Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Expérience industrielle dans le développement de systèmes temps réel (Lustre) ETR 2003 Septembre 2003 Présenté par AIRBUS France Ateliers de développement des systèmes avions Colette Bastoul Resp. Méthode et outils de Spécification formelle Tel 33. (0) Alain Hunot Resp. Quality, Process, Method Tel 33. (0) et Anne Cécile Kerbrat (SEDITEC, tel )

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Plan  Les systèmes embarqués à Airbus: introduction générale –La problématique aéronautique –Les processus –Les méthodes et outils  Retour d’expérience sur l’utilisation de Lustre –Environnement Lustre –Pourquoi Lustre –Retour d’expérience sur les commandes de vol –Le futur  Conclusion

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Les systèmes embarqués à Airbus - Introduction générale

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Le bureau d’études Support Méthodes - Matériaux - Procédés - CFAO - Normalisation Systems - Aérodynamique - Perfo / Acoustique - Charge / Flottement Flight Physics NAVIGABILITE - Avionique & élec. - Commandes de vol, hydraulique - Trains, freinage - Propulsion - Fuel - Avionics & simulation - Intégration, tests Structure Cabin & Payload Systems Powerplant

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) La problématique aéronautique Sécurité. Fiabilité Augmentation Complexité / Taille Certification (justification) probabilité pannes catastrophiques < / heure de vol

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Les systèmes avion concernés  Commandes de vol  Navigation: Flight Management System  Cockpit –Visualisation (Electronic Instrumentation System) – Alarmes (Flight Warning System)  Système électrique (Electrical Load Management)  Communication (Air Traffic Management)  …etc

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Processus général avion CLIENTS Intégration partielle Essais en vol Chaîne finale Essais laboratoire Airbus Livraison après-vente Marketing Réalisation Structures & Systèmes ARCHITECTE Définition sous-ensembles Définition Avion Physique générale Systèmes Propulsion Structures INTEGRATEUR

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Processus développement systèmes: phases Manufacturing Validation & Verification, Configuration management Safety/reliability, maintainability, humans factors Corporate memory A/C architecture Systems definition Systems architecture Equipment specification Equipment integration Systems Integration Certification

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Processus: méthodes et outils Codage manuel Exigences Spécifications d'installation Spécification détaillée SCADE (LUSTRE) Modélisation & simulation Simulation OCASIME Base de données Inter systèmes Génération de code SCADE (LUSTRE) Labo Essais au sol Essais en vol Base de données modèles Prototyping

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Spec / Gen. code: exemple des commandes de vol MATLAB SIMULINK Modélisation & simulation (lois de pilotage) SCADE (LUSTRE) éditeur Spécification détaillée: la référence (mode discret) SCADE (LUSTRE) Gen Code OCASIME Code embarqué Certifié

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Méthode et outils : rapide historique A /600 SCADE (STD) State-machines (Geode) 1997 A340 A330 Behaviour (Vaps) Modelling (Matlab) Simulation 1988 A320 Logic spec. (SAO) Automatic Coding V&V 1985 A310 « Paper » Manual coding 1980 Complexity / size Productivity Requirements engineering Inter systems interface Pre-install-Safety Performance modelling Constraints modelling 2000 A380

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Evolutions commandes de vol Transmission desordres Mécanique / Electrique Puissance Mécanique Hydraulique / Electrique ATR A300 A310 A320A330 A380 A400 M

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Retour d’expérience sur l’utilisation de Lustre

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) LUSTRE et AIRBUS  Culture graphique => SCADE  SCADE est l’interface graphique du langage LUSTRE  La spécification n’est jamais exprimée directement en LUSTRE chez AIRBUS

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) SCADE intègre le langage LUSTRE Caractéristiques SCADE  Langage synchrone "LUSTRE"  Hiérarchie, typage des données  Editeur syntaxique, IHM pilotée par le langage  Capacité de paramétrisation par projet :  Génération automatique de code à partir de "LUSTRE" LUSTRE “C”, (ADA) SCADE : SAFETY CRITICAL APPLICATION DEVELOPMENT ENVIRONMENT compilateur code embarqué ou simulation SCADE code generation SCADE editor IHM graphique “SAO”

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) L’environnement de Scade / Lustre Couplage de LUSTRE/ SCADE avec : - VAPS FMS (Flight Management System) EIS (Electronic Instrumentation System) Spécification de traitements en Scade, prototype d’affichage d’images cockpit avec Vaps -ESTEREL-Studio FWS (Flight Warning System) spécification des traitements des alarmes dans Scade et priorités des affichages des alarmes avec Esterel-studio

