time mesh network. Mesh networking of the components of embedded systems reconciles their real-time constraints with the new application needs in terms of bandwidth and tight interactions. The plurality of communication paths results in increased flexibility, resilience, scalability and load balancing characteristics. However, this requires the ability to dynamically allocate network resource with respect to the needs of running applications. Our approach is to allow applications to make online real-time flow resource requests and consequently allot network resources according to these requirements. To this end, we have designed the Software-Defined Real-time Networking (SDRN) architecture. It addresses flow isolation, timing analysis, routing, fault tolerance, as well as the interfaces with the application layer and the lower layers of the system. It also allows any module to be replaced without interfering with the remainder of the architecture. It has been validated via an implementation on an in-silicon RapidIO platform. This thesis describes our research on the SDRN architecture. It also proposes an original method for experimenting on embedded networks, ERICA. The ERICA framework automatically generates all what is needed to conduct a network experiment in a selected environment (such as a simulator or a testbed), with both physical and simulated aspects. Hence, it allows the researcher to perform a high-level thinking of the whole experimentation process and to reuse applications and experiment designs from an experimentation stack to another; Dans le cadre d'une thèse CIFRE conjointe entre le Loria et Thales Research & Technology, nous étudions un nouveau type de réseau maillé embarqué temps réel. La mise en réseau maillé des composants des systèmes embarqués concilie les contraintes temps réel des applications avec leurs besoins croissants en termes de bande passante et collaboration. La pluralité des chemins de communication résulte en de meilleures propriétés de flexibilité, résilience, passage à l'échelle et répartition de charge. Cependant, ceci nécessite d'être capable d'allouer dynamiquement les ressources réseau en fonction des besoins des applications. Notre approche consiste à permettre aux applications de faire des requêtes de flux temps réel à l'exécution, puis allouer dynamiquement les ressources correspondant aux besoins en communication. A cette fin, nous avons conçu l'architecture Software-Defined Real-time Networking (SDRN). Elle aborde en même temps les problématiques d'isolation des flux, analyse temporelle, routage, tolérance aux fautes, ainsi que les interfaces avec les couches applicatives et les couches basses du système. Elle est également modulaire, c'est-à-dire que certaines parties de l'architecture peuvent être remplacées sans remettre en cause les autres modules. Enfin, elle a été validée par une implémentation sur plateforme matérielle RapidIO. Ce document restitue les travaux de recherche sur SDRN. Il s'intéresse également à la problématique de l'expérimentation sur les réseaux embarqués et propose une approche originale d'expérimentation, ERICA. Cette approche facilite la mise en place d'expérimentations mêlant aspects réels et simulés. ERICA génère les fichiers nécessaires à la mise en place du scénario défini dans une interface graphique haut niveau. Elle permet ainsi au chercheur d'appliquer une réflexion haut niveau sur ses expérimentations et de réutiliser les couches communes à plusieurs scénarios d'expérimentation

Superconducting thin film is the promising technology to increase the performance of SRF cavities. The lower critical field Hc1, which is one of the important physical parameters characterizing a superconducting material, will be enhanced by coating Nb with thin film superconductor such as NbN. To investigate the performance of thin film, we developed the Hc1 measurement system using the third harmonic response of applied AC magnetic field. The measurement system consists of helium cryostat with two of GM refrigerators, sample Cu stage, solenoid coil Cu mount, solenoid coil, temperature sensors, and liquid helium level meter. AC magnetic field is produced by a coil which is driven by function generator and power amplifier at around 1 kHz. In order to control the temperature of the sample stage and coil mount, the depth of thermal anchors attached to the stage and the mount can be moved by the motor. By this temperature control the sample state can be easily transferred from Meissner state to mixed state. So that the measurement is repeated for various applied magnetic field, and the transition curve can be made. In this report, performance of the measurement system is described., Proceedings of the 9th Int. Particle Accelerator Conf., IPAC2018, Vancouver, BC, Canada

In recent years, it is pointed out that the maximum accelerating gradient of a superconducting RF cavity can be pushed up by coating the inner surface of cavity with a multilayer thin-film structure that consists of alternate insulator and superconductive layers. In this structure, the principal parameter that limits the performance of the cavity is the critical magnetic field or effective Hc1 at which vortices start penetrate into the first superconductor layer. We made a sample that has NbN/SiO2 thin-film structure on pure Nb substrate by DC magnetron sputtering method. In this paper, we will report the measurement results of effective Hc1 of the sample by the third-harmonic voltage method., Proceedings of the 9th Int. Particle Accelerator Conf., IPAC2018, Vancouver, BC, Canada

Embedded Images/Reflexive Paintings in Late Medieval Italy (14th-15th Centuries)

Human-Machine Interfaces (HMI) have become a central piece of most embedded control systems in many industrial domains. New design techniques have aroused, speeding up the development phases, but the thorough testing of embedded HMIs today remains a largely human-based, time-consuming and error-prone task. During the last decade, many improvements in control software testing. have been made, but HMI testing is still an area where companies are looking for industrial solution helping them to reduce their cost thus securing their project. This paper presents an innovative embedded HMI testing approach, which aims at reducing the time spent on HMI verification phases, by automating test creation and test results comparison, while ensuring a very high level of determinism and reproducibility.

We are studying a new kind of embedded real-time mesh network. Mesh networking of the components of embedded systems reconciles their real-time constraints with the new application needs in terms of bandwidth and tight interactions. The plurality of communication paths results in increased flexibility, resilience, scalability and load balancing characteristics. However, this requires the ability to dynamically allocate network resource with respect to the needs of running applications. Our approach is to allow applications to make online real-time flow resource requests and consequently allot network resources according to these requirements. To this end, we have designed the Software-Defined Real-time Networking (SDRN) architecture. It addresses flow isolation, timing analysis, routing, fault tolerance, as well as the interfaces with the application layer and the lower layers of the system. It also allows any module to be replaced without interfering with the remainder of the architecture. It has been validated via an implementation on an in-silicon RapidIO platform. This thesis describes our research on the SDRN architecture. It also proposes an original method for experimenting on embedded networks, ERICA. The ERICA framework automatically generates all what is needed to conduct a network experiment in a selected environment (such as a simulator or a testbed), with both physical and simulated aspects. Hence, it allows the researcher to perform a high-level thinking of the whole experimentation process and to reuse applications and experiment designs from an experimentation stack to another, Dans le cadre d'une thèse CIFRE conjointe entre le Loria et Thales Research & Technology, nous étudions un nouveau type de réseau maillé embarqué temps réel. La mise en réseau maillé des composants des systèmes embarqués concilie les contraintes temps réel des applications avec leurs besoins croissants en termes de bande passante et collaboration. La pluralité des chemins de communication résulte en de meilleures propriétés de flexibilité, résilience, passage à l'échelle et répartition de charge. Cependant, ceci nécessite d'être capable d'allouer dynamiquement les ressources réseau en fonction des besoins des applications. Notre approche consiste à permettre aux applications de faire des requêtes de flux temps réel à l'exécution, puis allouer dynamiquement les ressources correspondant aux besoins en communication. A cette fin, nous avons conçu l'architecture Software-Defined Real-time Networking (SDRN). Elle aborde en même temps les problématiques d'isolation des flux, analyse temporelle, routage, tolérance aux fautes, ainsi que les interfaces avec les couches applicatives et les couches basses du système. Elle est également modulaire, c'est-à-dire que certaines parties de l'architecture peuvent être remplacées sans remettre en cause les autres modules. Enfin, elle a été validée par une implémentation sur plateforme matérielle RapidIO. Ce document restitue les travaux de recherche sur SDRN. Il s'intéresse également à la problématique de l'expérimentation sur les réseaux embarqués et propose une approche originale d'expérimentation, ERICA. Cette approche facilite la mise en place d'expérimentations mêlant aspects réels et simulés. ERICA génère les fichiers nécessaires à la mise en place du scénario défini dans une interface graphique haut niveau. Elle permet ainsi au chercheur d'appliquer une réflexion haut niveau sur ses expérimentations et de réutiliser les couches communes à plusieurs scénarios d'expérimentation

