Search

Safety is an emergent property of safety critical systems (SCS), including railway systems. This emergent aspect exacerbates their development process and requires a thorough reasoning to reduce hazards. This thesis proposes an ontological approach that integrates safety activities from the early design stages of SCS. This structured framework provides a semantic harmonization between the involved domains, such as safety engineering and Goal Oriented Requirements Engineering (GORE). The business logic integrated in this approach is validated by real rail accident scenarios and a remotely operated task. At first, we proposed a dysfunctional analysis ontology called DAO and based on the high-level ontology UFO. DAO considers the socio-technical and environmental aspects of SCS and integrates the different types of faults and cognitive properties that are respectively related to technical failures and human errors. The DAO conceptual model is expressed in OntoUML and formalized in OWL language in order to provide a reasoning support. Then, a semantic bridge is established between safety measures, safety goals and safety requirements through the development of a goal-oriented security management ontology, called GOSMO. The management of safety decisions is based on the reinterpretation of the Or-Bac access control model from a safety point of view. In order to ensure the overall consistency of requirements, GOSMO allows structuring the management of requirements changes and their traceability, La sécurité-innocuité est une propriété émergente des systèmes critiques de sécurité (SCS), notamment les systèmes ferroviaires. Cet aspect émergent complexifie leur processus du développement et nécessite un raisonnement judicieux permettant de diminuer les dangers. Cette thèse propose une approche ontologique qui intègre les activités de sécurité dès les premières phases de conception des SCS. Ce cadre structuré offre une harmonisation sémantique entre les domaines impliqués, tels que l'ingénierie de sécurité et l'Ingénierie des Exigences Dirigée par les Buts (IEDB). La logique métier intégrée dans cette approche est validée par des cas d'étude ferroviaires d'accidents réels et d'une mission télé-opérée. Dans un premier temps, nous avons proposé une ontologie d'analyse dysfonctionnelle appelée DAO et fondée sur l'ontologie de haut niveau UFO. DAO considère les aspects sociaux-techniques et environnementaux des SCS et intègre les différents types de fautes et de propriétés cognitives liés respectivement aux défaillances techniques et aux erreurs humaines. Le modèle conceptuel de DAO est exprimé en OntoUML et formalisé en langage OWL afin de fournir un support de raisonnement. Ensuite, un pont sémantique est établi entre les mesures de sécurité, les buts de sécurité et les exigences de sécurité par le développement d'une ontologie de gestion de sécurité orientée-but, appelée GOSMO. La gestion des décisions de sécurité s’appuie sur la réinterprétation du modèle de contrôle d'accès Or-Bac d'un point de vue sécurité-innocuité. Afin d'assurer la cohérence globale des exigences, GOSMO permet de structurer la gestion des évolutions des exigences et leur traçabilité.

