Search

My CIFRE thesis is a continuation of the theses conducted by Tsirizo Rabenoro (Rabenoro, 2015), Cynthia Faure (Faure, 2018), Florent Forest (Forest, 2021). The objective of this thesis is to develop a methodology to understand and highlight specific typologies of aircraft engine operation during reception tests carried out on test benches, and to help Safran Aircraft Engines' engineers in the design of their engines.From a theoretical point of view, the main challenge of this thesis is to model and explain the observed and unobserved physical phenomena using statistical methods and to interpret the cause using a (small) part of the explanatory variables. This work is therefore placed in the supervised and unsupervised framework, with a strong constraint, that of constructing interpretable models: we seek to indicate the contribution of each variable to the construction of the model, which is what we call measuring the importance of the variables. In addition, we seek to improve interpretability by constructing parsimonious models, i.e. such that the variables which do not contribute to their construction are excluded. In the unsupervised framework, methods for partitioning groups of observations, or \textit{clustering} methods, will be studied. The solution we are looking for must be able to be used in high dimension, must be interpretable and must be able to take into account the group structure of the variables. This type of method is known as sparse clustering methods. In the supervised framework, we propose methods modelling a phenomenon described by continuous (respectively categorical) variables, i.e. regression (respectively classification) methods. The same constraints are imposed as in the unsupervised case (handling high dimensional data, being sparse, indicating the importance of the variables, taking into account the group structures of the variables). Moreover, let us note that we want to model a physical phenomenon with the aim of explaining its principles and that we are therefore not (directly) interested in the predictive aspects. This point is extremely important because we will see that explaining a phenomenon and explaining the prediction of the associated model are two goals that can be contradictory.A specific feature of sparse algorithms is that they depend on a parameter to be adjusted (in the same way as clustering methods). Different values of this parameter give rise to different models and it is necessary to choose between all these models. Thus, it is essential to have an efficient model selection method. It must be emphasised that model selection is a major challenge in unsupervised clustering. Indeed, there is no universally accepted method to evaluate clustering results for the obvious reason that there is no ground truth against which the results can be compared. This is also the case when one is interested in variable selection (sparse models) and variable importance, even in the supervised framework, as one never has the set of variables and the variable importance defining the underlying phenomenon under study.; Mon travail de thèse CIFRE s’inscrit dans la continuité des thèses menées par Tsirizo Rabenoro (Rabenoro,2015), Cynthia Faure (Faure, 2018), Florent Forest (Forest, 2021). L’objectif de cette thèse est de développer une méthodologie pour comprendre et mettre en évidence des typologies spécifiques du fonctionnement des moteurs d’avion lors de tests de réception effectués sur des bancs d’essai, et d’aider les ingénieurs métier de Safran Aircraft Engines dans l’analyse des résultats.Du point de vue théorique, l'enjeu principal de ce travail de thèse est de modéliser et expliquer les phénomènes physiques observés et non observés à l'aide de méthodes statistiques et d'en interpréter la cause à l'aide d'une (petite) partie des variables explicatives. Ce travail se place donc dans le cadre supervisé et non supervisé, avec une contrainte forte, celle de construire des modèles interprétables: on cherche à indiquer la contribution de chaque variable à la construction du modèle, c'est ce que l'on appelle mesurer l'\emph{importance des variables}. En outre, on cherche à améliorer l'interprétabilité en construisant des modèles parcimonieux ou \emph{sparses} en anglais, c'est-à-dire tels que les variables qui ne contribuent pas à leur construction en soient exclues. Dans le cadre non supervisé, des méthodes de partitionnement de groupes d'observations, ou méthodes de \textit{clustering} en anglais, vont être étudiées. La solution que nous cherchons doit pouvoir s'utiliser en grande dimension, doit être interprétable et elle doit pouvoir tenir compte de la structure de groupes des variables. Ce type de méthode est connu sous le nom de méthodes de clustering sparse. Dans le cadre supervisé, nous proposons des méthodes modélisant un phénomène décrit par des variables continues (respectivement catégorielles), c'est-à-dire des méthodes de régression (respectivement de classification). On impose les mêmes contraintes que dans le cas non supervisé (gérer des données de grande dimension, être sparse, indiquer l'importance des variables, tenir en compte des structures de groupes de variables). Par ailleurs, remarquons que nous voulons modéliser un phénomène physique dans le but d'en expliquer les principes et donc que nous ne sommes pas (directement) intéressés par les aspects prédictifs. Ce point est extrêmement important car nous verrons qu'expliquer un phénomène et expliquer la prédiction du modèle associé sont deux buts qui peuvent être contradictoires.Une caractéristique propre aux algorithmes sparses est qu'ils dépendent d'un paramètre à ajuster (au même titre que les méthodes de clustering). Différentes valeurs de ce paramètre donnent naissance à différents modèles et il est nécessaire de choisir entre tous ces modèles. Ainsi, il est primordial de disposer d'une méthode de sélection de modèle efficace. Il faut insister sur le fait que la sélection de modèle est un défi majeur en clustering non supervisé. En effet, il n'existe pas de méthode universellement admise pour évaluer les résultats du clustering pour la raison évidente qu'il n'y a pas de vérité de terrain par rapport à laquelle les résultats pourraient être comparés. C'est aussi le cas lorsque l'on s'intéresse à la sélection de variables (modèles sparses) et à l'importance de variables, même dans le cadre supervisé, car on ne dispose jamais du \emph{vrai} ensemble de variables et des \emph{vraies} importances de variables définissant le phénomène sous-jacent étudié.

Domain adaptation aims to alleviate the gap between different data distributions, commonly referred to as the source distribution and target distribution. Most of the related works seek either a latent space where source and target data share the same distribution or a transformation of the source distribution to match the target one. This thesis studies a realistic domain adaptation setting where one has access to an already existing ``black-box'' machine learning model. Indeed, in a industrial scenario like for Worldline, an efficient pre-trained source domain predictive model is often available and should be preserved. To leverage such a pre-trained model, we propose a model-agnostic adaptation function leveraging the optimal transport theory. Besides, the proposed solution has the asset to provide an interpretable target to source transformation, by seeking a sparse and ordered coordinate-wise adaptation of the feature space, in addition to elementary mapping functions. To automatically select the subset of features to be adapted, we first introduce a weakly supervised process relying on scarce labeled target data. Then, we address a more challenging unsupervised version of this domain adaptation scenario. To this end, we propose a new pseudo-label estimator over unlabeled target examples based on rank-stability regarding the source model prediction. Such estimated labels are further used in a feature selection process to assess whether each feature needs to be transformed to achieve adaptation. We provide theoretical foundations of our method as well as an efficient implementation. Furthermore, we extend such weakly supervised and unsupervised adaptation methods to a multi-subdomain adaptation case.Precisely, we consider source and target domain data can be subdivided into data from different distributions.To exploit such hidden subdomains, we propose to use an inter-subdomain divergence maximization criterion.Moreover, we leverage a subdomain aggregation method to get the final predictions. Experimental results over two fraud detection datasets and the Amazon reviews sentiment analysis benchmark demonstrate the efficiency of our method.; L'adaptation de domaine vise à réduire l'écart entre des données de distributions différentes, communément appelées distribution source et distribution cible. La plupart des travaux associés cherchent soit un espace latent où les données sources et cibles partagent la même distribution, soit une transformation de la distribution source pour qu'elle corresponde à la distribution cible. Cette thèse étudie un cas réaliste d'adaptation de domaine dans le contexte industriel de Worldline où un modèle d'apprentissage automatique est déjà existant. En effet, un modèle prédictif pré-entraîné de domaine source est souvent disponible et doit être préservé. Pour bénéficier d'un tel modèle pré-entraîné, nous proposons une fonction d'adaptation agnostique du modèle qui s'appuie sur la théorie du transport optimal. En outre, la solution proposée présente l'avantage de fournir une transformation interprétable de la cible à la source, en recherchant une adaptation ordonnée et parcimonieuse de l'espace des caractéristiques, en plus des fonctions d'adaptation élémentaires. Pour sélectionner automatiquement le sous-ensemble de caractéristiques à adapter, nous introduisons d'abord un processus faiblement supervisé reposant sur des données cibles rarement étiquetées. Ensuite, nous abordons une version non supervisée, plus complexe, de ce scénario d'adaptation de domaine. À cette fin, nous proposons un nouvel estimateur de pseudo-étiquettes sur des exemples cibles non étiquetés, basé sur la stabilité du rang dans la prédiction du modèle source. Ces étiquettes estimées sont ensuite utilisées dans un processus de sélection de caractéristiques pour évaluer si chaque caractéristique doit être transformée pour réaliser l'adaptation. Nous présentons les fondements théoriques de notre méthode ainsi qu'une mise en œuvre efficace. En outre, nous étendons ces méthodes d'adaptation faiblement supervisées et non supervisées à un cas d'adaptation multi-sous-domaine. Plus précisément, nous considérons que les données des domaines sources et cibles peuvent être subdivisées en données de différentes distributions. Pour exploiter ces sous-domaines cachés, nous proposons d'utiliser un critère de maximisation de la divergence inter-sous-domaines. De plus, nous proposons une méthode d'agrégation des sous-domaines pour obtenir les prédictions finales. Les résultats expérimentaux sur deux bases des données de détection de fraude et une base de données de référence d'analyse de sentiments Amazon reviews démontrent l'efficacité de notre méthode.