International audience; Electromagnetic simulations of a propeller, motor and arm of a commercially available UAV are presented. The goal was to identify the incidence angles of the wave where there is a strong variation of the radar cross section of the structure due to the position of the propeller, which will help in the Doppler analysis. Additionally measurements of the UAV were performed using a commercially available 24-GHz FMCW radar. Two scenarios were considered: hovering and vertical movement. In both cases the Doppler signature is characteristic.

International audience; This paper aims to investigate a frame for defining a first functional architecture of IEDS (Intelligent Embedded Diagnosis System) in the context of FDIR (Fault Detection, Isolation and Reconfiguration) and predictive maintenance. The IEDS has to be implemented on a system/component to be monitored/maintained (on board part) and should possess a lot of capabilities such as data collection, data processing, health status generation, degradation/failure identification. .. allocated either on-board or off-board in accordance to the technological constraints. Its objective is therefore not only to diagnose faults, but also to deliver relevant information/knowledge for aiding decision-making both with regards to FDIR objective or predictive maintenance. The engineering of such IEDS is not so easy to be developed because it is concerned with functional, technological and physical requirements. A frame for supporting the consistency between all these different types of requirements is not really existing today. So, we propose in this paper to investigate a modeling frame based on system engineering principles and leading to a first generic functional architecture of IEDS.

Since operation-startup more than 10 years ago, Synchrotron SOLEIL has chosen acquisition architectures that are mainly based on CompactPCI systems. The last few years there has however been an acceleration of obsolescence issues on the CPCI products and it has also been identified that this technology would become a bottleneck in terms of performance for new projects. The MACUP project was therefore created with two main objectives: maintaining the current facility operations by addressing the hardware obsolescence risks, all while searching for alternate high-performance solutions with better embedded processing capabilities to face new challenging requirements. One additional guideline for the project is to facilitate collaborative work for accelerator and beamline projects by evaluating and standardizing a limited set of technologies like the Xilinx ZYNQ SOC, VITA 57 FMC and μTCA standards. This paper describes the adopted methodologies and roadmap to drive this project., Proceedings of the 16th Int. Conf. on Accelerator and Large Experimental Control Systems, ICALEPCS2017, Barcelona, Spain

International audience; Our research address the problem of network resource allocation for real-time communications in mesh networks. We are studying the combination of online flow admission control and pathfinding algorithms in an SDN-like controller.We propose a Software-Defined Real-time Networking protocol that allows a dynamic and incremental allocation of network resource in a mixed-critical real-time m esh network context. We also propose a method to ensure the dependability of the network, considering that transmission errors and node failures can happen. Finally, our research includes the study of a new way of experimenting on embedded networks, by making use of both an in-silicon platform and a simulator. We designed an original framework to ease conducting such experiments.

International audience; The INSPEX H2020 project main objective is to integrate automotive-equivalent spatial exploration and obstacle detection functionalities into a portable/ wearable multi-sensor, miniaturised, low power device. The INSPEX system will be used for 3D real-time detection, location and warning of obstacles under all environmental conditions in indoor and outdoor environments with static and mobile obstacles. Potential applications range from safer human navigation in reduced visibility conditions , small robot/drone obstacle avoidance systems to navigation for the visually/mobility impaired, this latter being the primary use-case considered in the project.

