La présentation est en train de télécharger. S'il vous plaît, attendez

La présentation est en train de télécharger. S'il vous plaît, attendez

23/11/2009 Analyses de sûreté de fonctionnement multi-systèmes Présenté par Romain Bernard Doctorant LaBRI / ONERA / Airbus.

Présentations similaires


Présentation au sujet: "23/11/2009 Analyses de sûreté de fonctionnement multi-systèmes Présenté par Romain Bernard Doctorant LaBRI / ONERA / Airbus."— Transcription de la présentation:

1 23/11/2009 Analyses de sûreté de fonctionnement multi-systèmes Présenté par Romain Bernard Doctorant LaBRI / ONERA / Airbus

2 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 2 Plan 1. Introduction et objectifs de la thèse 2. Contexte 3. Raffinement AltaRica 4. Raffinement appliqué à la sûreté de fonctionnement 5. Conclusion

3 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 3 Plan 1. Introduction et objectifs de la thèse 2. Contexte 3. Raffinement AltaRica 4. Raffinement appliqué à la sûreté de fonctionnement 5. Conclusion

4 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 4 1.Conception de systèmes embarqués et SdF La sécurité dans l’aéronautique est une priorité: certification  Besoin d’analyses de sûreté de fonctionnement des systèmes (SdF) pour garantir un niveau de sécurité requis Evolution des systèmes embarqués liée aux contraintes de poids:  systèmes multi-fonctions, intégration en hausse  complexité d’analyse croissante Besoin d’outils d’aide aux analyses Les avionneurs s’intéressent aux méthodes formelles: modèles formels exploités à l’aide d’outils/services  Scade, Esterel, Simulink, etc… : conception  AltaRica: sûreté de fonctionnement

5 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 5 1.Utilisation des modèles dans le processus SdF Documents de conception Description du système Schéma d’architecture Abstraction SdF du Système Interpretation SdF Diagramme de dépendance Arbre de défaillances Résultats de l’analyse SdF Formalisation actuelle Résultat informel lié à l’expertise de l’ingénieur SdF Modèle formel Formalisation proposée Génération automatisée Coupes minimales exhaustives Résultats de l’analyse SdF

6 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 6 1.Objectifs industriels L’utilisation de modèles a introduit dans l’industrie le souhait d’une modélisation complète de l’avion:  Un modèle présentant tous les systèmes embarqués Une méthodologie d’analyse multi-systèmes est nécessaire Les premières expérimentations de connexion de modèles ont montré:  Difficultés de création du modèle: –Gestion des interfaces entre modèles  Difficultés d’exploitation du modèle: –Lenteur des analyses, difficulté d’utilisation des résultats

7 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 7 1.Approche proposée Raffinement: cohérence entre différents modèles d’un même systèmes  détaillé pour analyses mono-système  abstrait pour analyses multi-systèmes Cadre AltaRica: théorème de compositionnalité [Point2000] bisimulation A A’ bisimulation A M A’ M’ Objectif: théorème de compositonnalité pour du raffinement  coupler des modèles de niveaux de détail différents Conception industrielle de systèmes: processus incrémental  Conception de modèles formels par raffinement progressif

8 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 8 Plan 1. Introduction et objectifs de la thèse 2. Contexte  Sûreté de fonctionnement  AltaRica et MecV 3. Raffinement AltaRica 4. Raffinement appliqué à la sûreté de fonctionnement 5. Conclusion

9 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 9 2.Contexte détaillé: sûreté de fonctionnement Objectif:  Vérifier que chaque système répond au critères réglementaires imposés pour la certification Fonctions Ctl yaw Situations redoutées Loss of yaw ctl HAZ Coupes minimales G.Fail & B.fail & P3.loss … Principe: Classification MINMAJHAZCAT Objectif (/FH)

10 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 10 2.Processus actuel de SdF Analyses fonctionnelles → fonctions → situations redoutées Analyses de la sûreté de fonctionnement → coupes minimales → probabilité d’occurrence (par heure de vol) Vue système Vue équipement Vue avion Vue multi-systèmes

11 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 11 Plan 1. Introduction et objectifs de la thèse 2. Contexte  Sûreté de fonctionnement  AltaRica et MecV 3. Raffinement AltaRica 4. Raffinement appliqué à la sûreté de fonctionnement 5. Conclusion

12 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 12 2.Contexte détaillé: AltaRica Projet AltaRica:  Collaboration chercheurs (LaBRI) et industriels (Dassault…)  Création d’un langage formel pour la sûreté de fonctionnement Langages AltaRica:  Langage originel: contraintes  Langage « industriel »: flot de données Outils  Simulation  Model checking  Génération de coupes/séquences