The massive growth of sensors (temperature, humidity, accelerometer, position sensor) and mobile devices (smartphones, tablets, smartwatches) increases the amount of data generated explosively. This immense amount of data can be collected and managed. The work carried out during this thesis aims first to propose an approach that deals with a specific type of data, which are time series. First, we used classification methods based on convolutional neural networks and multilayer perceptrons to extract the relevant information. We then used recurrent neural networks to make the predictions. We treated several time series data: energy, cellular, and GPS taxi track data. We also investigated several other methods like as semantic compression and transfer learning. The two described methods above allow us for the first to transmit only the weight of the neural networks, or if an anomaly is detected, send the anomalous data. Transfer learning allows us to make good predictions even if the data is missing or noisy. These methods allowed us to set up dynamic anomaly detection mechanisms. The objective of the last part of the thesis is to develop and implement a resource management solution having as input the result of the previous phases. We used several methods to implement this resource management solution, such as reinforcement learning, exact resolution, or recurrent neural networks. The first application is the implementation of an energy management system. The second application is the management of the deployment of drones to assist cellular networks when an anomaly occurs., La croissance massive des capteurs (température, humidité, accéléromètre, capteur de position) et des appareils mobiles (smartphones, tablettes, smartwatch …) fait que la quantité de données générées augmente de manière explosive. Cette immense quantité de données peut être collectée et gérée. Le travail réalisé durant cette thèse vise à proposer en un premier temps une approche qui traite un type de données spécifique qui sont les séries temporelles. Pour ce faire nous avons utilisé des méthodes de classification basées sur des réseaux de neurones convolutifs ainsi que des multi layer perceptron afin d'extraire les informations pertinentes. Nous avons par la suite eu recours à l'utilisation des réseaux de neurones récurrents pour réaliser les prédictions. Les données utilisées provenaient de plusieurs sources : Données de consommation énergétique, données de production d'énergies renouvelables, données cellulaires, données de trace GPS de taxi. Nous avons également investigué plusieurs autres méthodes telles que la compression sémantique ainsi que le transfer learning. Les deux méthodes décrites précédemment nous permettent pour la première de ne transmettre que les poids des réseaux de neurones ou en cas d'anomalie détectée d'envoyer les données la constituant. Le transfer learning nous permet quant à lui de réaliser de bonnes prédictions même si les données traitées souffrent d'un manque ou d'un bruit. Ces traitements nous ont permis par la suite de mettre en place des mécanismes dynamiques de détection d'anomalie. L'objectif du dernier volet de la thèse est le développement et l'implémentation d'une solution de management des ressources ayant comme entrée le résultat des phases précédentes. Pour mettre en place cette solution de gestion des ressources nous avons utilisé plusieurs approches tel que l'apprentissage par renforcement, la résolution exacte ou encore des réseaux de neurones récurrents. Une première application est la mise en place d'un système de management de l'énergie et la seconde est la gestion du déploiement des drones pour assister les réseaux cellulaires en cas d'anomalies.

Despite all the different technological innovations and advances in the automotive field, autonomous vehicles are still in the testing phase. Many actors are working on several improvements in many domains to make autonomous cars the safest option. One of the important dimensions is cybersecurity. Autonomous vehicles will be prone to cyberattacks, and criminals might be motivated to hack into the vehicles' operating systems, steal essential passenger data, or disrupt its operation and jeopardize the passenger's safety. Thus, cybersecurity remains one of the biggest obstacles to overcome to ensure vehicles safety and the contribution that this technology can bring to society. Indeed, the actual and future design and implementation of Autonomous Vehicles imply many communication interfaces, In-vehicle communication of the embedded system, Vehicle-to-X (V2X) communications between the vehicle and other connected vehicles and structures on the roads. Even though the cybersecurity aspect is incorporated by design, meaning that the system needs to satisfy security standards (anti-virus, firewall, etc.), we cannot ensure that all possible breaches are covered. The Intrusion Detection System (IDS) has been introduced in the IT world to assess the state of the network and detect if a violation occurs. Many experiences and the history of IT have inspired the cybersecurity for autonomous vehicles. Nevertheless, autonomous vehicles exhibit their own needs and constraints. The current state of vehicles evolution has been made possible through successive innovations in many industrial and research fields. Artificial Intelligence (AI) is one of them. It enables learning and implementing the most fundamental self-driving tasks. This thesis aims to develop an intelligent invehicle Intrusion detection system (IDS) using machine learning (ml) from an automotive perspective, to assess and evaluate the impact of machine learning on enhancing the security of future vehicle intrusion detection system that fits in-vehicle computational constraints. Future In-vehicle network architecture is composed of different subsystems formed of other ECUs (Electronic Controller Units). Each subsystem is vehicles. Our primary focus is on In-vehicle communication security. We conduct an empirical investigation to determine the underlying needs and constraints that in-vehicle systems require. First, we review the deep learning literature for anomaly detection and studies on autonomous vehicle intrusion detection systems using deep learning. We notice many works on in-vehicle intrusion detection systems, but not all of them consider the constraints of autonomous vehicle systems. We conduct an empirical investigation to determine the underlying needs and constraints that in-vehicle systems require. We review the deep learning literature for anomaly detection, and there is a lack of tailored study on autonomous vehicle intrusion detection systems using Deep Learning (DL). In such applications, the data is unbalanced: the rate of normal examples is much higher than the anomalous examples. The emergence of generative adversarial networks (GANs) has recently brought new algorithms for anomaly detection. We develop an adversarial approach for anomaly detection based on an Encoding adversarial network (EAN). Considering the behaviour and the lightweight nature of in-vehicle networks, we show that EAN remains robust to the increase of normal examples modalities, and only a sub-part of the neural network is used for the detection phase. Controller Area Network (CAN) is one of the mostused vehicle bus standards designed to allow microcontrollers and devices to communicate. We propose a Deep CAN intrusion detection system framework. We introduce a Multi-Variate Time Series representation for asynchronous CAN data. We show that this representation enhances the temporal modelling of deep learning architectures for anomaly detection.; De nombreuse avancée et innovations technologiques sont introduites dans le monde de l'automobile. Plusieurs domaines scientifiques et applicatifs contribuent à l'amélioration de ces avancées. L'une des dimensions importantes est la cybersécurité. Effectivement, les véhicules autonomes seront sujets aux cyberattaques et les cybers criminels pourraient pirater les systèmes d'exploitation des véhicules et perturber leur fonctionnement et mettre en danger la sûreté des passagers. Ainsi, la cybersécurité reste un obstacle à surmonter pour sécuriser les véhicules et permettre aux innovations technologiques dans le domaine des transports d'apporter des solutions aux problèmes de la société et éviter leur détournement à des fins malicieuses. En effet, la conception actuelle et future des véhicules autonomes implique de nombreuses interfaces de communication, la communication dans le véhicule entre les différents systèmes embarqués, les communications Vehicle-to-X (V2X) entre le véhicule et d'autres véhicules et structures connectés sur les routes. Plusieurs mécanismes de défense sont implémentés pour répondre aux normes de sécurité (antivirus, pare-feu, etc.), mais nous ne pouvons pas être sûrs que toutes les failles possibles sont couvertes, spécialement dans des systèmes complexes comme les voitures autonomes. Le système de détection d'intrusion a été introduit dans le monde IT pour évaluer l'état du réseau et détecter tous les comportements malveillants. Le monde l'IT a connu beaucoup plus d'expérience en termes de mécanisme de défense qui peut inspirer la cybersécurité des transports intelligent (voiture autonome), néanmoins, ces dernières requirent leurs propres besoins et contraintes liées à la sûreté et aussi à leur architecture system. L'état actuel de l'évolution des véhicules a été rendu possible grâce à des innovations successives dans de nombreux domaines industriels et de recherche. L'intelligence artificielle en fait partie, ses différentes techniques permettent d'apprendre et de mettre en oeuvre des tâches complexe tel que la conduite autonome. Cette thèse vise à développer un system intelligent de détection d'intrusion en utilisant l'apprentissage automatique dans un contexte automobile. L'objectif est d'évaluer l'impact de l'apprentissage automatique sur l'amélioration de la sécurité des véhicules futurs (autonomes). Notre objectif principal est la sécurité des communications entres les différents systèmes dans la voiture. Dans ce but, nous menons une enquête empirique pour déterminer les besoins sous-jacents et les contraintes qu'exigent les systèmes embarqués. Nous passons en revue la littérature d'apprentissage profond pour la détection d'anomalie, on note qu'il y a un manque d'étude personnalisée sur le système de détection d'intrusion de véhicule autonome utilisant l'apprentissage profond. Dans de telles applications, les données sont déséquilibrées : le taux d'exemples normal est beaucoup plus élevé que les exemples anormaux. L'émergence du réseau antagoniste (GAN) a récemment apporté de nouveaux algorithmes pour la détection des anomalies. Nous développons une approche antagoniste (adversarial) pour la détection des anomalies, basée sur un Encoding Adversarial Network (EAN). L'architecture future des réseaux embarqués dans les véhicules est composée de différents sous-systèmes. Chaque sous-système est responsable de services spécifiques qui assurent le fonctionnement autonome du véhicule. Pour des raisons fonctionnelles et de sécurité, les sous-systèmes sont isolés, formant une architecture de communication hiérarchiquesde l'ensemble du système. Dans cette thèse, nous concevons un IDS distribué qui s'adapte à l'architecture embarquée et à ses contraintes et réduit le taux de surcharge de communicationinduit par le traitement de l'IDS.

