Introduction aux systmes embarqus : problmes et techniques

1
Introduction aux systèmes embarqués problèmes
et techniques

• Frédéric Boniol
• ONERA-CERT. 2, av. E. Belin - 31055 Toulouse
• ENSEEIHT - Département Télécommunication et
  Réseaux
• 2, rue Camichel, 31000 Toulouse
• Frederic.Boniol_at_cert.fr

2
Préambule

• Objectif de la présentation
• présenter un domaine industriel important les
  systèmes embarqués (avioniques)
• gt identifier les problèmes techniques
• gt identifier les solutions (dans le domaine du
  traitement de l'information)
• gt convaincre quil sagit dun domaine
  intéressant et aux enjeux importants !
• gt convaincre que l'informatique et les
  techniques formelles (de l'informatique) sont
  fondamentales pour cet enjeu !
• Plan
• Le contexte général les systèmes temps réel
• Avionique dun aéronef civil
• Avionique dun aéronef militaire
• Un élément de solution les langages synchrones
• Synthèse

3
1. Le contexte général les systèmes temps réel
4
1. Le contexte général les systèmes temps
réel...

• Définition générale (CNRS 1988)
• Peut être qualifiée de "temps-réel" (ou "temps
  contraint", ou encore "réactif") toute
  application mettant en uvre un système
  informatique dont le fonctionnement est assujetti
  à l'évolution dynamique de l'environnement qui
  lui est connecté et dont il doit contrôler le
  comportement.

données
Système informatique
Environnement (ex une chaîne de production, une
réaction chimique)
mesures
événements
commandes
5
1. Le contexte général les systèmes temps
réel...

• gt Les systèmes embarqués sont des systèmes temps
  réel critiques
• gt soumis aux problèmes classiques des systèmes
  temps réel !
• Exemple commande de vol d'un avion de combat
• mission stabiliser un avion naturellement
  instable
• lois de commande (calcul des ordres de gouvernes)
• asservissement des gouvernes
• entrées état et assiette de l'avion ordres
  pilote
• sorties ordres de gouvernes alarmes
• assujetti à la dynamique de l'avion
• durée des boucles de commande 10ms
• durée des boucles dasservissement 1ms
• indispensable (et donc critique) l'avion est
  incontrôlable sans ce système
• haut degré de tolérance aux pannes
• système réparti (plusieurs calculateurs reliés
  par un réseau constitué de bus de terrain)

6
2. L'avionique civile
7
2. L'avionique civile définition...

• Système avionique ensemble des moyens
  informatiques embarqués à bord dun avion,
  lanceur, satellite

• logiciels dapplication (pilote automatique)
• calculateurs, bus, passerelles
• logiciels exécutifs
• gt cur avionique
• gestion du vol (navigation, pilotage)
• gestion mission (militaire)
• gt informatique compagnie
• gt informatique passagers

8
2. L'avionique civile fonctionnalités

• Dans le cur avionique, on trouve des systèmes
  de
• Guidage
• planification et contrôle de la trajectoire avion
  (long terme) (suivi de plan de vol, tenue de cap,
  daltitude, suivi axe radioguidage)
• ? systèmes FMS (Flight Mangement System) et FGS
  (Flight Guidance System)
• Pilotage
• contrôle des mouvements avion autour de son
  centre de gravité (court terme) (contrôle
  assiette, facteur de charge, roulis)
• Asservissement des organes de pilotage (gouvernes
  et moteurs)
• Protection domaine de vol
• Interface avion / équipage
• gestion des écrans cockpit (EIS), gestion des
  alarmes (FWS)
• Divers gestion carburant, gestion alimentation
  électrique, anticollision

9
2. L'avionique civile fonctionnalités
EIS
10
2. L'avionique civile fonctionnalités
Évolution croissance continue (et exponentielle
!)
1980 A310
1985 A320
1990 A340
2000 A380
Taille totale du logiciel embarqué (en Mo)
4
10
20
?
11
2. L'avionique civile fonctionnalités
Exemple le contrôle du vol à court terme (FCS)
12
2. L'avionique civile fonctionnalités
Exemple lévolution du système de contrôle du
vol à court terme (FGS FCS)
Remarque le Concorde possédait déjà (en 1960)
des commandes de vols électriques
13
2. L'avionique civile