13 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 13 2.AltaRica: présentation node Cpu1 edon Hypothèses/spécification state Status : {ok, err, lost}; init Status := ok; flow Output : {ok, err, lost} : out; event error, loss; extern law = exp (1 e -4) law = exp (1 e -7); trans Status = ok |- error -> Status := err; Status != lost |- loss -> Status := lost; assert Output = Status; Description textuelle d’un noeud AltaRica Soit un calculateur « Cpu1 »: deux modes de défaillances erroné et perdu →Trois états possibles: ok (initial), err et lost une sortie correcte, erronée ou perdue →Trois valeurs possibles: ok, err et lost deux défaillances: erreur et perte Status = err Error Loss Status = lost Status = ok le signal en sortie correspond à l’état du calculateur Un composant AltaRica est appelé nœud Représentation graphique du noeud AltaRica

14 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 14 La sémantique d’un nœud AltaRica est un système de transition interfacé:  Configurations: variables d’état et de flux  Transitions 2.AltaRica: sémantique Status = err Output = err Error Loss Status = lost Output = lost Status = ok Output = ok

15 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 15 2.AltaRica: hiérarchie node RudderCtl sub P1,P2,P3:Cpu1; … assert G.in = P1.Output; … sync ; edon Description textuelleReprésentation graphique Un nœud AltaRica peut contenir des instances d’autres nœuds.

16 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 16 AltaRica est adapté aux modèle dits « de propagation de défaillance »:  Actions nominales (reconfigurations, détections d’erreur…)  Défaillances 2.AltaRica: modèle pour la SdF Observateur Modèle Cpu ServoCtl

17 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 17 Model checker développé au LaBRI (A.Vincent), Capable de:  Traiter directement du code AltaRica  Manipuler plusieurs nœuds à la fois  Effectuer des calculs de points fixes (plus grand ou plus petit) –pour un ensemble d’états donné, recherche du sous-ensemble d’états satisfaisant les conditions spécifiées Outil de calcul nécessitant l’écriture des formules souhaitées dans un langage propre (inspiré du µ-calcul) 2.MecV ReachA(s) += nodeA!init(s) | (ReachA(u) & nodeA!t(u,e,s));

18 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 18 Plan 1. Introduction et objectifs de la thèse 2. Contexte 3. Raffinement AltaRica 4. Raffinement appliqué à la sûreté de fonctionnement 5. Conclusion

19 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 19 Besoins industriels:  Compositionnalité (pour analyses multi-systèmes)  Préservation des résultats d’analyse (coupes/séquences) La compositionnalité sous-entend que tout raffinement d’un système peut être utilisé dans un modèle multi- systèmes:  variables de flux du modèle abstrait à conserver 3.Objectifs liés aux besoins industriels raffinement A A’ raffinement A M A’ M’

20 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 20 Substitution d’événement 3.Candidats au raffinement node Cpu0’ … event loss1, loss2; trans Status != lost |- loss1, loss2 -> Status := lost; … edon node Cpu0 … event loss; trans Status != lost |- loss -> Status := lost; … edon Status = err Output = err Loss1 Status = lost Output = lost Status = ok Output = ok Loss2 Loss Status = lost Output = lost Status = ok Output = ok Status = err Output = err

21 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 21 Renforcement de la garde d’une transition 3.Candidats au raffinement Status = err Output = err Error Loss Status = lost Output = lost Status = ok Output = ok node Cpu2 … event error, loss; trans Status = ok |- error -> Status := err; Status = ok |- loss -> Status := lost; … edon Status = err Output = err Error Loss Status = lost Output = lost Status = ok Output = ok node Cpu1 … event error, loss; trans Status = ok |- error -> Status := err; Status != lost |- loss -> Status := lost; … edon

22 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 22 node Cpu3 sub Com,Mon:Cpu2 … flow Output:{ok,err,lost}:out; … edon Ajout de hiérarchie 3.Candidats au raffinement node Cpu2 … flow Output:{ok,err,lost}:out; … edon Com Mon

23 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 23 Ajout d’événement/transition 3.Candidats au raffinement Status = err Output = err Error Loss Status = lost Output = lost Status = ok Output = ok node Cpu1 … event error, loss; trans Status = ok |- error -> Status := err; Status != lost |- loss -> Status := lost; … edon node Cpu0 … event loss; trans Status != lost |- loss -> Status := lost; … edon Status = err Output = err Loss Status = lost Output = lost Status = ok Output = ok Loss Non retenu car peut introduire de nouveaux états accessibles