This thesis addresses different problems around the analysis and the modeling of graph signals i.e. vector data that are observed over graphs. In particular, we are interested in two tasks. The rst one is the problem of event detection, i.e. anomaly or changepoint detection, in a set of graph vectors. The second task concerns the inference of the graph structure underlying the observed graph vectors contained in a data set. At first, our work takes an application oriented aspect in which we propose a method for detecting antenna failures or breakdowns in a telecommunication network. The proposed approach is designed to be eective for communication networks in a broad sense and it implicitly takes into account the underlying graph structure of the data. In a second time, a new method for graph structure inference within the framework of Graph Signal Processing is investigated. In this problem, notions of both local and globalsmoothness, with respect to the underlying graph, are imposed to the vectors.Finally, we propose to combine the graph learning task with the change-point detection problem. This time, a probabilistic framework is considered to model the vectors, assumed to be distributed from a specifc Markov Random Field. In the considered modeling, the graph underlying the data is allowed to evolve in time and a change-point is actually detected whenever this graph changes significantly, Cette thèse aborde différents problèmes autour de l'analyse et la modélisation de signaux sur graphes, autrement dit des données vectorielles observées sur des graphes. Nous nous intéressons en particulier à deux tâches spécifique. La première est le problème de détection d'événements, c'est-à-dire la détection d'anomalies ou de ruptures, dans un ensemble de vecteurs sur graphes. La seconde tâche consiste en l'inférence de la structure de graphe sous-jacente aux vecteurs contenus dans un ensemble de données. Dans un premier temps notre travail est orienté vers l'application. Nous proposons une méthode pour détecter des pannes ou des défaillances d'antenne dans un réseau de télécommunication.La méthodologie proposée est conçue pour être efficace pour des réseaux de communication au sens large et tient implicitement compte de la structure sous-jacente des données. Dans un deuxième temps, une nouvelle méthode d'inférence de graphes dans le cadre du Graph Signal Processing est étudiée. Dans ce problème, des notions de régularité local et global, par rapport au graphe sous-jacent, sont imposées aux vecteurs. Enfin, nous proposons de combiner la tâche d'apprentissage des graphes avec le problème de détection de ruptures. Cette fois, un cadre probabiliste est considéré pour modéliser les vecteurs, supposés ainsi être distribués selon un certain champ aléatoire de Markov. Dans notre modélisation, le graphe sous-jacent aux données peut changer dans le temps et un point de rupture est détecté chaque fois qu'il change de manière significative.

Neural network performance is directly linked to the quality and quantity of training data available, especially for Convolutional Neural Networks. Building exhaustive datasets is difficult for automatic target recognition and identification in a military context. To compensate data scarcity, it is possible to use simulation to create a dataset large enough to train neural networks. However, state of the art CNN models may not be able to properly generalize on real data after a training phase on simulated images. In this thesis we propose a purpose-built CNN called cfCNN which is able improve over state of the art models. We assume that the cfCNN is processing images from a detection stage which may not be fully accurate. As a result, we test our model against various detections errors and show that it outperforms various CNN models from the literature. Confidence in a model’s predictions can substantially help its deployment, especially for military applications. In this work, we propose an anomaly detection module to detect classification errors during inference. Based on the Local Outlier Factor algorithm, it showed great results on homogenous training and testing datasets. However, it lacked performance when transferring the detector from simulated to real data. To compensate the performance loss in this scenario, we propose a cascade detector which uses multiple inputs from the cfCNN to detect classification errors., Les performances des technique d’apprentissage profond et plus particulièrement les réseaux de neurones convolutifs, ou CNN, sont conditionnés par la taille et la qualité des bases de données d’entrainement. Dans un contexte comme celui de l’identification de véhicules militaires dans des images infrarouges, il est difficile de constituer de telles bases d’apprentissage. Pour y remédier, il est possible d’utiliser la simulation pour générer ces ensembles de données. Cependant, les architectures issues de l’état de l’art généralisent mal sur des données réelles après un entrainement sur données simulées. Dans cette thèse, nous proposons un réseau convolutif spécifique, appelée cfCNN, qui permet d’obtenir de meilleures performances que les modèles de l’état de l’art que nous avons testés. Nous supposons que les images qui lui seront présentées seront issues d’un module de détection qui peut être imparfaite. Nous évaluons donc la robustesse du cfCNN face à des translations et des changements d’échelle de la cible dans l’image d’entrée. Face à ces perturbations, le cfCNN montre une meilleure robustesse par rapport à des réseaux convolutifs issus de l’état de l’art. Pour améliorer la confiance dans les prédictions du cfCNN, nous proposons un module de détection d’anomalies de classification, basé sur le Local Outlier Factor. Cette approche montre de bonnes performances sur des données d’entrainement et de test homogènes. Cependant elle est moins performante pour un problème de transfert entre des données simulées et réelles. Pour compenser cette baisse de performance nous proposons alors un schéma en cascade qui exploite les informations issues de différentes couches du cfCNN.

Cooperative Intelligent Transport Systems (C-ITS) is an upcoming technology that will change our driving experience in the near future. In such systems, vehicles cooperate by exchanging Vehicle-to-X communication (V2X) messages over the vehicular network. Safety applications use the data in these messages to detect and avoid dangerous situations on time. Therefore, it is crucial that the data in V2X messages is secure and accurate.In the current C-ITS system, the messages are signed with digital keys to ensure authenticity. However, authentication does not ensure the correctness of the data. A genuine vehicle could have a faulty sensor and therefore send inaccurate information. An attacker could also obtain legitimate keys by hacking into the on-board unit of his vehicle and therefore transmit signed malicious messages.Misbehavior Detection in C-ITS is an active research topic aimed at ensuring the correctness of the exchanged V2X messages. It consists of monitoring data semantics of the exchanged messages to detect and identify potential misbehaving entities. The detection process is divided into multiple steps. Local detection consists of first performing plausibility and consistency checks on the received V2X messages. The results of these checks are then fused using a local detection application. The application is able to identify various V2X anomalies. If an anomaly is detected, the vehicle will collect the needed evidence and create a misbehavior report. This report is then sent to a cloud based misbehavior authority.This authority has a goal of ensuring the correct operation of the C-ITS system and mitigating the effects of attacks. It will first collect the misbehavior reports from vehicles and would then investigate the event and decide on the suitable reaction.In this thesis, we evaluate and contribute to the local, reporting and global steps of the misbehavior detection process.; Les systèmes de transport intelligents coopératifs (STI-C) est une technologie qui changera notre expérience de conduite. Dans ce système, les véhicules coopèrent en échangeant des messages de communication Vehicle-to-X (V2X) sur le réseau véhiculaire. Les applications de sécurité routière utilisent les données de ces messages pour détecter et éviter à temps les situations dangereuses. Par conséquent, il est crucial que les données des messages V2X soient sécurisées et précises. Dans le système STI-C actuel, les messages sont signés avec des clés digitales pour garantir leur authenticité. Cependant, l'authentification ne garantit pas l'exactitude des données. Un véhicule authentifié pourrait avoir un capteur défectueux et donc envoyer des informations inexactes. Un attaquant pourrait également obtenir des clés légitimes en piratant l'unité embarquée de son véhicule et donc transmettre des messages malveillants signés. La détection des mauvais comportements dans les STI-C est un sujet de recherche visant à garantir l'exactitude des messages V2X échangés. Il consiste à surveiller la sémantique des données des messages échangés pour détecter et identifier des entités à comportement suspect. Le processus de détection est divisé en plusieurs étapes. La détection locale consiste à effectuer d'abord des vérifications de plausibilité et de cohérence sur les messages V2X reçus. Les résultats de ces vérifications sont ensuite fusionnés à l'aide d'une application de fusion locale. L'application est capable d'identifier diverses anomalies V2X. Si une anomalie est détectée, le véhicule collectera les preuves nécessaires et créera un rapport de mauvais comportement. Ce rapport est ensuite envoyé à une autorité cloud de mauvais comportement. Cette autorité a pour objectif d'assurer le bon fonctionnement du système C-ITS et d'atténuer les effets des attaques. Elle recueillera d'abord les rapports des véhicules, puis enquêtera sur l'événement et décidera de la réaction appropriée. Dans cette thèse, nous évaluons et contribuons aux différents composants du processus de détection des comportements malveillants : la détection locale, le reporting et la détection globale.