MC (Mixed-Criticality) is an answer for industrial systems requiring different network infrastructures to manage informations of different criticality levels inside the same system. Our purpose in this work is to find solutions to integrate gls{MC} inside highly constrained industrial domains in order to mix flows of various criticality levels inside the same infrastructure. This integration induces isolation constraints : the impact of non-critical traffic on critical traffic must be characterized and bounded. This a condition to respect timing constraints. To analyze transmission delays and focus on the determinism of transmissions, we use an end-to-end delay computation method called the trajectory approach. In our work, we use a corrected version of the trajectory approach taking into account the serialization of messages.To assure the respect of timing constraints in mixed critical networks, we first present a theoretical model of gls{MC} representation. This model is issued from gls{MC} tasks scheduling on processors. This model proposes a flow modelization which considers that each flow can be of one (low critical flows) or several criticality levels.To integrate gls{MC} inside gls{RT} networks, we propose two network protocols. The first is the centralized protocol. It is structured around the definition of a central node in the network, which is responsible for synchronizing the criticality level switch of each node through a reliable multicast protocol in charge of switching the network criticality level. This centralized protocol proposes solutions to detect the needs to change the criticality levels of all nodes and to transmit this information to the central node. The second protocol is based on a distributed approach. It proposes a local gls{MC} management on each node of a network. Each node individually manages its own internal criticality level. This protocol offers solutions to preserve when possible non-critical network flows even while transmitting critical flows in the network through weak isolation.In order to propose an implementation of these protocols inside Ethernet, we describe how to use Ethernet 802.1Q header tag to specify the criticality level of a message directly inside the frame. With this solution, each flow in the network is tagged with its criticality level and this information can be analyzed by the nodes of the network to transmit the messages from the flow or not. Additionnally, for the centralized approach, we propose a solution integrating gls{MC} configuration messages into gls{PTP} clock-synchronization messages to manage criticality configuration information in a network.In this work, we designed a simulation tool denoted as gls{ARTEMIS} (Another Real-Time Engine for Message-Issued Simulation). This tool is dedicated to gls{RT} networks analysis and gls{MC} integration scheduling scenarios. This tool, based on open and modular development guidelines, has been used all along our work to validate the theoretical models we presented through simulation. We integrated both centralized and decentralized protocols inside gls{ARTEMIS} core. The obtained simulations results allowed us to provide information about the gls{QOS} guarantees offered by both protocols. Concerning non-critical traffic : the decentralized protocol, by permitting specific nodes to stay in non-critical nodes, assures a highest success ratio of non-critical traffic correct transmission.As a conclusion, we propose solutions to integrate gls{MC} inside both industrial and gls{COTS} Ethernet architectures. The solutions can be either adapted to clock-synchronized or non clock-synchronized protocols. Depending on the protocol, the individual configuration required by each switch can be reduced to adapt these solutions to less costly network devices, La CM (Criticité Mixte) est une solution pour intégrer différents niveaux de criticité dans le même système au sein des mécanismes industriels intégrant des infrastructures réseau différentes. Notre objectif est de proposer des solutions pour intégrer la criticité mixte dans des domaines industriels hautements contraints afin de mélanger des flux de différentes criticité au sein de la même infrastructure. Cette intégration implique des contraintes d'isolation : l'impact du traffic non critique sur le traffic critique doit être borné, et le plus faible possible. C'est une condition indispensable pour assurer le respect des contraintes de temps de transmission. Afin d'analyser ces délais de transmission et de centrer notre travail sur le déterminisme de ces transmissions, nous avons recours à une méthode de calcul de délai de bout en bout appelé l'approche par trajectoires. Dans ce travail, nous utilisons une version corrigée de l'approche par trajectoires, prenant en compte la serialisation des messages.Afin d'assurer les contraintes de délais dans les réseaux à criticité mixte, nous présentons tout d'abord un modèle théorique d'intégration de la criticité mixte. Ce modèles est issu de l'ordonnancement temps-réel en contexte processeur. Ce modèle présente une modélisation des flux considérant que chaque flux peut être de plusieurs niveaux de criticité.Pour intégrer la criticité mixte dans les réseaux temps-réel, nous proposons deux protocoles différents. Le premier est le protocole centralisé. Il est organisé autour de la désignation d'un noeud central dans le réseau, responsable de la synchronisation des niveaux de criticité de chaque noeud via a un mécanisme d'émission multiple fiable. Ce mécanisme est chargé de faire changer les niveaux de criticité de tous les noeuds au même instant. Le second protocole est basé sur une approche distribuée. Il propose une gestion locale à chaque noeud de la criticité. Chaque noeud gère individuellement son propre niveau de criticité interne. Ce protocol permet de préserver les transmissions d'une part du traffic non critique au sein du réseau, même en parallèle de transmissions de flux critiques.Afin de proposer une implémentation de ces protocoles dans Ethernet, nous détaillons comment réutiliser la marque de l'en-tête de Ethernet 802.1Q pour spécifier le niveau criticité d'un message directement au sein de la trame. Grâce à cette solution, chaque flux du réseau est marqué de son niveau de criticité et cette information peut être décodée par les noeuds du réseau afin d'opérer un ordonnancement en conséquence. De plus, en gestion centralisée, nous proposons une solution permettant d'intégrer les informations de gestion de la criticité directement dans les trames du protocole de synchronization d'horloge gls{PTP}.Durant notre travail, nous avons conçu un outil de simulation dénommé gls{ARTEMIS}. Cet outil est utilisé pour l'analyse de délais de transmission dans des réseaux temps-réel et pour l'analyse de scénarios d'ordonnancement à criticité mixte. Les résultats de simulation obtenus nous permettent de formuler différentes hypothèses sur les garanties de qualité de service offertes par les protocoles centralisé et décentralisé. En termes de transmission de trafic non critique, le protocole décentralisé permet d'assurer la transmission d'une certaine quantité de messages grâce au fait que certains noeuds du réseau soient resté en mode non-critique.Pour conclure, nous proposons des solutions d'intégration de la criticité mixte à la fois dans des contextes industriels lourds et dans des architectures Ethernet grand public. Les solutions proposées peuvent être à la fois adaptées à des réseaux synchronisés ou non synchronisés. Selon le protocole, la configuration individuelle à appliquer à chaque noeud peut être réduite afin de proposer des solutions implémentables sur du matériel moins coûteux

Nowadays, in order to provide secure, reliable and performant services (e.g: mobile payments, agenda, telecommunication, videos, games, etc.), smartphones embed three different micro-controllers. From the most secure to the most general purpose one, we have the SIM card which is a secure smart card that has to prevent anyone by any means to exfiltrate sensitive assets from its internal memories. Furthermore, we also have the baseband processor, which is the only one that directly talks with the SIM card. It essentially manages all the "phone" parts (e.g: GSM/3G/4G/LTE networks) inside a mobile device. Finally, we have the application processor which runs all the general user applications. What is interesting to note for those three micro-controllers is that they are controlled by different and independent operating systems. However, one may affect the behavior of the other(s). The security of these three platforms depend on their hardware and software implementations. This thesis is concerned with the security of these three microcontrollers that are managed by independent OSs within mobile devices. We particularly focused on understanding to what extent a smart card such as SIM cards can be resistant to software attacks in the context of a multi-application environment provided by mobile devices. We were also interested in a specific family of, so-called cache attacks, namely time-driven one, as this kind of technique essentially exploits the hardware implementation of the different cache memories and the mechanisms that enable to manage them. We decided to first study and experimentally perform so-called logical attacks on smart cards. In a second step, in order to understand the attack surface, we have studied the different means to reach the SIM card from both the baseband processor and the application processor. Then, by means of reverse engineering, we tried to understand how was implemented the SIM interface from the baseband side. Finally, we have studied the cache effects on the execution speed of a program on real mobile devices, and we experimentally studied Bernstein’s time-driven cache attack in order to understand what possible events/mechanisms exacerbate (or not) the achievement of the latter on an actual mobile device.; Afin de pouvoir profiter de services sécurisés, efficaces et rapides (ex: paiement mobile, agenda, télécommunications, vidéos, jeux, etc.), de nos jours nos téléphones embarquent trois différents microcontrôleurs. Du plus sécurisé vers le plus générique nous avons, la carte SIM qui n’est autre qu’une carte à puce sécurisé chargée de garder de manière sûr au sein de sa mémoire des données sensibles. Ensuite, nous avons le processeur à bande de base qui est le seul à pouvoir discuter avec la carte SIM, et s’occupe de se charger des fonctions radio du téléphone (ex: le réseau GSM/3G/4G/LTE). Et enfin, nous avons le processeur applicatif, qui se charge d’exécuter tous les autres programmes sur le téléphone. Ce qui rend ces microcontrôleurs plus particuliers, c’est le fait qu’ils sont chacun contrôlés par un système d’exploitation totalement indépendant. Néanmoins, chacun peut avoir son influence, direct ou indirect sur l’autre/les autres. La sécurité de ces trois plateformes dépendent non seulement de leur implémentations matérielles, mais aussi de l’implémentation logicielle de leur système d’exploitation. Cette thèse s’intéresse à la sécurité logicielle, et en partie, matérielle de ces trois plateformes, afin de comprendre dans quelle mesure, une carte à puce telle que la carte SIM, est-elle résistante aux attaques logicielles dans le contexte d’un environnement multi-applicatif offert par les appareils mobiles. Nous nous intéressons aussi, à la sécurité du processeur applicatif face à une famille particulière d’attaque qui exploite le mécanisme de mémoire cache. Nous partons alors de l’étude et de l’application en pratique des attaques logiques sur carte à puce. Après avoir étudié les différents moyens qui permettent d’atteindre la carte SIM dans un mobile et ainsi d’étudier la surface d’attaque, nous poursuivons vers une étude par rétro-conception de l’implémentation de l’interface logicielle qui communique directement avec la SIM au niveau du processeur de bande de base. Ceci afin de comprendre le fonctionnement de cette partie très peu documentée. Finalement, nous étudions les effets du mécanisme de cache sur l’exécution d’un programme dans un téléphone mobile. Enfin, nous avons commencé à étudier l’attaque de Bernstein, qui consiste à exploiter les variations de temps induits par différents mécanismes de cache, en mesurant le temps global de l’exécution d’une implémentation particulière de l’algorithme cryptographique AES (Advanced Encryption Standard). Plus particulièrement, par une mise en pratique, nous essayons de déterminer ce qui exacerbe ou non la réalisation de sa technique dans le contexte d’un téléphone mobile réel.