24 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 24 3.Raffinement AltaRica La relation de bisimulation forte interfacée [Point2000] est trop contraignante en pratique. Nous avons souhaité étudier de nouvelles relations:  moins fines: relations de type simulation  applicables aux enrichissements choisis  principe de compositionnalité –Étudier les restrictions sur le langage nécessaires pour pouvoir établir le théorème de compositionnalité Chaque relation étudiée est spécifiée en MecV: 1. Simulation interfacée paramétrée 2. Simulation quasi-branchante interfacée paramétrée

25 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 25 Classiquement, un objet A simule un objet B si:  toute séquence d’événements depuis l’état initial de B peut être effectuée depuis l’état initial A, les états atteints étant comparables MecV nécessite de spécifier les relations permettant de comparer:  les états respectifs (RelF)  les événements considérés comme similaires (RelEvt) 3.La relation de simulation

26 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 26 Simulation interfacée paramétrée:  Tout état s’ du nœud détaillé est en relation avec un état s du nœud abstrait.  Pour toute transition (s’,e’,t’) du nœud détaillé et tout état s en relation avec s’, il existe une transition (s,e,t) du nœud abstrait telle que sont respectivement en relation: –les flux, –les événements, –les états cibles. 3.La relation de simulation sim(s,s’) -=RelF(s,s’) & ([e’][t’](transA’(s’,e',t’) => (transA(s,e,t) & RelEvt(e,e’) & sim(t,t’)))); s t s’ t’ relF sim e e’ relEvt

27 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 27 Soit un calculateur de type Cpu1. Pour restreindre le comportement, défaillances seulement considérées depuis l’état initial. La relation sur les flux est l’égalité. La relation sur les événements est l’identité. 3.Renforcement de garde Status = err error loss Status = lost Status = ok Status = err loss Status = lost Status = ok Cpu1 Cpu2 Cpu2 ne simule pas Cpu1 Cpu1 simule Cpu2 loss error

28 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 28 Soit un calculateur de type Cpu0. Pour analyses SdF, nécessité de différencier loss1 et loss2 (même effet mais probabilités d’occurrence différentes). La relation sur les flux est l’égalité. La relation sur les événements est: {loss}≡{loss1,loss2}. 3.Substitution de défaillance Cpu0 simule Cpu0’ Cpu0’ simule Cpu0 Status = err loss1 loss2 Status = lost Status = ok Cpu0’ Status = err loss Status = lost Status = ok Cpu0

29 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 29 Restrictions du langage  Priorités  Diffusion dans les vecteurs de synchronisation Théorème de compositionnalité  Soient M et M’ deux nœuds hiérarchiques sans priorité ni diffusion. Alors M simule M’ si tout sous-nœud N i de M simule un sous-nœud N’ i de M’. 3.Compositionnalité ab A a A’ A simule A’ Hiérarchie: « b plus prioritaire que a » a M’ b M M ne simule pas M’

30 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 30 Le théorème permet en plus de calculer des séquences détaillées à partir des séquences abstraites 3.Calcul de séquences G.fail & B.fail & P3.loss … G.fail & B.fail & P3.loss1 G.fail & B.fail & P3.loss2 … {loss} ≡ {loss1, loss2}

31 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 31 Besoins:  Relation de simulation  Distinction: événements observables et non observables  Travaux existants: Van Glabbeek, Van Benthem Simulation quasi-branchante interfacée 3.Simulation quasi-branchante ** e ** e’ qb-sim e ** e’ qb-sim Si aucun événement non observable dans le nœud abstrait

32 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 32 Illustration: Théorème de compositionnalité  Soient M et M’ deux nœuds hiérarchiques sans priorité ni diffusion. Alors M qb-simule M’ si tout sous-nœud N i de M qb-simule un sous-nœud N’ i de M’. 3.Simulation quasi-branchante Bus 1 Bus 2 Loss of Bus 1 Loss of Bus 2 Loss of Bus 1 Bus 1 Bus 2 Bus Loss

33 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 33 RestrictionsComposition Calcul séquences Adéquation besoins industriels BisimulationNonOui - Simulation Pas de priorités Oui = Simulation quasi- branchante Pas de priorités Oui?+ 3.Bilan Définition de deux relations de simulation Théorèmes de compositionnalité Implémentation en MecV de ces relations

34 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 34 Plan 1. Introduction et objectifs de la thèse 2. Contexte 3. Raffinement AltaRica 4. Raffinement appliqué à la sûreté de fonctionnement 5. Conclusion

35 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 35 4.Opérations préparatoires En SdF, les séquences ne contiennent que des défaillances:  Nécessité de masquer les événements nominaux Le raffinement ne peut être vérifié que si le modèle détaillé n’introduit pas de nouvel état accessible (vis-à-vis de RelF) Status = err Error Correction Loss Status = lost Status = ok Error Loss Status = lost Status = ok État « transitoire » Transition à masquer masquage