Cooperative Intelligent Transport Systems (C-ITS) is an upcoming technology that will change our driving experience in the near future. In such systems, vehicles cooperate by exchanging Vehicle-to-X communication (V2X) messages over the vehicular network. Safety applications use the data in these messages to detect and avoid dangerous situations on time. Therefore, it is crucial that the data in V2X messages is secure and accurate.In the current C-ITS system, the messages are signed with digital keys to ensure authenticity. However, authentication does not ensure the correctness of the data. A genuine vehicle could have a faulty sensor and therefore send inaccurate information. An attacker could also obtain legitimate keys by hacking into the on-board unit of his vehicle and therefore transmit signed malicious messages.Misbehavior Detection in C-ITS is an active research topic aimed at ensuring the correctness of the exchanged V2X messages. It consists of monitoring data semantics of the exchanged messages to detect and identify potential misbehaving entities. The detection process is divided into multiple steps. Local detection consists of first performing plausibility and consistency checks on the received V2X messages. The results of these checks are then fused using a local detection application. The application is able to identify various V2X anomalies. If an anomaly is detected, the vehicle will collect the needed evidence and create a misbehavior report. This report is then sent to a cloud based misbehavior authority.This authority has a goal of ensuring the correct operation of the C-ITS system and mitigating the effects of attacks. It will first collect the misbehavior reports from vehicles and would then investigate the event and decide on the suitable reaction.In this thesis, we evaluate and contribute to the local, reporting and global steps of the misbehavior detection process., Les systèmes de transport intelligents coopératifs (STI-C) est une technologie qui changera notre expérience de conduite. Dans ce système, les véhicules coopèrent en échangeant des messages de communication Vehicle-to-X (V2X) sur le réseau véhiculaire. Les applications de sécurité routière utilisent les données de ces messages pour détecter et éviter à temps les situations dangereuses. Par conséquent, il est crucial que les données des messages V2X soient sécurisées et précises. Dans le système STI-C actuel, les messages sont signés avec des clés digitales pour garantir leur authenticité. Cependant, l'authentification ne garantit pas l'exactitude des données. Un véhicule authentifié pourrait avoir un capteur défectueux et donc envoyer des informations inexactes. Un attaquant pourrait également obtenir des clés légitimes en piratant l'unité embarquée de son véhicule et donc transmettre des messages malveillants signés. La détection des mauvais comportements dans les STI-C est un sujet de recherche visant à garantir l'exactitude des messages V2X échangés. Il consiste à surveiller la sémantique des données des messages échangés pour détecter et identifier des entités à comportement suspect. Le processus de détection est divisé en plusieurs étapes. La détection locale consiste à effectuer d'abord des vérifications de plausibilité et de cohérence sur les messages V2X reçus. Les résultats de ces vérifications sont ensuite fusionnés à l'aide d'une application de fusion locale. L'application est capable d'identifier diverses anomalies V2X. Si une anomalie est détectée, le véhicule collectera les preuves nécessaires et créera un rapport de mauvais comportement. Ce rapport est ensuite envoyé à une autorité cloud de mauvais comportement. Cette autorité a pour objectif d'assurer le bon fonctionnement du système C-ITS et d'atténuer les effets des attaques. Elle recueillera d'abord les rapports des véhicules, puis enquêtera sur l'événement et décidera de la réaction appropriée. Dans cette thèse, nous évaluons et contribuons aux différents composants du processus de détection des comportements malveillants : la détection locale, le reporting et la détection globale.

The Data Quality Monitoring of High Energy Physics experiments is a crucial and demanding task to deliver high-quality data used for physics analysis. At the Compact Muon Solenoid experiment operating at the CERN Large Hadron Collider, the current quality assessment paradigm, is based on the scrutiny of a large number of statistical tests. However, the ever increasing detector complexity and the volume of monitoring data call for a growing paradigm shift. Here, Machine Learning techniques promise a breakthrough. This dissertation deals with the problem of automating Data Quality Monitoring scrutiny with Machine Learning Anomaly Detection methods. The high-dimensionality of the data precludes the usage of classic detection methods, pointing to novel ones, based on deep learning. Anomalies caused by detector malfunctioning are difficult to enumerate a priori and rare, limiting the amount of labeled data. This thesis explores the landscape of existing algorithms with particular attention to semi-supervised problems and demonstrates their validity and usefulness on real test cases using the experiment data. As part of this project, the monitoring infrastructure was further optimized and extended, delivering methods with higher sensitivity to various failure modes., La surveillance de la qualité des données qui proviennent des expériences de physique des hautes énergies est une tâche exigeante mais cruciale pour assurer que les analyses physiques sont basées en données de la meilleure qualité possible. Lors de l’expérience Compact Muon Solenoid opérant au Grand collisionneur de hadrons du CERN, le paradigme actuel d’évaluation de la qualité des données est basé sur l’examen détaillé d’un grand nombre de tests statistiques. Cependant, la complexité toujours croissante des détecteurs et le volume des données de surveillance appellent un changement de paradigme. Ici, les techniques de Machine Learning promettent une percée. Cette thèse traite du problème de l’automatisation applique à la surveillance de la qualité des données avec les méthodes de détection des anomalies d’apprentissage automatique. La grande dimensionnalité des données empêche l’utilisation de méthodes de détection classiques, pointant vers de nouvelles, basées sur l’apprentissage en profondeur. Les anomalies causées par un dysfonctionnement du détecteur sont difficiles à énumérer a priori et rares, ce qui limite la quantité de données étiquetées. Ainsi, cette thèse explore le paysage des algorithmes existants avec une attention particulière aux problèmes semi-supervisés et démontre leur validité et leur utilité sur des cas de test réels en utilisant les données de l’expérience. Dans le cadre de ce projet, l’infrastructure de surveillance a été encore optimisée et étendue, offrant des méthodes plus sensibles aux différents modes de défaillance.

The first part of this thesis is dedicated to the modeling of image or video backgrounds, applied to anomaly detection. In the case of anomaly detection on a single image, our analysis leads us to find five different families of structural assumptions on the background. We propose new algorithms for single-image anomaly detection, small target detection on moving background, change detection on satellite SAR (Synthetic Aperture Radar) images and cloud detection on a sequence of satellite optical images.In the second part, we study two further applications of background modeling. To perform video denoising we search, for every video patch, similar patches in the video sequence, and feed their central pixels to a convolutional neural network (CNN). The background model in this case is hidden in the CNN weights. In our experiments, the proposed method is the best performing of the compared CNN-based methods. We also study exemplar-based texture synthesis. In this problem texture samples have to be generated based on only one reference sample. Our survey classifies the families of algorithms for this task according to their model assumptions. In addition, we propose improvements to fix the border behavior issues that we pointed out in several deep learning based methods.In the third part, we propose real-time GPU implementations for B-spline interpolation and for several image and video denoising algorithms: NL-means, BM3D and VBM3D. The speed of the proposed implementations enables their use in real-time scenarios, and they are currently being transitioned to industry., {La première partie de cette thèse est dédiée à la modélisation d'images ou de vidéos considérés comme des fonds sur lesquels on s'attache à détecter des anomalies. Notre analyse de la littérature de la détection d'anomalie sur une seule image nous a fait identifier cinq différentes familles d'hypothèses structurelles sur le fond. Nous proposons de nouveaux algorithmes pour les problèmes de détection d'anomalie sur seule image, de détection de petites cibles sur un fond en mouvement, de détection de changements sur des images satellitaires SAR (Synthetic Aperture Radar) et de détection de nuages dans des séquences d'images de satellite optique.Dans une seconde partie, nous étudions deux autres applications de la modélisation de fond. Pour le débruitage vidéo, nous cherchons pour chaque patch de la vidéo, des patchs similaires le long de la séquence vidéo, et fournissons à un réseau de neurones convolutif les pixels centraux de ces patchs. Le modèle de fond est caché dans les poids du réseau de neurones. Cette méthode s'avère être la plus performante des méthodes par réseau de neurones comparées. Nous étudions également la synthèse de texture à partir d'un exemple. Dans ce problème, des échantillons de texture doivent être générés à partir d'un seul exemple servant de référence. Notre étude distingue les familles d'algorithmes en fonction du type de modèle adopté. Dans le cas des méthodes par réseau de neurones, nous proposons une amélioration corrigeant les artefacts de bord.Dans une troisième partie, nous proposons des implémentations temps-réel GPU de l'interpolation B-spline et de plusieurs algorithmes de débruitage d'images et de vidéo: NL-means, BM3D et VBM3D. La rapidité des implémentations proposées permet leur utilisation dans des scénarios temps-réel, et elles sont en cours de transfert vers l'industrie.