Lambda-Mu, 20ème Congrès de maîtrise des risques et de sûreté de fonctionneme, Saint-Malo, FRANCE, 11-/10/2016 - 13/10/2016; In the E.U, safety railway system design and operational terms are governed by directives, regulations, decrees, standards to ensure the safety of the global system. However, based on its own technical and operational concepts, each state member of the E.U. has developed its own safety rules. By the way, this situation results in divergent practices and develops a need to harmonize methods and rail safety targets through the adoption of Technical Specifications for Interoperability (TSI), the definition of Common Safety Targets (CST) and the definition of a Common Safety Method (CSM). Through a risk management process, the residual risk reduction implies to allocate safety targets for each various parts of the railway system with SIL (Safety Integrity Level). After identifying specific uses of SIL, the authors present some consultation results. These results are obtained from discussion with various rail stakeholders (like rail operators, rail manufacturers and notified bodies). The objective is to highlight shared points and divergent point of a SIL allocation and to propose an harmonized SIL allocation methodology in the railway domain. More detailed in [Ouedraogo et al. 2015], a methodology implementation in the form of a practical application guide will help rail stakeholders, involved in the SIL allocation (rail manufacturers, system integrators, etc.), to answer this particular problematic.; Les conditions de conception et d'exploitation des systèmes ferroviaires au sein de l'U.E sont régies par des directives, des règlements, des décrets, normes qui permettent, notamment, d'assurer la sécurité du système global de transport. Cependant, chaque état membre de l'U.E. a développé ses propres règles de sécurité en se basant sur ses propres concepts techniques et opérationnels. Les pratiques divergentes qui résultent de ce constat suscitent aujourd'hui une volonté d'harmoniser les méthodes et les objectifs de sécurité ferroviaire via l'adoption de Spécifications Techniques d'Interopérabilité (STI), la définition d'Objectifs de Sécurité Communs (OSC) et la définition d'une Méthode de Sécurité Commune (MSC). Ainsi, la maîtrise du risque résiduel du système ferroviaire implique, au travers d'un processus de gestion des risques, d'allouer des objectifs de sécurité aux différentes parties du système, dont certains sont liés à des niveaux de sécurité, les SIL (Safety Integrity Level - niveau d'intégrité de la sécurité). Après avoir identifié les particularités de l'utilisation des SIL, les auteurs présentent les résultats de discussions issus de consultations avec différents acteurs ferroviaires (exploitants, organismes notifiés et constructeurs) sur les pratiques d'allocation des SIL. L'objectif est de mettre en avant les points qui font consensus et ceux, au contraire, qui font débat et de proposer au final, une méthodologie homogène d'allocation de SIL pour le domaine ferroviaire. Détaillée dans [Ouedraogo et al. 2015], la mise en oeuvre de cette méthodologie sous la forme d'un guide d'application pratique permettra aux différents acteurs concernés par l'allocation des SIL (donneurs d'ordre, constructeurs, systémiers, etc.) de répondre à cette problématique.

The safety is a major issue in the development cycle of the critical systems, in particular in the rail transportation sector. This thesis aims at the modeling, the verification and at the validation of the railway operating rules with regard to the safety requirements. These rules intend to define the authorizations of trains movement on national railway lines equipped with the European Rail Traffic Management System (ERTMS). In a similar way, we find the concepts of authorizations in the description of access control policies of information systems. Consequently, our contributions concern the adaptation of an UML/B approach for the access control of information systems to model and validate the railway operating rules. At first, we adapted the Role Based Access Control (RBAC) model on a railway case study extracted from the operating rules applied on the LGV-Est-Européenne line in France. The B4MSecure platform enables the modeling of these rules by means of a UML profile of RBAC inspired by SecureUML. Then, these models are transformed into B specifications. which are enhanced by railway safety properties and formally verified and validated. In addition to the concepts of the RBAC model, the Organization Based Access Control (Or-Bac) model introduces the notion of organization, in the center of this model, and the notion of context. We have therefore proposed to use this model as extension of the RBAC model in the context of railway interoperability in ERTMS., La sécurité est un enjeu majeur dans le cycle de développement des systèmes critiques, notamment dans le secteur du transport ferroviaire. Cette thèse vise la modélisation, la vérification et la validation des règles d'exploitation ferroviaires au regard des exigences de sécurité. Ces règles ont pour but de définir les autorisations de déplacement des trains sur des lignes ferroviaires nationales équipées du système européen de gestion du trafic ferroviaire (ERTMS). De manière analogue, on trouve les concepts liés aux autorisations dans la description des politiques de contrôle d'accès des systèmes d'information. Par conséquent, nos contributions portent sur l'adaptation d'une approche UML/B pour le contrôle d'accès des systèmes d'information afin de modéliser et de valider les règles d'exploitation ferroviaires. Dans un premier temps, nous avons adapté le modèle Role Based Access Control (RBAC) sur une étude de cas ferroviaire extraite des règles d'exploitation appliquées sur la ligne à grande vitesse LGV Est-Européenne en France. La plate-forme B4MSecure nous a permis de modéliser ces règles à l'aide d'un profil UML de RBAC inspiré de SecureUML. Ensuite, ces modèles sont transformés en des spécifications B qui ont été enrichies par des propriétés de sécurité ferroviaire et soumises à des activités de vérification et de validation formelles. Aux concepts du modèle RBAC, le modèle Organization Based Access Control (Or-Bac) introduit la notion d'organisation, au centre de ce modèle, et la notion de contexte. Nous avons donc proposé d’utiliser ce modèle en tant qu’extension du modèle RBAC dans l’optique d’une interopérabilité ferroviaire en ERTMS.