International audience; More and more things are now connected to the Internet and become part of the Web of Things. The notion of " thing " encompasses various types of devices, from complex robots to simple sensors. In particular, things may rely on limited memory, storage and computing capabilities. We propose an architecture able to embed both semantic and RESTful technologies into constrained things, while being generic and reconfigurable. It combines emerging standards such as CoAP and Hydra to split RDF graphs, process requests, and generate responses on-the-fly. We validate our proposition by implementing such a Server in an Arduino UNO.

The subject of this thesis is the security analysis of cryptographic implementations. The need for secure communications has always been a primary need for diplomatic and strategic communications. Cryptography has always been used to answer this need and cryptanalysis have often been solicited to reveal the content of adversaries secret communications. The advent of the computer era caused a shift in the communication paradigms and nowadays the need for secure communications extends to most of commercial and economical exchanges. Modern cryptography provides solutions to achieve such new security goals but also open the way to a number of new threats. It is the case of fault and side-channel-attacks, which today represents the most dangerous threats for embedded cryptographic implementations. This thesis resumes the work of research done during the last years as a security engineer at Oberthur Technologies. Most of the results obtained have been published as research papers [9,13-17] or patents [1-6]. The security research goals of companies around the world working in the embedded domain are twofold. The security engineer has to demonstrate the ability to correctly evaluate the security of algorithms and to highlight possible threats that the product may incur during its lifetime. Furthermore it is desirable to discover new techniques that may provide advantages against competitors. It is in this context that we present our work.This manuscript is divided into four main chapters.The first chapter presents an introduction to various mathematical and computational aspects of cryptography and information theory. We also provide an introduction to the main aspects of the architecture of secure micro-controllers.Afterwards the second chapter introduces the notion of fault attacks and presents some known attack and countermeasure [15-17]. We then detail our work on asymmetric and symmetric infective fault countermeasures as long as on elliptic curves fault attacks [13].The third chapter discusses about side-channels, providing a brief introduction to the subject and to well-known side-channel attacks and countermeasures. We then present two new attacks on implementations that have been considered secure against side channels [9,14]. Afterwards we discuss our combined attack which breaks a state-of-the-art secure implementation [10].Finally, the fourth chapter concludes this works and presents some perspectives for further research.During our investigations we have also found many countermeasures that can be used to thwart attacks. These countermeasures have been mainly published in the form of patents [1-6]. Where possible some of them are presented along with the attack they are conceived to thwart.; Le sujet de cette thèse est l'analyse de sécurité des implantations cryptographiques embarquées.La sécurité a toujours été un besoin primaire pour les communications stratégiques et diplomatiques dans l'histoire. Le rôle de la cryptologie a donc été de fournir les réponses aux problèmes de sécurité, et le recours à la cryptanalyse a souvent permis de récupérer le contenu des communications des adversaires.L'arrivée des ordinateurs a causé un profond changement des paradigmes de communication et aujourd'hui le besoin de sécuriser les communications ne s'étend qu’aux échanges commerciaux et économiques.La cryptologie moderne offre donc les solutions pour atteindre ces nouveaux objectifs de sécurité, mais ouvre la voie à des nouvelles attaques : c'est par exemple le cas des attaques par fautes et par canaux auxiliaires, qui représentent aujourd'hui les dangers plus importants pour les implantations embarquées.Cette thèse résume le travail de recherche réalisé ces trois dernières années dans le rôle d'ingénieur en sécurité au sein d'Oberthur Technologies. La plupart des résultats a été publiée sous forme d'articles de recherche [9,13-17] ou de brevets [1-6].Les objectifs de recherche en sécurité pour les entreprises du milieu de la sécurité embarqué sont doubles. L'ingénieur en sécurité doit montrer la capacité d'évaluer correctement la sécurité des algorithmes et de mettre en avant les possibles dangers futurs. Par ailleurs il est désirable de découvrir des nouvelles techniques de défense qui permettent d'obtenir un avantage sur les concurrents. C'est dans ce contexte que ce travail est présenté.Ce manuscrit est divisé en quatre chapitres principaux.Le premier chapitre présente une introduction aux outils mathématiques et formels nécessaires pour comprendre la suite. Des résultats et notions fondamentaux de la théorie de l'information, de la complexité, et des probabilités sont présentés, ainsi qu'une introduction à l'architecture des micro-ordinateurs.Le chapitre suivant présente la notion d'attaque par faute et des stratégies connues pour contrecarrer ce type d'attaques. Le corps du deuxième chapitre est ensuite dédié à notre travail sur le code infectif pour les algorithmes symétriques et asymétriques [15-17] ainsi que à notre travail sur les attaques par faute sur courbes elliptiques [13].Le troisième chapitre est dédié aux attaques par canaux auxiliaires, et présente une introduction aux résultats et à certaines attaques et contremesures classiques du domaine. Ensuite nos deux nouvelles attaques ciblant des contremesures considérées sécurisées sont présentées [9,14]. Dans ce troisième chapitre est enfin présentée notre nouvelle attaque combinée qui permet de casser des implémentations sécurisées à l'état de l'art.A la fin de ce manuscrit, le quatrième chapitre présente les conclusions de notre travail, ainsi que des perspectives pour des nouveaux sujets de recherche.Pendant nos investigations nous avons trouvé différentes contremesures qui permettent de contrecarrer certaines attaques.Ces contremesures ont été publiées sous la forme de brevets [1-6]. Dans certains cas les contremesures sont présentées avec l'attaque qu'elles contrecarrent.

Safety critical software requires rigorous processes in order to achieve a high degree of integrity. These processes include so-called " verification of verification ". In the case of Model Based Development and Verification, DO-178C/DO-331 requires model coverage analysis. This paper reminds the objectives of model coverage analysis and the difference with structural code coverage analysis. It proposes coverage criteria suited to data flow models. These criteria are a generalization of the functional masking effect and also take into account modularity and in-lining of the model operators. It presents a tool supporting model coverage analysis according to these criteria. It concludes with industry field experience and future extensions.