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) L’environnement de Scade / Lustre - SABER ELMU (Electrical Load Management Unit) Spécification des traitements avec Scade et Génération de code intégrée dans Saber pour simulation - LDS ATSU (Air Trafic System Unit) Spécification des traitements avec Scade et description des protocoles de communication à l'aide du formalisme LDS

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Pourquoi un langage formel ? GENERATION DE LOGICIELS CRITIQUES spécification dév. logicieltests labo … textuelle manuel tests unitaires Ambiguïté -> durée de développement, coût interprétations AVANT

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Pourquoi un langage formel? PROOFS TECHNIQUES CODE GENERATION (today) - specification simulation - short modifications cycle - light unit tests (qualif) EXPRESSION - non ambiguity history

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Pourquoi Scade / Lustre? LUSTRE  Synchrone  La réponse pour automatique, asservissement, régulation SCADE  Proche de la « façon de penser » des concepteurs des systèmes :  Simple et compris par tous

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Retour d’expérience: les commandes de vol - système avion le plus critique, contraintes temporelles fortes - spécialité Aérospatiale, avec un équipementier interne - développement d’une méthode et d’un outil spécifique (A320) - première utilisation de Scade/Lustre, plus forte expérience

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Retour d’expérience: Langage formel  Compréhension de la spécification (non ambiguïté) –Réduction du nombre de modifications de mises au point –Réduction du nombre d’erreurs  Le typage des données. –Contrôle de cohérence ( erreurs) –Richesse du typage  Description de fonctions (Encapsulation) => réutilisation (boîte noire) ( charge, coût, erreur)

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Retour d’expérience: Langage formel  La hiérarchie –Gestion complexité/ taille des spécifications –Compréhension –Maintenabilité  L’ordonnancement des traitements –La description des liens entre fonctions décrit implicitement l’ordre dans lequel s’exécutent les traitements dans le code.  Limitation de l’utilisation : problèmes de performances Difficulté pour expression

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Retour d’expérience: Simulation  Validation – très tôt - de la spécification par rapport aux exigences – Réduction du nombre d’erreurs de la spécification – Réduction du cycle  Code simulé est proche du code embarqué

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Retour d’expérience: Génération de code  Suppression des erreurs de codage  Simulation possible  Raccourcissement du cycle « spec-code-verification »  Générateur de code qualifié => suppression des tests unitaires

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Retour d’expérience: réduction cycle System (supplier) Equipment (manufacturer) time $/2 time/3 Early validation Automatic code generation Qualification of the ACG … and limited number of iterations

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Les apports de la preuve Preuve alternative aux tests Exhaustivité (difficile à obtenir par des tests)  prouver une propriété : - c ’est réduire les tests - c ’est augmenter la qualité de la spec. Preuve exhaustive mais …  Par rapport à la propriété, le test est plus large Oblige à s ’exprimer en terme d ’exigences fonctionnelles - suffisamment simples pour être prouvables -

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Preuve: Retour d’expérience -Quelles propriétés prouver ? exigences fonctionnelles qui sont des objectifs de validation - L ’utilisation - preuve de propriétés - booléennes sur l’ens. de la spécification. - numériques simples sur des sous-fonctions v=u, V<Cte -Limites - arithmétique flottante + combinatoire temporelle - ex: débattement de gouvernes pour un débattement du manche - combinatoire temporelle très élevée - ex: traitements de n variables sur 168 cycles -> limite informatique

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Le futur - Généraliser l’utilisation de ces outils -Développement / optimisation de passerelles Lustre/Scade - autres - Utilisation plus complète des possibilités de Lustre / Scade - Comparaison des résultats des tests labo fait sur l’équipement physique avec les résultats de la simulation - Utilisation généralisée des preuves formelles comme aide à la validation et aux tests de non régression

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Conclusion -La mise en œuvre de langage formel a permis une amélioration importante dans le développement de logiciels critiques embarqués (cycle, coût). - Constitue une réponse adaptée à l’augmentation de la complexité / taille.

© AIRBUS FRANCE S.A.S. Tous droits réservés. Document confidentiel. Présentation ERT Expérience industrielle dans le développement de systèmes temps réel (Lustre) Ce document et son contenu sont la propriété d’AIRBUS FRANCE S.A.S. Aucun droit de propriété intellectuelle n’est accordé par la communication du présent document ou son contenu. Ce document ne doit pas être reproduit ou communiqué à un tiers sans l’autorisation expresse et écrite d’AIRBUS FRANCE S.A.S. Ce document et son contenu ne doivent pas être utilisés à d’autres fins que celles qui sont autorisées. Les déclarations faites dans ce document ne constituent pas une offre commerciale. Elles sont basées sur les postulats indiqués et sont exprimées de bonne foi. Si les motifs de ces déclarations n’étaient pas démontrés, AIRBUS FRANCE S.A.S serait prêt à en expliquer les fondements.