Safety Evaluation of Aircraft Systems using Virtual Platforms

Les systèmes embarqués dans le contexte critique sont soumis à des standards très stricts. Les analyses de sûretés (e.g., Analyse des Modes de Défaillances et de leur Criticité ou AMDEC) de ces systèmes sont souvent effectués empiriquement, et s’appuyent sur l’expérience des ingénieurs. Faire des analyses de sûretés non automatisés sur des systèmes complexes est un enjeu majeur qui conduit les ingénieurs à supposer systématiquement le pire cas. De ce fait, les contremesures sont surdimensionnées.Beaucoup de techniques pour l’évaluation de la robustesse des systèmes matériels fondées sur la simulation d’injection de fautes ont été développées au niveau transfert de registre (RTL). Avec ces techniques, la robustesse est évaluée en comparant le circuit avec injection de fautes et le circuit de référence. Ces méthodes ne prennent pas en compte la spécification du système, et l’environnement (interactions avec les parties logicielles). De plus, elles demandent beaucoup de temps de simulation pour des circuits complexes. Par ailleurs, des solutions de simulation de fautes haut-niveau ou multi-abstraction ont été proposées, mais aucune ne prend en compte la spécification et ne propose un lien entre les différentes parties du système. De plus, la simulation est accélérée au détriment du réalisme. Dans cette thèse, nous présentons un flot itératif multi-abstraction pour évaluer la robustesse des circuits complexes. Le flot proposé prend en compte la spécification, l’environnement du circuit, et propose une technique d’évaluation du réalisme des modèles de haut-niveau. Ce flot suit la logique des flot de développement top-down traditionnelles, et suit les recommandations des standards. La première étape du flot est une simulation de haut-niveau conduisant à l’extraction d’intervalles critiques sur les signaux de chacun des blocs. Ces intervalles sont réutilisés dans l’étape de simulation RTL ce qui permet d’obtenir une classification des fautes. Enfin, une dernière étape de co-simulation nous permet de définir des métriques qui quantifient la qualité du modèle. Cette thèse propose une approche itérative pour utiliser ce flot : les premières rondes permettent d’obtenir une évaluation rapide du réalisme du modèle haut-niveau et une première classification des fautes, la dernière ronde permet d’avoir une classification de fautes RTL précise. L’approche a été appliquée à un cas d’étude dans le contexte aéronautique.Embedded systems in critical applications are constrained by very strict standards, but safety analysis (e.g., FailureMode and Effects Analysis, or FMEA) of these systems is often empirical and mainly relies on the engineers experience. Performing empirical analyses on complex designs is a major challenge that leads engineers to make very pessimistic assumptions and consequently to over-design multiple countermeasures.Many fault injection techniques have been developed to evaluate the robustness of Register Transfer Level (RTL) hardware designs. With these techniques, robustness is evaluated by comparing the faulty circuit outputs with the circuit specifications or golden RTL fault-free simulations. However, these techniques are too circuit centered, and therefore do not account for the overall system specifications. Besides with complex hardware designs, fault simulations become very time-consuming. Some high-level or cross-layer fault injection techniques has been proposed, but none of them propose to take into account the specification. Furthermore, high-level fault simulation is fast to the detriment of the realism of high-level models. In this thesis, we present a a new iterative cross-layer robustness analysis taking into account the overall critical system specifications andverifying the realism of high-level models. This flow is consistent with the traditional top-down flow and in compliance with standard recommandations. The first step of the flow is a high-level fault simulation that leads to extract critical parameter ranges. Then, these ranges are used to evaluate the robustness of each RTL block in the circuit. In the last step, we compute some metrics reflecting the realism of the high-level models. According to these metrics,we can determine if the high-level models must be improved. The thesis proposes an approach using this flow, based on a first round “quick and dirty” that permits to obtain an early evaluation of the high-level model, and a last round accurate to obtain a classification of RTL faults. We apply this flow to a case study of a real airborne system