International audience; Social experiments have recently emerged in France in order to test, on a small scale, innovative packages of social policy with the aim of generalizing them. The wish of the Fund for Experimental Youth projects (FEJ) to incorporate an evaluation protocol from the construction phase of the projects has given rise to many debates about the posture which has to be adopted by the evaluators. Indeed, in two social experiments launched in higher education, members of Céreq (the French Centre for research and qualifications) have faced a dilemma. Although independence and neutrality seemed to be necessary to ensure credibility and legitimacy of the evaluation process, it has been shown that cooperation between actors has been essential to make the evaluation a constructive process.; Les expérimentations sociales sont apparues récemment en France afin de tester à petite échelle des dispositifs innovants de politique sociale dans l'optique d'une généralisation. La volonté du Fonds d'expérimentation pour la Jeunesse (FEJ) d'intégrer un protocole d'évaluation dès la phase de construction des projets a fait émerger de nombreux débats quant à la posture à adopter par l'évaluateur. En effet, dans le cadre de l'évaluation de deux expérimentations sociales menées dans l'enseignement supérieur, certains membres du Céreq (Centre d'études et de recherche sur les qualifications) se sont trouvés face à un dilemme. Bien qu'indépendance et neutralité paraissaient nécessaires pour garantir la crédibilité et la légitimité de la démarche évaluative, il s'est avéré que la coopération entre évaluateur et expérimentateur a été également essentielle pour faire de l'évaluation une démarche constructive.

International audience; We present a new task model called BGW for preemptable, periodic task sets, scheduled on a uniprocessor embedded platform. The tasks may be subject to faults and the processor may be overloaded. According to BGW, any Black job has to execute a primary algorithm before deadline, any Grey job may execute either the primary or the backup algorithm and any White job may be discarded. We describe several Earliest Deadline First (EDF) based scheduling frameworks suitable for this model. We also present and discuss the results of experiments that compare the EDF scheduler applied to conventional Liu and Layland task sets to various schedulers applied to BGW task sets. The Quality of Service is observed through metrics including ratio of deadline success, preemption rate, etc.

International audience; This paper deals with the design of a nonlinear state observer for parameters within the gas transfer part of a fuel cell stack and its implementation on a small-scale embedded system. The fuel cell stack is of a proton exchange membrane type, with parameters specific to vehicle applications. The observer is afterwards applied on a small scale embedded board. In order to validate the embedded observer, a real time hardware in the loop testing is done using a co-simulation between the embedded observer and the professional simulation software AMESim, linked with Simulink on a Windows platform. To act upon the nonlinear character of the system, a Takagi-Sugeno approach is implemented, where the premise variables are unmeasurable. The procedure applies Lyapunov stability theory and by demanding bounded stability instead of asymptotic one, the algorithm manages to eliminate the need for Lipschitz constants

Social experiments have recently emerged in France in order to test, on a small scale, innovative packages of social policy with the aim of generalizing them. The wish of the Fund for Experimental Youth projects (FEJ) to incorporate an evaluation protocol from the construction phase of the projects has given rise to many debates about the posture which has to be adopted by the evaluators. Indeed, in two social experiments launched in higher education, members of Céreq (the French Centre for research and qualifications) have faced a dilemma. Although independence and neutrality seemed to be necessary to ensure credibility and legitimacy of the evaluation process, it has been shown that cooperation between actors has been essential to make the evaluation a constructive process., Les expérimentations sociales sont apparues récemment en France afin de tester à petite échelle des dispositifs innovants de politique sociale dans l'optique d'une généralisation. La volonté du Fonds d'expérimentation pour la Jeunesse (FEJ) d'intégrer un protocole d'évaluation dès la phase de construction des projets a fait émerger de nombreux débats quant à la posture à adopter par l'évaluateur. En effet, dans le cadre de l'évaluation de deux expérimentations sociales menées dans l'enseignement supérieur, certains membres du Céreq (Centre d'études et de recherche sur les qualifications) se sont trouvés face à un dilemme. Bien qu'indépendance et neutralité paraissaient nécessaires pour garantir la crédibilité et la légitimité de la démarche évaluative, il s'est avéré que la coopération entre évaluateur et expérimentateur a été également essentielle pour faire de l'évaluation une démarche constructive.

This paper describes different safety and security mechanisms implemented in the Linux kernel to prevent and protect against accidental or malicious misbehaviour in user applications. First, we present a generic system model for user applications with different levels of criticality and deterministic behaviour. From this, a theoretical model for failure modes and attack scenarios on the stability of the operating system and concurrently executed user applications is derived. Then, technologies in the Linux kernel to counter the identified failure modes and attack scenarios are examined and compared. Current work in progress is to implement requirement-based tests for these security measures and assess their effectiveness, efficiency and limits.

The work, presented in this thesis, aims at performing automatically scheduling analysis of Time Division Multiple Access (TDMA) based communication systems. Products called software radio protocols, developed at Thales Communications & Security, are examples of such systems.TDMA is a channel access method based on the division of time into several time slots. TDMA-based software radio protocols are real-time embedded systems. They are implemented by tasks that are statically allocated on multiple processors. A task may have an execution time, a deadline, and a release time that depend on TDMA. The tasks also have dependencies through precedence and shared resources.TDMA-based software radio protocols have architecture characteristics that are not handled by scheduling analysis methods of the literature. A consequence is that existing methods give either optimistic or pessimistic analysis results. Furthermore, existing architecture models at Thales do not contain enough information to be used for scheduling analysis. The information is only available in specification documents. These issues impact the possibility to perform scheduling analysis, but also the possibility to perform it automatically.The propositions of this thesis solve these problems. An experimental architecture model is proposed in the UML MARTE modeling language. The architecture model is transformed to a task model called Dependent General Multiframe (DGMF). The DGMF task model describes, in particular, the different jobs of a task, and task dependencies. To analyze DGMF tasks, they are transformed to another model called tree-shaped transaction. Transactions are precedence dependent tasks. Transactions that result from the transformation have non-immediate tasks. These tasks are not necessarily released immediately by their predecessor task. To consider the effects of non-immediateness, this thesis proposes the WCDOPS+NIM schedulability test for tree-shaped transactions. The general analysis method is implemented as a toolchain that can be used by engineers at Thales.Experimental results show that the propositions give less pessimistic schedulability results, compared to fundamental methods. The results are less pessimistic for both randomly generated systems and real case-studies from Thales. Furthermore, experiments show that scheduling analysis can be applied automatically to a TDMA-based software radio protocol.Less pessimistic results are important for engineering work, in order to limit the over-dimensioning of resources. The automatic analysis is a gain in productivity. These are advantages for engineers in the more and more competitive market of software radios.Experimental results show that the DGMF gives less pessimistic analysis results for TDMA-based software radio protocols. The results are less pessimistic for both simulated systems and real case-studies developed at THALES. Furthermore, the approach is scalable to real systems and the analysis can be performed automatically on such systems.; Le travail présenté dans cette thèse vise à analyser automatiquement l’ordonnancement de systèmes de communications basés sur TDMA. Des produits développés chez Thales Communications & Security, appelés protocoles radio logicielle, sont des exemples de tels systèmes.TDMA est une méthode d’accès au canal basée sur la division du temps en slot temporel. Les protocoles radio logicielle basés sur TDMA sont des systèmes temps-réel embarqués. Ils sont implémentés avec des tâches allouées statiquement sur des processeurs. Une tâche peut avoir un temps d’exécution, une échéance, et un temps d’activation qui dépendent de TDMA. Les tâches sont dépendantes par précédence et ressource partagée.Les protocoles radio logicielle basé sur TDMA ont des caractéristiques d’architecture qui ne sont pas supportés par les méthodes d’analyse de la littérature. Elles donnent donc des résultats d’analyse optimistes ou pessimistes. De plus, les modèles d’architecture à Thales ne contiennent pas assez d’informations pour être utilisés pour l’analyse. Ces informations ne sont disponibles que dans des documents de spécification. Ces problèmes impactent la possibilité d’appliquer l’analyse mais aussi de l’appliquer automatiquement.Les propositions de cette thèse règlent ces problèmes. Un modèle d’architecture expérimental est proposé en UML MARTE. Le modèle d’architecture est transformé au modèle de tâche Dependent General Multiframe (DGMF). DGMF décrit, en particulier, les activations d’une tâche et ses dépendances. Pour analyser les tâches DGMF, elles sont transformées en un autre modèle appelé transaction arborescente. Les transactions sont des tâches contraintes par précédence. Les transactions issues de la transformation ont des tâches non-immédiates. Une telle tâche n’est pas nécessairement activée immédiatement par son prédécesseur. Pour prendre en compte l’effet de la non-immédiateté, cette thèse propose le test d’ordonnançabilité WCDOPS+NIM pour transaction arborescente. La méthode d’analyse générale est implémentée comme chaîne d’outils dédiée aux ingénieurs chez Thales.Des expériences montrent que les propositions donnent des résultats d’ordonnançabilité moins pessimistes, comparés aux méthodes fondamentales. Les résultats sont moins pessimistes pour des systèmes générés aléatoirement et des vrais cas d’étude chez Thales. L’analyse peut aussi être appliquée automatiquement à un protocole radio logicielle basé sur TDMA.Des résultats moins pessimistes permettent de limiter le surdimensionnement des ressources. L’analyse automatique est un gain de productivité. Ce sont des avantages pour les ingénieurs dans un marché de la radio logicielle de plus en plus compétitif.