Nowadays, the development of virtualization technologies as well as the development of the Internet contributed to the rise of the cloud computing model. A cloud computing enables the delivery of configurable computing resources while enabling convenient, on-demand network access to these resources. Resources hosted by a provider can be applications, development platforms or infrastructures. Over the past few years, computing systems are characterized by high development speed, parallelism, and the diversity of task to be handled by applications and services. In order to satisfy their Service Level Agreements (SLA) drawn up with users, cloud providers have to handle stringent dependability demands. Ensuring these demands while delivering various services makes clouds dependability a challenging task, especially because providers need to make their services available on demand. This task is all the more challenging that users expect cloud services to be at least as dependable as traditional computing systems. In this manuscript, we address the problem of anomaly detection in cloud services. A detection strategy for clouds should rely on several principal criteria. In particular it should adapt to workload changes and reconfigurations, and at the same time require short configurations durations and adapt to several types of services. Also, it should be performed online and automatic. Finally, such a strategy needs to tackle the detection of different types of anomalies namely errors, preliminary symptoms of SLA violation and SLA violations. We propose a new detection strategy based on system monitoring data. The data is collected online either from the service, or the underlying hypervisor(s) hosting the service. The strategy makes use of machine learning algorithms to classify anomalous behaviors of the service. Three techniques are used, using respectively algorithms with supervised learning, unsupervised learning or using a technique exploiting both types of learning. A new anomaly detection technique is developed based on online clustering, and allowing to handle possible changes in a service behavior. A cloud platform was deployed so as to evaluate the detection performances of our strategy. Moreover a fault injection tool was developed for the sake of two goals : the collection of service observations with anomalies so as to train detection models, and the evaluation of the strategy in presence of anomalies. The evaluation was applied to two case studies : a database management system and a virtual network function. Sensitivity analyzes show that detection performances of our strategy are high for the three anomaly types. The context for the generalization of the results is also discussed.; Le cloud computing est un modèle de délivrance à la demande d’un ensemble de ressources informatiques distantes, partagées et configurables. Ces ressources, détenues par un fournisseur de service cloud, sont mutualisées grâce à la virtualisation de serveurs qu’elles composent et sont mises à disposition d’utilisateurs sous forme de services disponibles à la demande. Ces services peuvent être aussi variés que des applications, des plateformes de développement ou bien des infrastructures. Afin de répondre à leurs engagements de niveau de service auprès des utilisateurs, les fournisseurs de cloud se doivent de prendre en compte des exigences différentes de sûreté de fonctionnement. Assurer ces exigences pour des services différents et pour des utilisateurs aux demandes hétérogènes représente un défi pour les fournisseurs, notamment de part leur engagement de service à la demande. Ce défi est d’autant plus important que les utilisateurs demandent à ce que les services rendus soient au moins aussi sûrs de fonctionnement que ceux d’applications traditionnelles. Nos travaux traitent particulièrement de la détection d’anomalies dans les services cloud de type SaaS et PaaS. Les différents types d’anomalie qu’il est possible de détecter sont les erreurs, les symptômes préliminaires de violations de service et les violations de service. Nous nous sommes fixé quatre critères principaux pour la détection d’anomalies dans ces services : i) elle doit s’adapter aux changements de charge de travail et reconfiguration de services ; ii) elle doit se faire en ligne, iii) de manière automatique, iv) et avec un effort de configuration minimum en utilisant possiblement la même technique quel que soit le type de service. Dans nos travaux, nous avons proposé une stratégie de détection qui repose sur le traitement de compteurs de performance et sur des techniques d’apprentissage automatique. La détection utilise les données de performance système collectées en ligne à partir du système d’exploitation hôte ou bien via les hyperviseurs déployés dans le cloud. Concernant le traitement des ces données, nous avons étudié trois types de technique d’apprentissage : supervisé, non supervisé et hybride. Une nouvelle technique de détection reposant sur un algorithme de clustering est de plus proposée. Elle permet de prendre en compte l’évolution de comportement d’un système aussi dynamique qu’un service cloud. Une plateforme de type cloud a été déployée afin d’évaluer les performances de détection de notre stratégie. Un outil d’injection de faute a également été développé dans le but de cette évaluation ainsi que dans le but de collecter des jeux de données pour l’entraînement des modèles d’apprentissage. L’évaluation a été appliquée à deux cas d’étude : un système de gestion de base de données (MongoDB) et une fonction réseau virtualisée. Les résultats obtenus à partir d’analyses de sensibilité, montrent qu’il est possible d’obtenir de très bonnes performances de détection pour les trois types d’anomalies, tout en donnant les contextes adéquats pour la généralisation de ces résultats.

International audience; L'évaluation perceptive de la parole pathologique reste le standard dans la pratique clinique pour le diagnostic et le suivi des patients. De telles méthodes incluent plusieurs tâches telles que la lecture, la parole spontanée, le chant, les mots isolés, la voyelle tenue, etc. Dans ce contexte, les outils de traitement automatique de la parole ont montré leur pertinence dans l'évaluation de la qualité de parole ainsi que dans le cadre de la communication améliorée et alternative (CAA) pour les patients atteints de troubles de parole. Cependant, peu de travaux ont étudié l'utilisation de ces outils sur la parole spontanée. Ce papier examine le comportement d'un système de détection automatique d'anomalies au niveau phonème face à la parole dysarthrique lue et spontanée. Le comportement du système révèle une variabilité inter-pathologique à travers les styles de parole.

Identifying early signs of failures in an industrial complex system is one of the main goals of preventive maintenance.It allows to avoid failure and reduce the degradation on a component by doing an earlier maintenance operation. Health monitoring for aircraft engines is one of the industrial fields for which this anomaly detection is very important and meaningful. Aircraft engine manufacturers such as Snecma collect large amount of engine related data during each flight.The idea is to be able to automatically detect when the engine is deviating from its normal behavior.Thus Snecma is developing applications allowing people to prevent engine failures by detecting early signs of anomaly.This doctoral thesis is introdulcing how the experts' knowledge is used to process this engine related data.This first step has pointed out the difficulties in handling the data whether relating to their storage or relating to processing algorithms themselves.After that, this thesis offers a method to combine experts' knowledge with machine learning processes which follow Snecma needs such as the combination of various informations, error control or the interpretability of diagnostics results.To do that the method is focusing directly on the data from the algorithms developed by the experts themselves.This is done by homogenizing the data and then by merging these data.This step allows for the use of supervised classification algorithms whom goal are to to group the items (here the engines) of a similar nature in the same class without losing the temporal component of the information.The homogenization of the data also allows the use of monitoring applications developed by experts in order to detect anomalies.Before merging the data, a selection algorithm is used. This thesis describes how the selection process allows the monitoring algorithms to calibrate themselves.Moreover, this selection follows the first constraint imposed by Snecma concerning the interpretability of the results.Eventually, the method introduced in this thesis aims at helping Snecma make the anomalies' labels converge for all its users. It also aims at incitating to gather all the data on a single database containing : the raw and the processed data from the engine and the engine related data that could be useful such as the results from experts analysis, etc.Using this database, this thesis can then offer a labelisation tool that can be used to improve selection and classification algorithms.; Détecter les signes d'anomalies dans un système complexe est l'un des principaux objectifs de la maintenance préventive dans l'industrie. Cela permet d’éviter une défaillance ou de limiter les dégradations d'un composant en avançant une opération de maintenance. Le \textit{Health Monitoring} des moteurs d'avions fait partie des domaines industriels pour lesquels cette détection d'anomalies est un enjeu fort.Ainsi, les motoristes, tels que Snecma, collectent de grandes quantités de données relatives au moteur durant chaque vol.Il s'agit de détecter automatiquement, à partir de ces données, les cas où un moteur dévie de son comportement normal. Plus précisément, Snecma développe des applications permettant de prévenir les pannes moteurs en détectant les anomalies.Cette thèse présente comment le savoir des experts de Snecma est exploité pour traiter ces données moteurs.Ce premier travail a permis de mettre en avant les difficultés liées aux traitements des données : qu'il s'agisse des difficultés concernant le stockage des données ou bien des difficultés liées à la définition des algorithmes de traitement eux-mêmes. Ensuite, la thèse propose une méthodologie permettant de combiner le savoir expert à des méthodes d'apprentissage automatique tout en respectant les exigences d'un motoriste tel que Snecma. Parmi celles-ci, on peut citer le besoin de fusionner des informations variées, le contrôle des erreurs et l'interprétabilité des résultats de diagnostic. Pour cela, la méthodologie exploite directement les données issues des algorithmes de traitement développées par les experts eux-mêmes. Cela est rendu possible par une nécessaire homogénéisation des données, autrement dit par une mise en forme commune de celles-ci permettant alors de procéder à leur fusion. L'homogénéisation des données rend possible l'utilisation des algorithmes de classification (supervisée) dont le but est de regrouper automatiquement, en classe, les individus (ici les moteurs) de même nature à partir des informations fournies et sans perdre l'information temporelle.L'homogénéisation des données permet également d'exploiter directement les applications de surveillance mises en place par les experts métier pour détecter les anomalies.De cette façon, la méthodologie mise à disposition par la thèse reste compréhensible par les experts métier.Avant de procéder effectivement à la fusion, un algorithme de sélection de variables est utilisé. La thèse décrit comment le processus de sélection permet une calibration automatique des applications de surveillance développées par les experts métier. De plus, cette sélection permet de répondre en partie à la première exigence de Snecma concernant l'interprétabilité des résultats. En définitive, la méthodologie présentée dans cette thèse a pour but d'aider Snecma à faire converger les labels des anomalies pour l'ensemble de ses utilisateurs. Elle vise également à faciliter et à inciter la mise en place d'une seule et même base de données regroupant : d'une part toutes les mesures et leurs transformations prélevées sur les moteurs et d'autre part les informations relatives aux moteurs pouvant être pertinentes telles que les résultats d'analyse des experts ou les dates de changement de pièces.La base de données ainsi exploitable, cette thèse peut alors proposer un outil de labellisation qui pourra être utilisé pour améliorer, à travers la labellisation des données, les algorithmes de sélection et de classification supervisés.