• Exemple le système de contrôle des gouvernes de
  lA320
• Spécification
• gt l'ensemble des exigences que le système doit
  satisfaire
• le système doit traduire en ordres de déflection
  des gouvernes les ordres de pilotage venant du
  pilote ou de pilote automatique (facteur de
  charge)
• Le système doit maintenir l'avion dans son
  domaine de vol quelles que soient les commandes
  du pilote ou du pilote automatique
• Le système doit être déterministe
  (fonctionnellement et temporellement)
• ...
• Compte tenu de la dynamique de l'avion, les
  ailerons et la gouverne de direction doivent être
  asservis à une période minimale de 10ms
• Compte tenu de la dynamique de l'avion, la
  gouverne de profondeur doit être asservie à une
  période minimale de 30ms
• ...
• La perte de contrôle à la fois des ailerons et
  des spoilers est catastrophique (taux de panne de
  10-9)
• La perte de contrôle de la profondeur est
  catastrophique (taux de panne de 10-9)
• La perte de contrôle des spoilers, des ailerons,
  de la direction et de la profondeur ne doit pas
  être causée par une panne unique

14
2. L'avionique civile

• Exemple le système de contrôle des gouvernes de
  lA320
• Conception générale
• gt l'architecture du système
• système réalisé en informatique
• 9 calculateurs
• 2 calculateurs redondants pour les becs et les
  volets (SFCC1 et 2)
• 2 calculateurs redondants pour la direction (FAC1
  et 2)
• 3 calculateurs redondants pour les spoilers, la
  profondeur et le trim (SEC1, 2 et 3)
• 2 calculateurs redondants pour les ailerons, la
  profondeur et le trim (ELAC1 et 2), suppléés en
  cas de panne par les calculateurs des spoilers
  (SEC1, 2 et 3)
• chaque calculateur doit être "fail-silent"
• chaque calculateur doit être caractérisé par un
  taux de panne inférieur ou égal à 10-3 panne par
  heure de fonctionnement
• ...

15
2. L'avionique civile

• Exemple le système de contrôle des gouvernes de
  lA320

16
2. L'avionique civile

• Exemple le système de contrôle
• des gouvernes de lA320

B ? G
17
2. L'avionique civile

• Exemple le système de contrôle des gouvernes de
  lA320
• Conception générale (suite)
• Choix de conception chaque calculateur est de
  type COM - MON
• deux parties COM et MOM fonctionnellement
  identiques mais réalisées différemment
• comparaisons des sorties des deux parties
• si accord, alors émission des sorties vers
  l'extérieur
• si désaccord, alors le calculateur est isolé de
  son environnement (plus aucune sortie)

18
2. L'avionique civile

• Exemple le système de contrôle des gouvernes de
  lA320
• Conception générale (suite)
• Choix de conception
• Dans chaque calculateur identification des
  tâches
• des tâches de calcul des ordres de déflexion de
  gouverne (lois de pilotage)
• des tâches d'asservissement des gouvernes (lois
  d'asservissements)
• une tâche de surveillance et consolidation des
  entrées
• des tâches de logique d'engagement

19
2. L'avionique civile

• Exemple le système de contrôle des gouvernes de
  lA320
• Conception générale (suite)
• Choix de conception
• Calculateurs SEC1, 2 et 3
• une tâche de calcul des ordres de déflexion du
  spoiler X de période 40 ms
• une tâche de calcul des ordres de déflexion de la
  profondeur de période 40 ms
• ...
• une tâche d'asservissement du spoiler X de
  période 10 ms
• une tâche d'asservissement de la profondeur de
  période 20 ms
• ...
• une tâche de surveillance et consolidation des
  entrées de période 10 ms
• une tâche de logique d'engagement de la tâche de
  calcul des ordres de déflexion du spoiler X de
  période 120 ms
• une tâche de logique d'engagement de la tâche
  d'asservissement du spoiler X de période 80 ms