The work, presented in this thesis, aims at performing automatically scheduling analysis of Time Division Multiple Access (TDMA) based communication systems. Products called software radio protocols, developed at Thales Communications & Security, are examples of such systems.TDMA is a channel access method based on the division of time into several time slots. TDMA-based software radio protocols are real-time embedded systems. They are implemented by tasks that are statically allocated on multiple processors. A task may have an execution time, a deadline, and a release time that depend on TDMA. The tasks also have dependencies through precedence and shared resources.TDMA-based software radio protocols have architecture characteristics that are not handled by scheduling analysis methods of the literature. A consequence is that existing methods give either optimistic or pessimistic analysis results. Furthermore, existing architecture models at Thales do not contain enough information to be used for scheduling analysis. The information is only available in specification documents. These issues impact the possibility to perform scheduling analysis, but also the possibility to perform it automatically.The propositions of this thesis solve these problems. An experimental architecture model is proposed in the UML MARTE modeling language. The architecture model is transformed to a task model called Dependent General Multiframe (DGMF). The DGMF task model describes, in particular, the different jobs of a task, and task dependencies. To analyze DGMF tasks, they are transformed to another model called tree-shaped transaction. Transactions are precedence dependent tasks. Transactions that result from the transformation have non-immediate tasks. These tasks are not necessarily released immediately by their predecessor task. To consider the effects of non-immediateness, this thesis proposes the WCDOPS+NIM schedulability test for tree-shaped transactions. The general analysis method is implemented as a toolchain that can be used by engineers at Thales.Experimental results show that the propositions give less pessimistic schedulability results, compared to fundamental methods. The results are less pessimistic for both randomly generated systems and real case-studies from Thales. Furthermore, experiments show that scheduling analysis can be applied automatically to a TDMA-based software radio protocol.Less pessimistic results are important for engineering work, in order to limit the over-dimensioning of resources. The automatic analysis is a gain in productivity. These are advantages for engineers in the more and more competitive market of software radios.Experimental results show that the DGMF gives less pessimistic analysis results for TDMA-based software radio protocols. The results are less pessimistic for both simulated systems and real case-studies developed at THALES. Furthermore, the approach is scalable to real systems and the analysis can be performed automatically on such systems.; Le travail présenté dans cette thèse vise à analyser automatiquement l’ordonnancement de systèmes de communications basés sur TDMA. Des produits développés chez Thales Communications & Security, appelés protocoles radio logicielle, sont des exemples de tels systèmes.TDMA est une méthode d’accès au canal basée sur la division du temps en slot temporel. Les protocoles radio logicielle basés sur TDMA sont des systèmes temps-réel embarqués. Ils sont implémentés avec des tâches allouées statiquement sur des processeurs. Une tâche peut avoir un temps d’exécution, une échéance, et un temps d’activation qui dépendent de TDMA. Les tâches sont dépendantes par précédence et ressource partagée.Les protocoles radio logicielle basé sur TDMA ont des caractéristiques d’architecture qui ne sont pas supportés par les méthodes d’analyse de la littérature. Elles donnent donc des résultats d’analyse optimistes ou pessimistes. De plus, les modèles d’architecture à Thales ne contiennent pas assez d’informations pour être utilisés pour l’analyse. Ces informations ne sont disponibles que dans des documents de spécification. Ces problèmes impactent la possibilité d’appliquer l’analyse mais aussi de l’appliquer automatiquement.Les propositions de cette thèse règlent ces problèmes. Un modèle d’architecture expérimental est proposé en UML MARTE. Le modèle d’architecture est transformé au modèle de tâche Dependent General Multiframe (DGMF). DGMF décrit, en particulier, les activations d’une tâche et ses dépendances. Pour analyser les tâches DGMF, elles sont transformées en un autre modèle appelé transaction arborescente. Les transactions sont des tâches contraintes par précédence. Les transactions issues de la transformation ont des tâches non-immédiates. Une telle tâche n’est pas nécessairement activée immédiatement par son prédécesseur. Pour prendre en compte l’effet de la non-immédiateté, cette thèse propose le test d’ordonnançabilité WCDOPS+NIM pour transaction arborescente. La méthode d’analyse générale est implémentée comme chaîne d’outils dédiée aux ingénieurs chez Thales.Des expériences montrent que les propositions donnent des résultats d’ordonnançabilité moins pessimistes, comparés aux méthodes fondamentales. Les résultats sont moins pessimistes pour des systèmes générés aléatoirement et des vrais cas d’étude chez Thales. L’analyse peut aussi être appliquée automatiquement à un protocole radio logicielle basé sur TDMA.Des résultats moins pessimistes permettent de limiter le surdimensionnement des ressources. L’analyse automatique est un gain de productivité. Ce sont des avantages pour les ingénieurs dans un marché de la radio logicielle de plus en plus compétitif.