Identifying early signs of failures in an industrial complex system is one of the main goals of preventive maintenance.It allows to avoid failure and reduce the degradation on a component by doing an earlier maintenance operation. Health monitoring for aircraft engines is one of the industrial fields for which this anomaly detection is very important and meaningful. Aircraft engine manufacturers such as Snecma collect large amount of engine related data during each flight.The idea is to be able to automatically detect when the engine is deviating from its normal behavior.Thus Snecma is developing applications allowing people to prevent engine failures by detecting early signs of anomaly.This doctoral thesis is introdulcing how the experts' knowledge is used to process this engine related data.This first step has pointed out the difficulties in handling the data whether relating to their storage or relating to processing algorithms themselves.After that, this thesis offers a method to combine experts' knowledge with machine learning processes which follow Snecma needs such as the combination of various informations, error control or the interpretability of diagnostics results.To do that the method is focusing directly on the data from the algorithms developed by the experts themselves.This is done by homogenizing the data and then by merging these data.This step allows for the use of supervised classification algorithms whom goal are to to group the items (here the engines) of a similar nature in the same class without losing the temporal component of the information.The homogenization of the data also allows the use of monitoring applications developed by experts in order to detect anomalies.Before merging the data, a selection algorithm is used. This thesis describes how the selection process allows the monitoring algorithms to calibrate themselves.Moreover, this selection follows the first constraint imposed by Snecma concerning the interpretability of the results.Eventually, the method introduced in this thesis aims at helping Snecma make the anomalies' labels converge for all its users. It also aims at incitating to gather all the data on a single database containing : the raw and the processed data from the engine and the engine related data that could be useful such as the results from experts analysis, etc.Using this database, this thesis can then offer a labelisation tool that can be used to improve selection and classification algorithms., Détecter les signes d'anomalies dans un système complexe est l'un des principaux objectifs de la maintenance préventive dans l'industrie. Cela permet d’éviter une défaillance ou de limiter les dégradations d'un composant en avançant une opération de maintenance. Le \textit{Health Monitoring} des moteurs d'avions fait partie des domaines industriels pour lesquels cette détection d'anomalies est un enjeu fort.Ainsi, les motoristes, tels que Snecma, collectent de grandes quantités de données relatives au moteur durant chaque vol.Il s'agit de détecter automatiquement, à partir de ces données, les cas où un moteur dévie de son comportement normal. Plus précisément, Snecma développe des applications permettant de prévenir les pannes moteurs en détectant les anomalies.Cette thèse présente comment le savoir des experts de Snecma est exploité pour traiter ces données moteurs.Ce premier travail a permis de mettre en avant les difficultés liées aux traitements des données : qu'il s'agisse des difficultés concernant le stockage des données ou bien des difficultés liées à la définition des algorithmes de traitement eux-mêmes. Ensuite, la thèse propose une méthodologie permettant de combiner le savoir expert à des méthodes d'apprentissage automatique tout en respectant les exigences d'un motoriste tel que Snecma. Parmi celles-ci, on peut citer le besoin de fusionner des informations variées, le contrôle des erreurs et l'interprétabilité des résultats de diagnostic. Pour cela, la méthodologie exploite directement les données issues des algorithmes de traitement développées par les experts eux-mêmes. Cela est rendu possible par une nécessaire homogénéisation des données, autrement dit par une mise en forme commune de celles-ci permettant alors de procéder à leur fusion. L'homogénéisation des données rend possible l'utilisation des algorithmes de classification (supervisée) dont le but est de regrouper automatiquement, en classe, les individus (ici les moteurs) de même nature à partir des informations fournies et sans perdre l'information temporelle.L'homogénéisation des données permet également d'exploiter directement les applications de surveillance mises en place par les experts métier pour détecter les anomalies.De cette façon, la méthodologie mise à disposition par la thèse reste compréhensible par les experts métier.Avant de procéder effectivement à la fusion, un algorithme de sélection de variables est utilisé. La thèse décrit comment le processus de sélection permet une calibration automatique des applications de surveillance développées par les experts métier. De plus, cette sélection permet de répondre en partie à la première exigence de Snecma concernant l'interprétabilité des résultats. En définitive, la méthodologie présentée dans cette thèse a pour but d'aider Snecma à faire converger les labels des anomalies pour l'ensemble de ses utilisateurs. Elle vise également à faciliter et à inciter la mise en place d'une seule et même base de données regroupant : d'une part toutes les mesures et leurs transformations prélevées sur les moteurs et d'autre part les informations relatives aux moteurs pouvant être pertinentes telles que les résultats d'analyse des experts ou les dates de changement de pièces.La base de données ainsi exploitable, cette thèse peut alors proposer un outil de labellisation qui pourra être utilisé pour améliorer, à travers la labellisation des données, les algorithmes de sélection et de classification supervisés.

Airborne gamma spectrometry was first used for mining prospection. Three main families were looked for: K40, U238 and Th232. The Chernobyl accident acted as a trigger and for the last fifteen years, a lot of new systems have been developed for intervention in case of nuclear accident or environmental purposes. Depending on their uses, new algorithms were developed, mainly for medium or high energy signal extraction. These spectral regions are characteristics of natural emissions (K40, U238- and Th-232 decay chains) and fissions products (mainly Cs137 and Co60). Below 400 keV, where special nuclear materials emit, these methods can still be used but are greatly imprecise. A new algorithm called 2-windows (extended to 3), was developed. It allows an accurate extraction, taking the flight altitude into account to minimize false detection. Watching radioactive materials traffic appeared with homeland security policy a few years ago. This particular use of dedicated sensors require a new type of algorithms. Before, one algorithm was very efficient for a particular nuclide or spectral region. Now, we need algorithm able to detect an anomaly wherever it is and whatever it is : industrial, medical or SNM. This work identified two families of methods working under these circumstances. Finally, anomalies have to be identified. IAEA recommend to watch around 30 radionuclides. A brand new identification algorithm was developed, using several rays per element and avoiding identifications conflicts., Jusqu’au début des années 1980, la spectrométrie gamma aéroportée a avant tout été utilisée pour des applications géophysiques et ne concernait que la mesure des concentrations dans les sols des trois radionucléides naturels (K40, U238 et Th232). Durant les quinze dernières années, un grand nombre de dispositifs de mesures a été développé, la plupart après l’accident de Tchernobyl, pour intervenir en cas d’incidents nucléaires ou de surveillance de l’environnement. Les algorithmes développés ont suivi les différentes missions de ces systèmes. La plupart sont dédiés à l’extraction des signaux à moyenne et haute énergie, où les radionucléides naturels (K40, les chaînes U238 et Th232) et les produits de fission (Cs137 et Co60 principalement) sont présents. A plus basse énergie (< 400 keV), ces méthodes peuvent toujours être utilisées mais les particularités du fond de diffusion, très intense, les rendent peu précises. Cette zone énergétique est importante : les SNM émettent à ces énergies. Un algorithme, appelé 2-fenêtres (étendu à 3), a été développé permettant une extraction précise et tenant compte des conditions de vol. La surveillance du trafic de matières radioactives dans le cadre de la sécurité globale a fait son apparition depuis quelques années. Cette utilisation nécessite non plus des méthodes sensibles à un élément particulier mais des critères d’anomalie prenant en compte l’ensemble du spectre enregistré. Il faut être sensible à la fois aux radionucléides médicaux, industriels et nucléaires. Ce travail a permis d’identifier deux familles d’algorithmes permettant de telles utilisations. Enfin, les anomalies détectées doivent être identifiées. La liste des radionucléides nécessitant une surveillance particulière, recommandée par l’AIEA, contient une trentaine d’émetteurs. Un nouvel algorithme d’identification a été entièrement développé, permettant de s’appuyer sur plusieurs raies d’absorption par élément et de lever les conflits d’identification.