This PhD thesis deals with fault diagnosis of DES in both untimed and timed contexts using Petri net models. Some on-the-fly and incremental techniques are developed to reduce the state explosion problem while analyzing diagnosability. In the untimed context, an algebraic representation for labeled Petri net (LPN) is developed to feature the system behavior. The diagnosability of LPN models is tackled by analyzing a series of K-diagnosability problems, where K is increased progressively. Two models called respectively FM-graph and FM-set tree are developed and built on the fly to record the necessary information for diagnosability analysis and online diagnosis. Finally, a diagnoser is derived from the FM-set tree for online diagnosis. In the timed context, time interval splitting techniques are developed in order to generate a state representation of labeled time Petri net models, for which techniques from the untimed context can be used to analyze diagnosability and perform online diagnosis. Based on this, necessary and sufficient conditions for the diagnosability of LTPN models are determined. Moreover, we provide the solution for the minimum delay that ensures diagnosability. From a practical point of view, diagnosability analysis is performed on the basis of on-the-fly building of a structure that we call ASG and which holds fault information about the LTPN states. Generally, using on-the-fly analysis and incremental techniques makes it possible to build and investigate only a part of the state space. Analysis results obtained on some chosen benchmarks show the efficiency in terms of time and memory compared with the traditional approaches based on state enumeration., Cette thèse s'intéresse à l'étude des problèmes de diagnostic des fautes sur les systèmes à événements discrets dans des contextes atemporel et temporel sur la base de modèles réseau de Petri. Des techniques d'exploration incrémentale et à-la-volée sont développées pour combattre le problème de l'explosion de l'espace d'état. Dans le contexte atemporel, une représentation algébrique pour les réseaux de Petri labellisés (RdP-L) a été développée pour caractériser le comportement du système. La diagnosticabilité de modèles RdP-L est ensuite abordée par l'analyse d'une série de problèmes d'analyse de K -diagnosticabilité, où K peut être augmenté progressivement. Concrètement, l'analyse de la diagnosticabilité est effectuée sur la base de deux modèles nommés respectivement FM-graph et FM-set tree qui sont développés à-la-volée et qui contiennent les informations relatives aux fautes. Un diagnostiqueur peut facilement être dérivé à partir du FM-set tree pour le diagnostic en ligne. Dans le contexte temporel, une technique de fractionnement des intervalles de temps a été élaborée pour développer une représentation de l'espace d'état des réseaux de Petri labellisés et temporels (RdP-LT) pour laquelle des techniques d'analyse de la diagnosticabilité du contexte atemporel, peuvent être exploitées. Sur cette base, les conditions nécessaires et suffisantes pour la diagnosticabilité de RdP-LT ont été déterminées, et nous présentons la solution pour le délai minimum qui assure la diagnosticabilité. En pratique, l'analyse de la diagnosticabilité est effectuée sur la base de la construction à-la-volée d'une structure que l'on appelle ASG et qui contient des informations relatives à l'occurrence de fautes sur les états du RdP-LT. D'une manière générale, l'analyse effectuée sur la base des techniques à-la-volée et incrémentale permet de construire et explorer seulement une partie de l'espace d'état. Les résultats des analyses effectuées sur certains benchmarks montrent l'efficacité des techniques que nous avons développées en termes de temps et de mémoire par rapport aux approches traditionnelles basées sur l'énumération des états.