Logique engagt Loi asserv Gi
Surveil-lance des entrées
Logique engagt Loi pilot Gi
Loi asserv Gi
Loi pilot Gi
20
2. L'avionique civile

• Exemple le système de contrôle des gouvernes de
  lA320
• Conception détaillée
• Choix de conception
• chaque tâche sera codée en LUSTRE (un langage
  synchrone)
• choix d'un ordonnancement statique (cyclique)
• gt découpage du temps en tranche de 10 ms et
  allocation (statiques) des tâches dans ces
  tranches
• les tâches de périodes 10 ms sont exécutées dans
  toutes les tanches
• les tâches de périodes 20 ms sont exécutées dans
  une tranche sur deux
• gt seule IT prise en compte top d'horloge
  (toutes les 10 ms)
• gt l'ordonnancement statique sera codé en C
• gt pas d'OS temps réel
• etc.

21
2. L'avionique civile

• Exemple le système des commandes de vol (FCS)
  A330 et A340
• 5 équipements COM / MON
• FCPC 1 calcule périodiquement les d de toutes les
  gouvernes et les diffuse aux autres équipements
• chaque équipement asservit les gouvernes qui lui
  sont allouées
• schéma de reconfiguration en cas de panne pour le
  calcul des d
• FCPC 1 ? FCPC 2 ? FCPC 3 ? FCSC 1 ? FCSC 2
• un schéma de reconfiguration pour
• lasservissement des gouvernes critiques

22
2. L'avionique civile architecture

• Architecture civile (jusqu'à l'A340) fédérale
  girondine
• Principe fonctionnement décentralisé
• pas de partage de ressource
• autant de calculateur (LRU) que de fonctions
  avioniques (calculateurs dédiés)
• à chaque calculateur (LRU) est associé un
  ensemble de bus numériques mono-émetteurs
• (chaque calculateur est propriétaire de ses bus)
• intégration faible
• (avion ensemble de fonctions volant en
  formation rapprochée et dont lunique interaction
  se résume à des échanges de données)
• déterminisme local sur chaque bus
• architecture permettant le développement séparé
• (bien adapté à la logique industrielle Airbus)
• Mais
• non déterminisme global (pas de chef dorchestre)
• explosion du nombre de calculateurs et de bus
• absence de vue globale

23
2. L'avionique civile architecture
Exemple (court) extrait de l'avionique A340
24
2. L'avionique civile architecture
gt tentative de représentation complète
gt gros paquet de "spaghetti" impossible à
représenter et difficile à maîtriser !
25
2. L'avionique civile architecture

• Remarque
• Les architectures fédérales civiles (girondines)
  sont par nature asynchrones
• pas dhorloge commune, ni de mécanisme de
  synchronisation dhorloges
• mémoire par bus diffusant et tampon à écrasement
• pas de synchronisation entre fonction avionique
• Intérêt
• Un système avionique un ensemble de processus
  communicants asynchrones
• simplicité de conception et dintégration
• permet une organisation industrielle fédérale (à
  la Airbus)
• Mais
• nécessite des fonctions robustes à
  lasynchronisme (délais et variations de délais)
  induit par labsence de référence temporelle
  commune
• OK pour les avions civils (stables et lents)
• Non pour les avions militaires (instables et vifs)

26
2. L'avionique civile architecture
Évolution croissance continue

• lavionique (ensemble des équipements numériques
  et des logiciels) représente environ 33 du coût
  dun avion
• la phase de validation de lavionique représente
  environ 50 du temps de développement total

27
2. L'avionique civile architecture future

• Jusqu'à A340 avionique classique
• pas de partage de ressources de calcul et de
  communication (une fonction par calculateur et
  par bus)
• peu de difficulté pour maîtriser (comprendre,
  prédire, dimensionner) le comportement temps réel
  du système avionique
• mais devient un paquet de "spaghetti"

• gt A partir de A380 avionique modulaire
  intégrée (IMA)
• partage des ressources
• impact sur les performances temps réel du système
  avionique