36 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 36 4.Raffinement pour la sûreté de fonctionnement Formules MecV de vérification du raffinement implémentées pour être génériques:  Seuls quelques éléments communs à toutes les relations sont à initialiser par l’utilisateur. Liberté d’utilisation restreinte à la définition des relations RelF et RelEvt MecV permet deux approches: –vérification : relations spécifiées par l’utilisateur –exploration : relations calculées

37 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 37 4.Approches vérification/exploration Approche vérification: Travail coûteux pour spécifier tous les événements en relation Si la relation est vérifiée par MecV alors le raffinement est prouvé sans travail supplémentaire Approche exploration Pas de spécification initiale: RelEvt(e,e’) = true Si relation non vérifiée par MecV alors pas de raffinement Si relation vérifiée alors nécessité de vérifier les couples d’événements calculés par MecV

38 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 38 4.Méthodologie de vérification du raffinement 1. Masquage des événements/transitions nominales 2. Test des états accessibles 3. Vérification qualitative  Existe-t-il une relation? 4. Analyse quantitative:  Génération des séquences détaillées et quantification

39 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 39 4.La compositionnalité pour la SdF raffinement

40 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 40 Méthodologie appliquée sur deux cas d’étude:  Calculateur raffiné jusqu’à contenir une architecture contrôle/commande  Système de génération électrique Expérimentations de vérification globale du raffinement:  Vérification possible sur modèles les plus abstraits mais rapidement impossible sur des modèles plus détaillés  Confirme le besoin d’appliquer un raffinement progressif et de tirer partie de la compositionnalité 4.Bilan

41 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 41 Plan 1. Introduction et objectifs de la thèse 2. Contexte 3. Raffinement AltaRica 4. Raffinement appliqué à la sûreté de fonctionnement 5. Conclusion

42 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 42 Apports: deux relations étudiées  simulation paramétrée interfacée –Compositionnalité préservée et théorème établi –Algorithmes de calcul des séquences écrit –Relation adaptée au raffinement sans ajout de hiérarchie  simulation quasi-branchante paramétrée interfacée –Compositionnalité préservée et théorème établi –Relation adaptée au raffinement par ajout de hiérarchie Perspectives à court terme:  Étudier la préservation des séquences pour la relation de simulation quasi-branchante  Algorithme de calcul des séquences détaillées à partir des séquences abstraites pour la simulation quasi-branchante 5.Conclusion: travaux académiques

43 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 43 Apports industriels:  Méthodologie détaillée de raffinement  Spécification générique des relations en MecV –utilisation facilitée –manipulations nécessaires réduites  Enseignement: le raffinement est difficilement vérifiable a posteriori Industrialisation:  Développer une IHM pour: –saisir les relations RelF et RelEvt –appels aux différentes relations dans MecV  Identifier de nouveaux besoins (principe de conception) de nouvelles relations à étudier 5.Conclusion: travaux industriels

44 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 44 Dependable Control of Discrete Systems (DCDS’07)  Experiments in model-based safety analysis: flight controls International System Safety Conference (ISSC’08)  Failure propagation modeling: multi-system safety analysis Lambda-Mu (LM16)  Raffinement AltaRica pour l’étude de systèmes à différents niveaux de détail 5.Publications / Communications

45 © AIRBUS FRANCE S.A.S. All rights reserved. Confidential and proprietary document. 23/11/2009Page 45 © AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Ce document et son contenu sont la propriété d’AIRBUS FRANCE S.A.S. Aucun droit de propriété intellectuelle n’est accordé par la communication du présent document ou son contenu. Ce document ne doit pas être reproduit ou communiqué à un tiers sans l’autorisation expresse et écrite d’AIRBUS FRANCE S.A.S. Ce document et son contenu ne doivent pas être utilisés à d’autres fins que celles qui sont autorisées. Les déclarations faites dans ce document ne constituent pas une offre commerciale. Elles sont basées sur les postulats indiqués et sont exprimées de bonne foi. Si les motifs de ces déclarations n’étaient pas démontrés, AIRBUS FRANCE S.A.S serait prêt à en expliquer les fondements. AIRBUS, son logo, A300, A310, A318, A319, A320, A321, A330, A340, A350, A380 et A400M sont des marques déposées.


Télécharger ppt "23/11/2009 Analyses de sûreté de fonctionnement multi-systèmes Présenté par Romain Bernard Doctorant LaBRI / ONERA / Airbus."

Présentations similaires


Annonces Google