The introduction of new European standards for railway safety, coupled with an increasing use of software technology changes the method of development of critical railway systems. Indeed, new systems have to be at least as good as the previous ones. Therefore the appropriate safety level of critical systems has to be proved in order to obtain the necessary approval from the authorities. Accordingly a high level of reliability and correctness must be reached by the use of mathematical proofs and then formal methods. We focus on the treatment of the temporal requirements in the level crossing case study which is modelled with p-time Petri nets, and on the translation of this model in a more formal way by using the B method. This paper introduces a methodology to analyse the safety of timed discrete event systems. First, our goal is to take out the forbidden state highlighted by a p-time Petri net modelling. This model deals with the requirements of the considered system and has to contain all the constraints that have to be respected. Then we aim at describing a process identified as a solution of the system functioning. This method consists in exploring all the possible behaviours of the system by means of the construction of state classes. Finally, we check if the proposed process corresponds to the requirements model previously built.Our case-study is the level crossing, a critical component for the safety of railway systems, Le but de ce rapport est de présenter une méthode globale de développement à partir de spécifications informelles, depuis la modélisation graphique des exigences temporelles d'un système ferroviaire critique jusqu'à une implantation systématique au moyen de méthodes formelles. Nous proposons d'utiliser ici les réseaux de Petri temporels pour décrire le comportement attendu du logiciel de contrôle-commande à construire.Tout d'abord nous construisons un modèle des exigences p-temporel prenant en compte toutes les contraintes que doit vérifier le système. Nous proposons des outils et des méthodes capables de valider et de vérifier ce modèle. Ensuite, il s'agit de construire un modèle de processus solution en réseau de Petri t-temporel. Ce modèle illustre des exigences techniques relatives à un choix technologique ou architectural. L'objectif est double : tout d'abord il est nécessaire de vérifier la traçabilité des exigences ; ensuite, il faut vérifier que l'ensemble des exigences sources sont bien implémentées dans la solution préconisée et dans sa mise en oeuvre. Enfin, nous proposons une approche visant à transformer de façon systématique le modèle de processus en machine abstraite B afin de poursuivre une procédure formelle B classique. Finalement, le cas d'étude du passage à niveau, composant critique dans le domaine de la sécurité ferroviaire est décrit

International audience; L'analyse préliminaire des risques (APR) est une méthode qualitative de la sûreté de fonctionnement. Elle est essentiellement utilisée au stade préliminaire de la conception du système pour mieux le connaître de manière à déterminer les scénarios d'accidents potentiels, évaluer leurs probabilités d'occurrence ainsi que la gravité des conséquences résultants et proposer des solutions (mesures préventives et/ou de protection) afin de réduire le niveau de risque en terme de gravité/occurrence. L'APR a été largement utilisée dans plusieurs domaines industriels (aéronautique, militaire, chimique, ferroviaire,...) afin d'étudier la sécurité des systèmes. D'un domaine à l'autre, d'un expert à l'autre de nombreuses démarches et méthodes extrêmement différentes sont utilisées pour effectuer cette analyse. En outre, les formats représentant les résultats de l'APR sont souvent variés ainsi que la terminologie et les concepts liés aux APR. L'objectif de ce travail, réalisé dans le cadre du projet ANRPREDIT-SECUGUIDE[1], est de proposer une démarche et un contenu type pour une APR dans le contexte des systèmes ferroviaires en prenant en compte l'utilisation des Nouvelles Technologies de l'Information et de la Communication (NTIC). [1] Le projet ANR-PREDIT-SECUGUIDE est un projet financé par l'ANR (www.anr.fr) qui a débuté en janvier 2006 pour une durée de 3 ans. Le projet a pour objectif d'étudié l'impact de l'introduction des NTIC dans les systèmes ferroviaires sur la sécurité-innocuité.

International audience; L'analyse des rythmes de la vigilance chez l'homme montre que des épisodes d'hypovigilance apparaissent à des horaires prévisibles de la journée. La baisse de la vigilance de l'opérateur humain est parmi les principales causes d'accidents. L'aspect chrono-biologique de la vigilance n'a jamais été abordé dans le domaine de la sécurité des transports ferroviaires et pourtant, le régime de rotation des horaires du travail des opérateurs humains, dans ce domaine, pose le même problème que le travail posté. La prise en compte des données chrono-biologiques peut améliorer la sécurité en proposant des solutions d'adaptation des horaires du travail aux variations circadiennes des capacités fonctionnelles de l'opérateur humain. Cet ouvrage développe une approche méthodologique d'application des concepts liés à la chronobiologie de la vigilance en vue d'améliorer la sécurité des systèmes de transports ferroviaires guidés.