Recent studies have shown that amongst emerging infectious disease events in humans, about 40% were zoonoses linked to wildlife. Disease surveillance of wildlife should help to improve health protection of these animals and also of domestic animals and humans that are exposed to these pathogenic agents. Our aim was to develop tools capable of detecting unusual disease events in free ranging wildlife, by adopting a syndromic approach, as it is used for human health surveillance, with pathological profiles as early unspecific health indicators. We used the information registered by a national network monitoring causes of death in wildlife in France since 1986, called SAGIR. More than 50.000 cases of mortality in wildlife were recorded up to 2007, representing 244 species of terrestrial mammals and birds, and were attributed to 220 different causes of death. The network was first evaluated for its capacity to detect early unusual events. Syndromic classes were then defined by a statistical typology of the lesions observed on the carcasses. Syndrome time series were analyzed, using two complimentary methods of detection, one robust detection algorithm developed by Farrington and another generalized linear model with periodic terms. Historical trends of occurrence of these syndromes and greater-than-expected counts (signals) were identified. Reporting of unusual mortality events in the network bulletin was used to interpret these signals. The study analyses the relevance of the use of syndromic surveillance on this type of data and gives elements for future improvements., Des études récentes ont montré que parmi les infections émergentes chez l'homme, env. 40% étaient des zoonoses liées à la faune sauvage. La surveillance sanitaire de ces animaux devrait contribuer à améliorer la protection de leur santé et aussi celle des animaux domestiques et des hommes. Notre objectif était de développer des outils de détection de problèmes sanitaires inhabituels dans la faune sauvage, en adoptant une approche syndromique, utilisée en santé humaine, avec des profils pathologiques comme indicateurs de santé non spécifiques. Un réseau national de surveillance des causes de mortalité dans la faune sauvage, appelé SAGIR, a fourni les données. Entre 1986 et 2007, plus de 50.000 cas ont été enregistrés, représentant 244 espèces de mammifères terrestres et d'oiseaux, et attribués à 220 différentes causes de mort. Le réseau a d'abord été évalué pour sa capacité à détecter précocement des événements inhabituels. Des classes syndromiques ont ensuite été définies par une typologie statistique des lésions observées sur les cadavres. Les séries temporelles des syndromes ont été analysées en utilisant deux méthodes complémentaires de détection : un algorithme robuste développé par Farrington et un modèle linéaire généralisé avec des termes périodiques. Les tendances séculaires de ces syndromes et des signaux correspondent a des excès de cas ont été identifiés. Les signalements de problèmes de mortalité inhabituelle dans le bulletin du réseau ont été utilisés pour interpréter ces signaux. L'étude analyse la pertinence de l'utilisation de la surveillance syndromique sur ce type de données et donne des éléments pour des améliorations futures.

In recent years, many applications dealing with data generated continuously and at high speeds have emerged. These data are now qualified as data streams. Dealing with potentially infinite quantities of data imposes constraints that raise many processing problems. As an example of such constraints we have the inability to block the data stream as well as the need to produce results in real time. Nevertheless, many application areas (such as bank transactions, Web usage, network monitoring, etc.) have attracted a lot of interest in both industry and academia. These potentially infinite quantities of data prohibit any hope of complete storage; we need, however, to be able to examine the history of the data streams. This led to the compromise of "summaries" of the data stream and "approximate" results. Today, a huge number of different types of data stream summaries have been proposed. However, continuous developments in technology and in corresponding applications demand a similar progress of summary and analysis methods. Moreover, sequential pattern extraction is still little studied : when this thesis began, there were no methods for extracting sequential patterns from data streams. Motivated by this context, we are interested in a method that summarizes the data stream in an efficient and reliable way and that has as main purpose the extraction of sequential patterns. In this thesis, we propose the CLUSO (Clustering, Summarizing and Outlier detection) approach. CLUSO allows us to obtain clusters from a stream of sequences of itemsets, to compute and maintain histories of these clusters and to detect outliers. The contributions detailed in this report concern : - Clustering sequences of itemsets in data streams. To the best of our knowledge, it is the first work in this domain. - Summarizing data streams by way of sequential pattern extraction. Summaries given by CLUSO consist of aligned sequential patterns representing clusters associated to their history in the stream. The set of such patterns is a reliable summary of the stream at time t. Managing the history of these patterns is a crucial point in stream analysis. With CLUSO we introduce a new way of managing time granularity in order to optimize this history. - Outlier detection. This detection, when related to data streams, must be fast and reliable. More precisely, stream constraints forbid requiring parameters or adjustments from the end-user (ignored outliers or their late detection can be detrimental). Outlier detection in CLUSO is automated and self-adjusting. We also present a case study on real data, written in collaboration with Orange Labs.; Ces dernières années ont vu apparaître de nombreuses applications traitant des données générées en continu et à de grandes vitesses. Ces données sont désormais connues sous le nom de flux de données. Leurs quantités de données potentiellement infinies ainsi que les contraintes qui en dérivent posent de nombreux problèmes de traitement. Parmi ces contraintes, citons par exemple l'impossibilité de bloquer un flux de données, ou encore le besoin de produire des résultats en temps réel. Néanmoins, les multiples domaines d'application de ces traitements (comme les transactions bancaires, l'usage du Web, la surveillance des réseaux, etc) ont suscité beaucoup d'intérêt tant dans les milieux industriels qu'académiques. Ces quantités potentiellement infinies de données interdisent tout espoir de stockage complet ; toutefois, on a besoin de pouvoir interroger l'historique des flux. Cela a conduit au compromis des « résumés » des flux de données et des résultats « approximatifs ». Aujourd'hui, un grand nombre de méthodes propose différents types de résumés des flux de données. Mais le développement incessant de la technologie et des applications afférentes demande un développement au moins équivalent des méthodes d'analyse et de résumé. De plus, l'extraction de motifs séquentiels y est encore peu étudiée: au commencement de cette thèse, il n'existait aucune méthode d'extraction de motifs séquentiels dans les flux de données. Motivés par ce contexte, nous nous sommes intéressés à une méthode qui résume les flux de données d'une manière efficace et fiable et qui permet principalement d'en extraire des motifs séquentiels. Dans cette thèse, nous proposons l'approche CLARA (CLAssification, Résumés et Anomalies). CLARA permet d'obtenir des clusters à partir d'un flux de séquences d'itemsets, de calculer et gérer des résumés de ces clusters et d'y détecter des anomalies. Les différentes contributions détaillées dans ce mémoire concernent: - La classification non supervisée de séquences d'itemsets sous forme de flux. A notre connaissance, cette technique est la première à permettre une telle classification. - Les résumés de flux de données à l'aide de l'extraction de motifs. Les résumés de CLARA sont composés de motifs séquentiels alignés représentant les clusters associés à leur historique dans le flux. L'ensemble de ces motifs permet de résumer le flux de manière fiable à un instant t. La gestion de l'historique de ces motifs est un point essentiel dans l'analyse des flux. CLARA introduit une nouvelle gestion de la granularité temporelle afin d'optimiser cet historique. - La détection d'anomalies. Cette détection, quand elle concerne les flux, doit être rapide et fiable. En particulier, les contraintes liées aux flux interdisent de consulter l'utilisateur final pour ajuster des paramètres (une anomalie détectée trop tard peut avoir de graves conséquences). Avec CLARA, cette détection est automatique et auto-adaptative. Nous proposerons également un cas d'étude sur des données réelles, réalisé en collaboration avec Orange Labs.