28
2. L'avionique civile architecture future

• Pourquoi de nouvelles architectures ?
• augmentation du nombre de fonctions
• intégration croissante des systèmes
• augmentation des échanges entre les fonctions
• augmentation des besoins en ressources de calcul
  et de communication
• nécessité de partage des ressources
• bus de multiplexés
• ressources de traitement gérées par un exécutif
  temps réel
• ressources de calcul et de communication
  banalisées
• gt 3 types dIMA
• Boeing (B777)
• Airbus (A380)
• Dassault Aviation (Rafale)

29
2. L'avionique civile architecture future

• gt IMA Boeing (B777)
• à base de calculateurs partagés (CPM)
• à base de bus partagés CSMA-CA (ARINC 629 et
  ARINC 659)
• ordonnancement statique des fonctions sur les CPM
  et des messages sur les bus
• gt Intérêt
• déterminisme
• gt Principal problème
• définition et maintenance des trames bus
• gt manque de souplesse, et évolution difficile

30
2. L'avionique civile architecture future
Architecture IMA type B777
31
2. L'avionique civile architecture future
Architecture IMA type B777
32
2. L'avionique civile architecture future

• gt IMA Airbus (A380)
• à base de calculateurs partagés (CPM)
• interconnectés par un réseau composé de
  commutateurs (SW) et de bus ethernet
• ordonnancement statique des fonctions sur les CPM
  et des messages sur les bus
• gt Intérêt
• grande souplesse gt facilité dévolution
• composants du commerce gt faible coût et
  maintenance plus aisée
• gt Principal problème
• évaluation de performances et dimensionnement du
  réseau (risque dengorgement du réseau)
• problème de garantie de déterminisme

33
2. L'avionique civile les problèmes

• Les systèmes avioniques sont critiques (dont la
  défaillance met en danger léquipage ou les
  passagers) ou essentiels (dont la défaillance met
  en cause le bon déroulement de la mission)
• gt besoin de déterminisme
• gt besoin de sûreté (pas de défaillance)
• gt besoin de sécurité (robustesse aux
  malveillances)
• gt besoin de disponibilité (système essentiels)
• gt Conséquences architecturales
• redondance matérielle avec dissimilarité
  (matérielle et logicielle)
• ségrégation géographique
• gt Conséquences fonctionnelles
• déterminisme (Lustre, Esterel, allocations
  statiques, séquencements statiques)
• tolérance à lasynchronisme de larchitecture

34
2. L'avionique civile les problèmes

• gt besoin fort en
• garantie de correction fonctionnelle (absence de
  bug)
• analyse de sûreté de fonctionnement
• analyse de performance temps réel (garantie de
  non perte de message, de latence max)
• gt besoin en garantie de qualité de service
• gt nécessité de démonstrations formelles pour le
  dossier de certification

35
2. L'avionique civile les problèmes

• Remarque exemple darchitecture pour la sûreté
  de fonctionnement
• redondance n-uplex chaude vote (en entrée des
  calculateurs clients)
• Auto surveillance COM / MON
• redondance n-uplex  tiède  reconfiguration
• exemple système des commandes de vol A330 et
  A340

ADIRU1
ADIRU2
ADIRU3
Equipement  fail silent 
36
2. L'avionique civile les problèmes

• Remarque exemple darchitecture pour la sûreté
  de fonctionnement
• Architecture COM / MON
• gt permet de construire des calculateurs non
  contagieux en cas de faute
• gt à la base des commandes de vols Airbus

37
2. L'avionique civile les problèmes

• Un avion est un système complexe qui fait
  intervenir plusieurs partenaires
• besoin de conception, développement,
  vérification, réalisation séparés !
• Les campagnes dessai en vol sont longues et
  chères, et demandent de nombreuses modifications
  sur le logiciel embarqué
• besoin de réactivité lors de modification du code
  embarqué
• (délai exigé entre une demande de modification et
  linstant où lavion est prêt quelques heures)
• besoin de techniques de modifications
  incrémentales
• besoin de techniques de vérification formelle et
  exhaustives
• besoin de techniques de génération de jeux de
  test.