International audience

This PhD thesis presents a contribution to the improvement of the usual methods of safety analysis used within the framework of the certification of automated transport systems (ATS). The mission of the certification experts consists in assessing the safety character of a new ATSby evaluating the completeness of the accident scenarios envisaged in the manufacturer's safety study. The certification assistance methodology developed is based on the joint and complementary use of knowledge acquisition and machine learning. The method of knowledge acquisition chosen has proved effective in extracting and formalizing historical knowledge from safety analysis but insufficient to acquire in detail the expert certification approach which is highly intuitive and scalable. To fill this gap, our study focused on the use of machine learning techniques. The difficulty of defining and choosing a learning system adapted to the requirements of an industrial application led us to propose a characterization of the learning process. ACASYA is the software environment developed to support the certification assistance methodology. It is made up of two main modules: CLASCA and EVALSCA, respectively dedicated to the classification and evaluation of accident scenarios. CLASCA which we have entirely designed is a symbolic-digital, inductive, incremental, non-monotonous and interactive learning system. EVALSCA, developed around the CHARADE rules learning system, aims to suggest to certification experts possible failures not considered by the manufacturer and likely to jeopardize the safety of a new ATS. To date, ACASYA has proven the interest of the methodology to formalize, exploit and perpetuate the know-how of the certification expert, in order to tend towards the exhaustiveness of the security analysis. In contrast to diagnostic assistance systems, ACASYA can be seen as a tool to help prevent breakdowns, located downstream of conventional forecasting methods of safety analysis., Ce mémoire de thèse de Doctorat présente une contribution à l'amélioration des méthodes usuelles d'analyse de sécurité employées dans le cadre de la certification des systèmes de transport automatisés (STA). La mission des experts de certification consiste à apprécier le caractère sécuritaire d'un nouveau STA en évaluant la complétude des scénarios d'accidents envisagés dans l'étude de sécurité du constructeur. La méthodologie d'aide à la certification développée repose sur l'utilisation conjointe et complémentaire de l'acquisition des connaissances et de l'apprentissage automatique. La méthode d'acquisition de connaissances choisie s'est révélée efficace pour extraire et formaliser les connaissances historiques d'analyse de sécurité mais insuffisante pour acquérir en détail la démarche experte de certification qui est fortement intuitive et évolutive. Pour pallier cette lacune, notre étude s'est orientée vers l'utilisation des techniques d'apprentissage automatique. La difficulté de définir et choisir un système d'apprentissage adapté aux exigences d'une application industrielle nous a conduits à proposer une caractérisation du processus d'apprentissage. ACASYA est l'environnement logiciel développé pour supporter la méthodologie d'aide à la certification. Il est composé de deux modules principaux: CLASCA et EVALSCA, respectivement dédiés à la classification et à l'évaluation des scénarios d'accidents. CLASCA que nous avons entièrement conçu est un système d'apprentissage symbolique-numérique, inductif, incrémental, non monotone et interactif. EVALSCA, développé autour du système d'apprentissage de règles CHARADE, a pour objectif de suggérer aux experts de certification d'éventuelles pannes non considérées par le constructeur et susceptibles de mettre en défaut la sécurité d'un nouveau STA. A ce jour, ACASYA a prouvé l'intérêt de la méthodologie pour formaliser, exploiter et pérenniser le savoir faire de l'expert de certification, en vue de tendre vers l'exhaustivité de l'analyse de sécurité. Par opposition aux systèmes d'aide au diagnostic, ACASYA peut être perçu comme un outil d'aide à la prévention des pannes, situé en aval des méthodes prévisionnelles classiques d'analyse de sécurité.

International audience; L'opérateur humain est un élément paradoxal : en situation de stress ou de fatigue, il peut être un élément de la perte de la fiabilité d'un système. Cependant, dans certaines situations critiques d'insécurité, il peut être un facteur de fiabilité, en rétablissant le bon fonctionnement du système, parfois par des actions non prévues par le règlement de sécurité de l'exploitation, mais, liées à sa connaissance, son expérience et son savoir-faire. Il faut donc optimiser la place de l'homme dans le système de transport en pleine connaissance de ses capacités mais aussi de ses limites. Inspiré des travaux de Reason, Rasmussen, Van Eslande et soutenue par quelques exemples d'application issus du domaine de la sécurité ferroviaire, l'approche proposée d'analyse et de modélisation de l'activité de l'homme dans l'analyse des scénarios d'accidents en vue améliorer le niveau de sécurité des systèmes de transports ferroviaires, fait intervenir trois niveaux complémentaires. Le premier niveau d'analyse contextuelle (avant l'accident) permet d'étudier les différents facteurs favorisant la production de l'erreur humaine à l'origine de l'accident. Ces facteurs sont relatifs à l'opérateur humain, à son environnement de travail, au système ainsi qu'aux diverses interactions de l'homme avec le système et l'environnement. Le deuxième niveau d'analyse cognitive (pendant l'accident) vise à identifier les erreurs humaines relatives au processus cognitif humain mis en jeu face à une situation d'insécurité donnée. Le troisième niveau d'analyse comportementale (après l'accident) s'attache à évaluer les conséquences d'une action erronée en termes de dommage sur l'homme, sur l'environnement et sur le système.