International audience; Real-time systems are used in a wide range of applications, including control, sensing, multimedia, etc. Scheduling is a central problem for these computing/communication systems since responsible of software execution in a timely manner. This book provides state of knowledge in this domain with special emphasis on the key results obtained within the last decade.

In this paper we present briefly our reflexion on how to communicate with a dog using embedded devices. We also present the prototype collar we made in order to improve the communication between an assistance dog and his disabled master.

International audience; This paper presents mechanical simulations results of an innovative strain transfer structure consisting in a buried compressive SiGe layer embedded under an ultra-thin buried oxide (BOX). We studied the influence of different dimensions including the active area and determined optimal parameters of the SiGe layer maximizing the strain. We demonstrate a transfer of a tensile stress up to 1.3 GPa in the silicon. Thanks to 3D simulations and the study of stress profiles in the SOI, the electron mobility enhancement is estimated to be about 80% for logic transistors at the 10 nm node. The strain induced in the channel by the edge relaxation of an embedded buried SiGe layer is compared to strained Silicon-On-Insulator (sSOI) wafers and strained nitride layer for Fully Depleted Silicon-On-Insulator (FDSOI).

In the last decades embedded systems have been challenged with more and more application variety, each time more constrained. This implies an ever growing need for performances and energy efficiency in arithmetic units. This work studies solutions ranging from hardware to software to improve arithmetic support in embedded systems. Some of these solutions were integrated in Kalray's MPPA processor.The first part of this work focuses on floating-Point arithmetic support in the MPPA. It starts with the design of a floating-Point unit (FPU) based on the classical FMA (Fused Multiply-Add) operator. The improvements we suggest, implement and evaluate include a mixed precision FMA, a 3-Operand add and a 2D scalar product, each time with a single rounding and support for subnormal numbers. It then considers the implementation of division and square root. The FPU is reused and modified to optimize the software implementations of those primitives at a lower cost. Finally, this first part opens up on the development of a code generator designed for the implementation of highly optimized mathematical libraries in different contexts (architecture, accuracy, latency, throughput).The second part studies a reconfigurable coprocessor, a hardware operator that could be dynamically modified to adapt on the fly to various applicative needs. It intends to provide performance close to ASIC implementation, with some of the flexibility of software. One of the addressed challenges is the integration of such a reconfigurable coprocessor into the low power embedded cluster of the MPPA. Another is the development of a software framework targeting the coprocessor and allowing design space exploration.The last part of this work leaves micro-Architecture considerations to study the efficient use of parallel arithmetic resources. It presents an improvement of regular architectures (Single Instruction Multiple Data), like those found in graphic processing units (GPU), for the execution of divergent control flow graphs.; Au cours des dernières décennies les systèmes embarqués ont dû faire face à des demandes applicatives de plus en plus variées et de plus en plus contraintes. Ce constat s'est traduit pour l’arithmétique par le besoin de toujours plus de performances et d'efficacité énergétique. Ce travail se propose d'étudier des solutions allant du matériel au logiciel, ainsi que les diverses interactions qui existent entre ces domaines, pour améliorer le support arithmétique dans les systèmes embarqués. Certains résultats ont été intégrés au processeur MPPA développé par Kalray.La première partie est consacrée au support de l'arithmétique virgule flottante dans le MPPA. Elle commence par la mise au point d'une unité flottante matérielle basée sur l'opérateur classique FMA (fused multiply-Add). Les améliorations proposées, implémentées et évaluées incluent un FMA à précision mixte, l'addition à 3 opérandes et le produit scalaire 2D, à chaque fois avec un seul arrondi et le support des sous-Normaux. Cette partie se poursuit par l'étude de l'implémentation des autres primitives flottantes normalisées : division et racine carrée. L'unité flottante matérielle précédente est réutilisée et modifiée pour optimiser ces primitives à moindre coût. Cette première partie s’ouvre sur le développement d'un générateur de code destiné à l'implémentation de bibliothèques mathématiques optimisées pour différents contextes (architecture, précision, latence, débit).La seconde partie consiste en la présentation d'une nouvelle architecture de coprocesseur reconfigurable. Cet opérateur matériel peut être dynamiquement modifié pour s'adapter à la volée à des besoins applicatifs variés. Il vise à fournir des performances se rapprochant d'une implémentation matérielle dédiée sans renier la flexibilité inhérente au logiciel. Il a été spécifiquement pensé pour être intégré avec un cœur embarqué faible consommation du MPPA. Cette partie s'attache aussi à décrire le développement d'un environnement logiciel pour cibler ce coprocesseur ainsi qu'explorer divers choix architecturaux envisagés.La dernière partie étudie un problème plus large : l'utilisation efficace de ressources arithmétiques parallèles. Elle présente une amélioration des architectures régulières Single Instruction Multiple Data tels qu’on les trouve dans les accélérateurs graphiques (GPU) pour l'exécution de graphes de flot de contrôle divergents.

The standard CENELEC 50128 [CEN 01, 11] identifies a complete process for software development of railway application. The new version 2011 introduced many new needs and a complete new structure. In this paper we present the new version of the CENELEC EN 50128 and describes how we can instantiate it. This new version introduce some new activities such the tools qualification, the software deployment, etc. and develop some activities such the data preparation and the software maintenance. In railway, we used from many year some formal methods for the specification, the conception and the verification by proof or model checking. This paper present the new CENELEC 50128 ([CEN 11]) and describe how the formal method can be used and what is impact on the recommended activities. 2

As embedded systems are more than ever present in our society, their security is becoming an increasingly important issue. However, based on the results of many recent analyses of individual firmware images, embedded systems acquired a reputation of being insecure. Despite these facts, we still lack a global understanding of embedded systems’ security as well as the tools and techniques needed to support such general claims. In this paper we present the first public, large-scale analysis of firmware images. In particular, we unpacked 32 thousand firmware images into 1.7 million individual files, which we then statically analyzed. We leverage this large-scale analysis to bring new insights on the security of embedded devices and to underline and detail several important challenges that need to be addressed in future research. We also show the main benefits of looking at many different devices at the same time and of linking our results with other large-scale datasets such as the ZMap’s HTTPS survey. In summary, without performing sophisticated static analysis, we discovered a total of 38 previously unknown vulnerabilities in over 693 firmware images. Moreover, by correlating similar files inside apparently unrelated firmware images, we were able to extend some of those vulnerabilities to over 123 different products. We also confirmed that some of these vulnerabilities altogether are affecting at least 140K devices accessible over the Internet. It would not have been possible to achieve these results without an analysis at such wide scale. We believe that this project, which we plan to provideas a firmware unpacking and analysis web service1 , will help shed some light on the security of embedded devices.

The SESAMO project directly addresses the root causes of problems arising from the convergence of safety and security in embedded systems at architectural level, where subtle and poorly understood interactions between functional safety and security mechanisms impede system definition, development, certification, and accreditation procedures and standards. Intense market innovation is being held back by this root cause: the absence of a rigorous theoretical and practical understanding of safety and security feature interaction.