38
2. L'avionique civile les problèmes

• Un avion civil doit être certifié...
• Obligation de constituer un dossier de
  certification qui doit être accepté par les
  autorités européenne et américaine !
• dossier volumineux et long (donc coûteux) à
  établir
• chaque modification doit donner lieu à une
  recertification
• gt la certification est un frein aux évolutions
• à moins de disposer de techniques formelles
  (mathématiques) permettant de démontrer
  rigoureusement et rapidement la conformité dune
  évolution par rapport aux exigences et sûreté

39
2. L'avionique civile conclusion

• gt Les techniques nécessaires au développement de
  systèmes avioniques
• ingénierie système et ingénierie logiciel
• automatique discrète et continue
• spécification et vérification formelle
• sûreté de fonctionnement
• analyse de performance temps réel
• réseaux

40
2. L'avionique civile conclusion

• Remarque coût de vente dun avion civil
• 1/3 cellule
• 1/3 moteurs
• 1/3 avionique
• Mais
• part de plus en plus importante (prépondérante ?)
  de lavionique dans lamélioration des
  performances de lavion
• gt exemples
• structure légère rendue possible les commandes de
  vol électriques (FCS)
• avion instable rendu possible par la qualité des
  commandes de vol électriques (FCS)
• minimisation de la consommation de carburant par
  une meilleure gestion du vol (FMS) gt vers le
   vol libre  ?

41
2. L'avionique civile conclusion

• gt avionique enjeu stratégique pour les
  avionneurs !
• Mais aussi pour
• lespace
• lautomobile
• le ferroviaire
• le nucléaire

42
3. L'avionique militaire
43
3. L'avionique militaire définition...

• L'avionique d'un avion militaire ?
• les systèmes et équipements informatiques
  embarqués à bord de l'aéronef.
• les fonctions, calculateurs, bus de
  communication, coupleurs bus, unités graphiques
  (générateurs de symboles et écrans), coupleurs
  radars...

44
3. L'avionique militaire fonctionnalités...
Les systèmes que l'on trouve dans un avion
SYSTEME COCKPIT
SYSTEME CONTRÔLE DE VOL
SYSTEME PLANIFICATION DE MISSION
SYSTEME SENSEURS TACTIQUES
SYSTEME CARBURANT
SYSTEME AUTO-PROTECTION
SYSTEME ELECTRICITE
AVIONIQUE
SYSTEME COMMUNICATIONS LIAISONS DE DONNEES
SYSTEME MOTEURS
SYSTEME NAVIGATION ET ATTAQUE
45
3. L'avionique militaire fonctionnalités...

• stabilisation avion et pilotage
• "petits" mais critiques
• équipementier interne
• - conception/réalisation/validation

• Les systèmes que lon trouve
• dans un avion
• Emports
• armes
• réservoirs
• capteurs amovibles (POD désignation laser, )
• Système principal
• Système cellule équipée
• Système propulsif
• Système de commande de vol
• Plate-forme cellule
• Moyen d'emport
• Système de Navigation et d'attaque

• carburant, atterrisseurs,
• conditionnement,
• génération électrique,...
• petits , parfois critiques
• Dassault Aviation spécifies,
• intègre et valide

Le cerveau de lavion
46
3. L'avionique militaire fonctionnalités...

• gt Le Système de Navigation et d'Attaque
• Communication
• Capteurs de navigation
• Enregistreurs / boîtiers stockage
• Noyau système
• Structure daccueil informatique
• calculateurs
• réseau
• logiciels exécutifs (OS)
• Equipements de visualisation
• les visus
• les calculateurs de génération de symboles
• Equipements armes
• Capteurs guerriers (radar)

47
3. L'avionique militaire fonctionnalités...

• Le rôle de l'avionique dans un avion militaire ?
• piloter l'avion les aéronefs modernes sont
  instables
• pilote automatique
• commande de vol
• gestion du carburant
• approche atterrissage
• suivi de terrain...
• Pour aider et optimiser la localisation et la
  navigation
• Pour gérer les armes et les contre-mesures,
  (conduite de tir)
• Pour aider à la réalisation de la mission
  (analyse de la situation, détection d'hostiles,
  planification du vol)
• Pour minimiser la charge de travail de l'équipage
• gestion de l'affichage
• synthèse des informations à afficher
• gt Des fonctions superposables...