In recent years, many applications dealing with data generated continuously and at high speeds have emerged. These data are now qualified as data streams. Dealing with potentially infinite quantities of data imposes constraints that raise many processing problems. As an example of such constraints we have the inability to block the data stream as well as the need to produce results in real time. Nevertheless, many application areas (such as bank transactions, Web usage, network monitoring, etc.) have attracted a lot of interest in both industry and academia. These potentially infinite quantities of data prohibit any hope of complete storage; we need, however, to be able to examine the history of the data streams. This led to the compromise of "summaries" of the data stream and "approximate" results. Today, a huge number of different types of data stream summaries have been proposed. However, continuous developments in technology and in corresponding applications demand a similar progress of summary and analysis methods. Moreover, sequential pattern extraction is still little studied : when this thesis began, there were no methods for extracting sequential patterns from data streams. Motivated by this context, we are interested in a method that summarizes the data stream in an efficient and reliable way and that has as main purpose the extraction of sequential patterns. In this thesis, we propose the CLUSO (Clustering, Summarizing and Outlier detection) approach. CLUSO allows us to obtain clusters from a stream of sequences of itemsets, to compute and maintain histories of these clusters and to detect outliers. The contributions detailed in this report concern : - Clustering sequences of itemsets in data streams. To the best of our knowledge, it is the first work in this domain. - Summarizing data streams by way of sequential pattern extraction. Summaries given by CLUSO consist of aligned sequential patterns representing clusters associated to their history in the stream. The set of such patterns is a reliable summary of the stream at time t. Managing the history of these patterns is a crucial point in stream analysis. With CLUSO we introduce a new way of managing time granularity in order to optimize this history. - Outlier detection. This detection, when related to data streams, must be fast and reliable. More precisely, stream constraints forbid requiring parameters or adjustments from the end-user (ignored outliers or their late detection can be detrimental). Outlier detection in CLUSO is automated and self-adjusting. We also present a case study on real data, written in collaboration with Orange Labs.; Ces dernières années ont vu apparaître de nombreuses applications traitant des données générées en continu et à de grandes vitesses. Ces données sont désormais connues sous le nom de flux de données. Leurs quantités de données potentiellement infinies ainsi que les contraintes qui en dérivent posent de nombreux problèmes de traitement. Parmi ces contraintes, citons par exemple l'impossibilité de bloquer un flux de données, ou encore le besoin de produire des résultats en temps réel. Néanmoins, les multiples domaines d'application de ces traitements (comme les transactions bancaires, l'usage du Web, la surveillance des réseaux, etc) ont suscité beaucoup d'intérêt tant dans les milieux industriels qu'académiques. Ces quantités potentiellement infinies de données interdisent tout espoir de stockage complet ; toutefois, on a besoin de pouvoir interroger l'historique des flux. Cela a conduit au compromis des « résumés » des flux de données et des résultats « approximatifs ». Aujourd'hui, un grand nombre de méthodes propose différents types de résumés des flux de données. Mais le développement incessant de la technologie et des applications afférentes demande un développement au moins équivalent des méthodes d'analyse et de résumé. De plus, l'extraction de motifs séquentiels y est encore peu étudiée: au commencement de cette thèse, il n'existait aucune méthode d'extraction de motifs séquentiels dans les flux de données. Motivés par ce contexte, nous nous sommes intéressés à une méthode qui résume les flux de données d'une manière efficace et fiable et qui permet principalement d'en extraire des motifs séquentiels. Dans cette thèse, nous proposons l'approche CLARA (CLAssification, Résumés et Anomalies). CLARA permet d'obtenir des clusters à partir d'un flux de séquences d'itemsets, de calculer et gérer des résumés de ces clusters et d'y détecter des anomalies. Les différentes contributions détaillées dans ce mémoire concernent: - La classification non supervisée de séquences d'itemsets sous forme de flux. A notre connaissance, cette technique est la première à permettre une telle classification. - Les résumés de flux de données à l'aide de l'extraction de motifs. Les résumés de CLARA sont composés de motifs séquentiels alignés représentant les clusters associés à leur historique dans le flux. L'ensemble de ces motifs permet de résumer le flux de manière fiable à un instant t. La gestion de l'historique de ces motifs est un point essentiel dans l'analyse des flux. CLARA introduit une nouvelle gestion de la granularité temporelle afin d'optimiser cet historique. - La détection d'anomalies. Cette détection, quand elle concerne les flux, doit être rapide et fiable. En particulier, les contraintes liées aux flux interdisent de consulter l'utilisateur final pour ajuster des paramètres (une anomalie détectée trop tard peut avoir de graves conséquences). Avec CLARA, cette détection est automatique et auto-adaptative. Nous proposerons également un cas d'étude sur des données réelles, réalisé en collaboration avec Orange Labs.

Nowadays, one certainty is that traffic is not well behaved, i.e., its pattern is always changing. Several causes have been pointed as responsible for such variations, some of them being extrinsic to the traffic, as the interaction between traffic, be it legitimate or illegitimate. In a practical point of view, traffic irregularities or traffic anomalies can be described as the result of one or more occurrences that change the normal flow of data over a network. Such occurrences can be triggered by different factors, as Denial of Service (DoS) attacks, flash crowds or management operations. Because the occurrence of such misbehaviours can lead to a lack of control over the network (i.e., security, resources or accuracy issues), since a few years the traffic anomaly related domain has become one of the top research areas, with significant and current contributions. For instance, while some work was mainly concerned with the isolation of network failures, other had, as main intention, the statistical prediction of traffic anomalies using mathematical models. While other was concerned with the introduction of new features in order to enhance traffic analysis. Network Anomaly Detection Algorithm - NADA - is an approach that intends to detect, classify and identify traffic anomalies, being a network anomaly an event that is able of introducing some level of variation on measurable network data. Such variations are disturbing since they have potential to deviate network operations from their normal behaviour. The execution of NADA and its accuracy are guaranteed by considering three axis of action: multi-criteria, multi-scale and multi aggregation level. Altogether they allow the detection of traffic anomalies in traffic traces, as well their classification through the definition of traffic profiles, particularly, anomaly traffic profiles. The latter ones are the basis for an anomaly signatures database. Moreover, the use of those three axis allows an anomaly to be detect ed independently of the traffic parameters it affects (multi-criteria axis), its duration (multi-scale axis) and its intensity (multi-level axis). Hence, anomaly detection and classification form a doublet that can be applied at several areas, ranging from network security to traffic engineering or overlay networks, to name a few. Moreover, if IP information of anomalous flows is added to all this knowledge, as NADA do, it will be possible, with minimum effort, to decide the best actions that should be taken in order to control damages from anomaly occurrences - i.e. to have a fully functional detection system.; Il est évident aujourd'hui que le trafic Internet est bien plus complexe et irrégulier qu'escompté, ce qui nuit grandement à un fonctionnement efficace des réseaux, ainsi qu'à la garantie de niveaux de performances et de qualité de service (QdS) satisfaisants. En particulier, le comportement du réseau est surtout mis à mal lorsque le trafic contient des anomalies importantes. Différentes raisons peuvent être à la source de ces anomalies, comme les attaques de déni de service (DoS), les foules subites ou les opérations de maintenance ou de gestion des réseaux. De fait, la détection des anomalies dans les réseaux et leurs trafics est devenue un des sujets de recherche les plus chauds du moment. L'objectif de cette thèse a donc été de développer de nouvelles méthodes originales pour détecter, classifier et identifier les anomalies du trafic. La méthode proposée repose notamment sur la recherche de déviations significatives dans les statistiques du trafic par rapport à un trafic normal. La thèse a ainsi conduit à la conception et au développement de l'algorithme NADA : Network Anomaly Detection Algorithm. L'originalité de NADA - et qui garantit son efficacité - repose sur l'analyse du trafic selon 3 axes conjointement : une analyse multi-critères (octets, paquets, flux, ...), multi-échelles et selon plusieurs niveaux d'agrégations. A la suite, la classification repose sur la définition de signatures pour les anomalies de trafic. L'utilisation des 3 axes d'analyse permettent de détecter les anomalies indépendamment des paramètres de trafic affectés (analyse multi-critères), leurs durées (analyse multi-échelles), et leurs intensités (analyse multi-niveaux d'agrégation). Les mécanismes de détection et de classification d'anomalies proposés dans cette thèse peuvent ainsi être utilisés dans différents domaines de l'ingénierie et des opérations réseaux comme la sécurité des réseaux, l'ingénierie du trafic ou des réseaux superposés, pour citer quelques exemples. Une contribu tion importante de la thèse a trait à la méthode de validation et d'évaluation utilisée pour NADA. NADA a ainsi été validé sur une base de trace de trafic contenant des anomalies documentées, puis évalué sur les principales traces de trafic disponibles. Les résultats obtenus sont de très bonne facture, notamment lorsqu'ils sont comparés avec ceux obtenus par d'autres outils de détection d'anomalies. De plus, la qualité des résultats est indépendante du type de trafic analysé et du type d'anomalie. Il a été en particulier montré que NADA était capable de détecter et classifier efficacement les anomalies de faible intensité, qui sont apparues comme des composantes essentielles des attaques DOS. NADA apporte donc une contribution intéressante en matière de sécurité réseau.

Une méthode d'analyse des flux du trafic internet pour la détection et l'identification d'anomalies statistiques, utilise des projections aléatoires du trafic dans des "sketchs" qui sont alors agrégés à plusieurs échelles. Ces représentations permettent de formuler la détection des anomalies comme un test statistique de valeurs aberrantes, le trafic normal étant modélisé par des lois Gamma. La méthode fonctionne séquentiellement, en temps réel et permet, par inversion des "sketchs", l'identification des adresses IP impliquées. Le résultat est illustré sur du trafic contenant des anomalies de réseau réalistes.

Ce rapport de recherche a pour objectif de fournir (i) une présentation générale des techniques et familles de détection et de prévention d'intrusion, ainsi que (ii) une description pertinente des limites technologiques de chacune des solutions présentées. Les résultats de cette recherche (limites et fonctionnalités des outils évoqués) sont issus à la fois d'une analyse scrupuleuse de la littérature spécifique récente et de retours d'expérience d'administrateurs système.