International audience; This paper deals with the evolution of embedded systems software at run-time. To accomplish such software evolution activities in resource-constrained embedded systems, we propose a component-based, execution time evolution infrastructure, that reconciles richness of evolution alternatives and performance requirements. The proposition is based on fine-grained optimization of embedded components, and on off-site component reifications called mirrors, which are representations of components that allow us to treat evolution concerns remotely and hence to reduce the memory footprint. An evaluation on a real-world evolution scenario shows the efficiency and relevance of our approach.

This PhD thesis is devoted to the study of combinatorial optimization problems related to massively parallel embedded architectures when taking into account uncertain data (e.g. execution time). Our focus is on chance constrained programs with the objective of finding the best solution which is feasible with a preset probability guarantee. A qualitative analysis of the uncertain data we have to treat (dependent random variables, multimodal, multidimensional, difficult to characterize through classical distributions) has lead us to design a non parametric method, the so-called "robust binomial approach", valid whatever the joint distribution and which is based on robust optimization and statistical hypothesis testing. We also propose a methodology for adapting approximate algorithms for solving stochastic problems by integrating the robust binomial approach when verifying for solution feasibility. The paractical relevance of our approach is validated through two problems arising in the compilation of dataflow application for manycore platforms. The first problem treats the stochastic partitioning of networks of processes on a fixed set of nodes, by taking into account the load of each node and the uncertainty affecting the weight of the processes. For finding stochastic solutions, a semi-greedy iterative algorithm has been proposed which allowed measuring the robustness and cost of the solutions with regard to those for the deterministic version of the problem. The second problem consists in studying the global placement and routing of dataflow applications on a clusterized architecture. The purpose being to place the processes on clusters such that it exists a feasible routing, a GRASP heuristic has been conceived first for the deterministic case and afterwards extended for the chance constrained variant of the problem., Ce travail de thèse de doctorat est dédié à l'étude de problèmes d'optimisation combinatoire du domaine des architectures massivement parallèles avec la prise en compte des données incertaines tels que les temps d'exécution. On s'intéresse aux programmes sous contraintes probabilistes dont l'objectif est de trouver la meilleure solution qui soit réalisable avec un niveau de probabilité minimal garanti. Une analyse quantitative des données incertaines à traiter (variables aléatoires dépendantes, multimodales, multidimensionnelles, difficiles à caractériser avec des lois de distribution usuelles), nous a conduit à concevoir une méthode qui est non paramétrique, intitulée "approche binomiale robuste". Elle est valable quelle que soit la loi jointe et s'appuie sur l'optimisation robuste et sur des tests d'hypothèse statistique. On propose ensuite une méthodologie pour adapter des algorithmes de résolution de type approchée pour résoudre des problèmes stochastiques en intégrant l'approche binomiale robuste afin de vérifier la réalisabilité d'une solution. La pertinence pratique de notre démarche est enfin validée à travers deux problèmes issus de la compilation des applications de type flot de données pour les architectures manycore. Le premier problème traite du partitionnement stochastique de réseaux de processus sur un ensemble fixé de nœuds, en prenant en compte la charge de chaque nœud et les incertitudes affectant les poids des processus. Afin de trouver des solutions robustes, un algorithme par construction progressive à démarrages multiples a été proposé ce qui a permis d'évaluer le coût des solution et le gain en robustesse par rapport aux solutions déterministes du même problème. Le deuxième problème consiste à traiter de manière globale le placement et le routage des applications de type flot de données sur une architecture clustérisée. L'objectif est de placer les processus sur les clusters en s'assurant de la réalisabilité du routage des communications entre les tâches. Une heuristique de type GRASP a été conçue pour le cas déterministe, puis adaptée au cas stochastique clustérisé.

In this paper, we put forward a method for humanoid robot indoor localization and navigation, using 2D bar codes, running on embedded hardware. Our approach is based on camera image processing and the detection of 2D bar codes stuck to the walls. The particularities of our approach are: it works without odometry, fast localization ( 1s) that allows for kidnapping and falls, and it does not require the manual edition of a map (thus no extra computer is needed). Results of an experimental study conducted with three different NAO robots in our office show that the proposed system is operational and usable in domestic environments. The NAO robots are able to navigate through a corridor of 5m in under 86s on average. Moreover using our system the robots manage to map and navigate a complex environment with multiple rooms that includes doors and furniture. Taken together our results demonstrate that our navigation system could become a standard feature for our robots.

International audience; In pervasive systems, software applications are dynamically composed from the services provided by the smart devices spread in the local environment. A system must react to changes that occur in the environment and reconfigure applications in order to maintain their operation and assume their missions at its best. This paper advocates the need for a mission description language, which enables to describe applications in a declarative way as abstract service compositions. The system uses mission definitions to calculate a configuration that best executes them with the currently available resources. This optimal configuration is intended to maximize the utility of the system, considering user preferences, available resources, and mission criticality. Contextual adaptations are captured in the mission language as modes and strategies, that respectively describe evolutions of the assigned mission set and alternate ways to execute missions. These mechanisms leverage service component ap- proach, for the dynamic deployment of missions, and agent- orientation, for autonomic configuration management.

In this paper we propose a UML profile that extends the Unified Modeling Language (UML) to support the development of safety-critical embedded software in accordance with the safety standard IEC 61508 [5]. Our profile enables software developers to precisely express certification-related information using the UML notation. This improved information density in software models can be exploited as foundation for activities in various software development phases, for example the reuse of certified software components or the deployment of safety-critical and non-critical software components to separated nodes.

International audience; This paper investigates the various ways in which Finnish entrepreneurs perceive company growth. The data include an MBA alumni survey, a Linked In sub-group and semi-structured interviews with entrepreneurs. The method is a mix of quantitative and qualitative thematic content analysis, providing an understanding of growth embedded in entrepreneurs' own experience. This was found to be holistically framed, with a discourse far removed from the abstractions of economics and commerce as conventionally conceived. Rather the entrepreneurs had a strong sense of collective responsibility to their group and issues of personal development figured highly. The early results underline a model of entrepreneurship as culturally embedded.

Structural health monitoring is today growing challenge. A good health structure allows to assure in real-time a good performance level, to keep a high level of safety and to plan maintenance. Why drone applications? Drones are very expansive aircrafts, also referred to as UVA (unmanned air vehicle), exposed to a harsh environment due to their frequent military usage. In this context, propellers are among the key components worth health monitoring. The purpose of our research is to develop for the drone propeller an integrated electronics combining accelerometers and signal processing, able to record damaging events for the drone: shocks, vibrations or overspeeds whereas strain gauges could not analyze all these criteria. These parameters allow concluding whether the blade is damaged or not. This paper will present our embedded microsystem on drone propellers. Then we will show through real experiments how it is possible to monitor and detect events like stone shocks, propeller overspeeds or too strong vibrations. Specific algorithm for diagnosis will be discussed and evaluated in different environment tests conditions. Moreover the use of a wireless synchronization between several propellers will be studied too.