Correct-by-Construction Design of Hybrid Systems Based on Refinement and Proof

Les systèmes hybrides représentent une large catégorie de systèmes, composés d'une multitude de calculateurs qui communiquent entre eux tout en interagissant avec des systèmes physiques. En général peu coûteux, adaptables et versatiles, ces systèmes ont rapidement su trouver leur place dans notre vie de tous les jours. Il peut s'agir d'objets simples comme des ampoules connectées, mais aussi de structures plus complexes, telles que des usines intelligentes ou des véhicules autonomes. En particulier, et grâce à leur nombreux avantages, on les croise de plus en plus dans des domaines critiques, par exemple dans l'avionique, les véhicules autonomes ou encore la distribution d'énergie. La nature complexe et hybride des système hybrides les rend assez difficile à concevoir de manière sûre: les méthodes formelles se sont penchées sur la partie discrète de ces systèmes, tandis que leur partie continue est étudiée par la théorie du contrôle; mais dans l'ensemble, une approche formelle prenant en charge ces deux aspects simultanément, ainsi que leurs interactions réciproques permet de raisonner sur ces système dans leur globalité. La modélisation formelle de systèmes hybrides critiques est, de ce fait, un défi important du domaine des méthodes formelles. Afin de répondre à ce défi, nous proposons un cadre générique et formel, avec pour but la modélisation de certains types de systèmes hybrides. Ce cadre, hérité de la méthode Event-B, permet la conception sûre et correcte par construction de ce type de systèmes. Il prend la forme d'un ensemble de théories, qui étendent la méthode Event-B avec les éléments mathématiques indispensables à la modélisation de comportements continus (par ex. : fonctions continues, équations différentielles), un modèle générique qui encode et abstrait les systèmes hybrides, intégrant simultanément leurs contrôleurs et leurs processus continus au même niveau, et une panoplie de patrons, construits sur le raffinement, qui permettent de faciliter la conception de ces systèmes. En particulier, nous définissons trois patrons formels, naturellement inspirés par les pratiques communes du domaine de la conception de systèmes hybrides : l'approximation (remplacer un système d'équations par un système approximativement équivalant), le contrôle centralisé de plusieurs processus continus (décomposer un processus en plusieurs composantes avec un contrôle centralisé de ces composantes), et la gestion distribuée de systèmes hybrides (un système composé de plusieurs composants, qui sont chacun constitué d'un contrôleur et d'un processus continu, et qui ensemble maintiennent un invariant global). Ce cadre de conception a été conçu pour être extensible : pour ajouter un nouveau patron, il suffit de le décrire sous la forme d'un raffinement du modèle générique, en l'accompagnant éventuellement de diverses théories, si nécessaire. Ce cadre formel a été utilisé sur divers exemples empruntés à la théorie du contrôle ou à l'industrie, et notamment dans le domaine de la conduite assistée par ordinateur, des cuves hydrauliques, des robots ou des pendules inversésHybrid systems are a wide category of systems consisting of multiple computers, linked together by some means and interacting with physical devices. Usually cheap, adaptable and incredibly versatile, these systems rapidly found their place in our everyday life, and can be found in basic devices like smart light bulbs, or in more complex structures such as smart factories or autonomous vehicles. In particular, due to their numerous advantages, they can nowadays be found in safety-critical domains, including avionics, self-driving cars or energy distribution. The complex and hybrid nature of hybrid systems make them quite hard to design in a safe way: while computer science is mostly able to deal with their discrete parts and control theory with their continuous part, we lack some kind of formalism that would be able to deal with both of these aspects and their integration with one another. The formal modelling of safety-critical hybrid systems is thus a major challenge of the domain. To overcome this challenge, we propose a generic formal framework, aimed at safely modelling hybrid systems in a correct-by-construction fashion, inherited from the Event-B method the framework is based on. This framework takes the form of an extensive set of theories that expands Event-B with mathematical features necessary to model continuous behaviours (e.g. continuous functions and differential equations), a generic model that encodes a generic hybrid system, complete with its controller and continuous plant, and a series of patterns, based on refinement, that allow to ease the design process. In particular, we defined three formal patterns, inspired by general practice in hybrid system designs: approximation (substituting an equation system with an approximately equivalent one), centralised control with multiple plants (splitting a plant into a set of plant with a centralised controller) and distributed hybrid systems (system made of components that each consist of a controller and a plant, enforcing a global invariant). This framework is designed to be extensible: adding a new component is done by describing it as a refinement of the generic model, and possibly to accompany it with relevant theories. We used our framework on various problems taken from control theory, including computer-assisted cars, water tanks, robots and inverte