International audience; While the analysis of safety is one of the fundamental tasks involved in making a transport system safe it nevertheless still remains a stumbling block and close scrutiny of the process reveals certain shortcomings:- There is not always agreement regarding the usual methods of safety analysis, and practices sometimes ignore the few theoretical recommendations which exist. As a result, the formats used to present the results of analyses differ greatly from one manufacturer to another;- Finally, the production and appraisal of a safety file are particularly difficult and tedious tasks which are not always backed up by a formalized strategy. The thoroughness and coherence of analyses remain essentially the product of the know-how, intelligence and intuition of experts.In order to gain a better understanding of these shortcomings and attempt, where possible, to remedy them, we have set up a research project named AVIS (Acquisition and Validation of Safety Knowledge). The aim of this project is to improve the production and assessment of the different types of safety analyses by searching for errors at system level and in the hardware and software by following two directions of investigation:- A methodological direction, which attempts to improve the methods which are normally used for safety analyses and suggests methods and strategies for the appraisal of these analyses as regards coherence, completeness and traceability, etc.- An operational direction, which aims to develop software tools to aid in the design and examination of safety analyses. In particular these include systems for the acquisition, modelling, storage and appraisal of these analyses.This paper presents a general description of three mock-ups of tools which are intended to aid in the analysis and investigation of safety. These are:- “SAPRISTI”, for aid in the production and assessment of preliminary hazard analyses ;- “SAUTREL”, for aid in the examination of software error effect analyses ;- “FACTHUS”, for aid the integration of human factors in the experience feedback.; Si l'analyse de la sécurité représente l'une des tâches fondamentales du processus de mise en sécurité d'un système de transport, elle n'en demeure pas moins aujourd'hui la pierre d'achoppement. En effet, l'analyse attentive de ce processus permet d'en révéler certaines lacunes : - Les méthodes usuelles d'analyse de sécurité ne font pas toujours l'objet d'un consensus et les usages sont parfois éloignés des rares recommandations théoriques. De ce fait, les formats de représentation des résultats des analyses sont souvent extrêmement variés d'un constructeur à l'autre ; - L'élaboration et l'évaluation d'un dossier de sécurité sont des exercices particulièrement délicats et fastidieux qui ne sont pas toujours soutenus par une stratégie formalisée. En effet, l'exhaustivité et la cohérence des analyses demeurent essentiellement fondées sur le savoir-faire, l'intelligence et l'intuition des experts du domaine. Afin de mieux appréhender ces lacunes, et de tenter, le cas échéant, de les combler, nous avons défini un projet de recherche baptisé AVIS (Acquisition et Validation des connaissances de Sécurité). Ce projet a pour ambition d'améliorer l'élaboration et l'évaluation des différentes analyses de sécurité, en traquant l'erreur au niveau système, matériel et logiciel, selon deux axes d'investigation : Un axe méthodologique, en s'interrogeant sur les perfectionnements possibles des démarches usuelles d'analyse de sécurité et en proposant des méthodes et stratégies d'évaluation de ces analyses en termes de cohérence, de complétude, de traçabilité ; Un axe opérationnel, en développant des outils logiciels d'aide à la conception et à l'examen des analyses de sécurité qui intègrent notamment des systèmes d'acquisition, de modélisation, de capitalisation et d'évaluation de ces analyses. Cet article propose une description générale de trois maquettes d'outils d'aide à l'analyse et à l'examen de la sécurité : - " SAPRISTI " pour l'aide à l'élaboration et à l'évaluation des analyses préliminaires de risques (APR) ; " SAUTREL " pour l'aide aux analyses des effets des erreurs de logiciels (AEEL) ; " FACTHUS " pour l'aide à l'intégration des facteurs humains dans le retour d'expérience (Rex).