Fonctions civiles (25)
Fonctions militaires (75)
Système de Navigation et d'Attaque (SNA)
48
3. L'avionique militaire fonctionnalités...
Exemple une arborescence fonctionnelle
militaire type
Système avionique
49
3. L'avionique militaire fonctionnalités...

• Quelques ordres de grandeurs (avionique du
  Rafale)
• 2 millions de lignes de codes ADA, dont 1,5 pour
  le SNA
• 50 équipements (numériques ou analogiques)
• 12 calculateurs
• Contraintes de temps de lordre de 10ms

50
3. L'avionique militaire fonctionnalités...

• Quelques ordres de grandeurs (avionique du
  Rafale)
• pour une étape de développement de 60.000 lignes
  
• 24 mois (spécification détaillée -gt livraison
  calculateur)
• 30 à 40 personnes
• 260 fiches de modification

51
3. L'avionique militaire fonctionnalités...
Quelques ordres de grandeurs (avionique du
Rafale) Répartition du côut dans le
développement des logiciels embarqués
52
3. L'avionique militaire fonctionnalités...
Remarque Le logiciel est à la fois du type
automate et algorithmes
53
3. L'avionique militaire fonctionnalités...

• Que font les automates ?
• Les conditions dactivation / désactivation
• Les modes
• Les commandes
• Les reconfigurations
• Que font les algorithmes ?
• localisation, navigation, itinéraires,
  trajectoires
• situation tactique (entretien/affichage des
  pistes)
• domaines de tir, balistiques
• calcul de réticules de guidage
• gt Une avionique militaire est surtout réactive
• gt spécification (et programmation) orientée plus
  automates que algorithmes

54
2. L'avionique militaire architecture

• Architecture militaire (Mirage 2000, Rafale
  Ariane 5) fédérale jacobine
• un petit nombre de bus numériques, vus comme les
  centres névralgiques du système avionique
• gt bus multiplexés administrés par un  gérant 
• un calculateur  gérant  les bus, vu le chef
  dorchestre central
• un ensemble de calculateur connectés aux bus
• intégration forte
• déterminisme global
• maîtrise centralisée...
• Mais
• forte complexité de lintégration
• approche peu modulaire, évolutions délicates...

55
3. L'avionique militaire architecture...
Exemple une architecture militaire type
(hypothétique)
56
3. L'avionique militaire architecture...
Exemple extrait de lavionique du F16
57
3. L'avionique militaire architecture...
Exemple extrait de lavionique dun Mirage
58
3. L'avionique militaire architecture...
Exemple extrait de lavionique dun Mirage en
IMA
Cur système structure d'accueil IMA -
calculateurs généralistes (DP) - calculateurs
graphiques (GDP) - coupleurs bus (BC) - un bus
fond de panier en anneau Intérêt - souplesse
et maintenance facilitée Problème -
détermination des performances gt garantie de
qualité de service
59
3. L'avionique militaire les problèmes...

• Les points durs de l'avionique militaire
• souvent un système différent par client
• nécessité d'évolutions fréquentes
• programme de longue durée gt évolution des
  besoins et des technologies en cours de programme
• systèmes de plus en plus complexes
• 5 fois plus d'équipements et 10 fois plus
  d'informations échangées entre équipements sur un
  Rafale que sur les versions des Mirages 2000 des
  années 80
• combinatoire des modes et des états élevée
• Landing System plus de 1014 états possibles
  (nombreux timers)
• Flight Control System Maintenance Computer plus
  de 2.106 états possibles
• Side Displays Management plus de 2.108 états
  possibles
• nécessité rigueur dans la conception
• nécessité de descriptions modulaires

60
3. L'avionique militaire les problèmes...

• Les points durs de l'avionique militaire (suite)
• contraintes opérationnelles fortes et
  environnement hostile
• réactivité (de lordre de la ms)
• sécurité (confidentialité et intégrité des
  échanges avec l'extérieur)
• sûreté (tolérance aux défaillances)
• furtivité et robustesse aux agressions
  électromagnétiques
• contrainte de place et de poids (ressources
  limitées)
• environnement hostile (vibration, température)
• nécessité de travail en coopération (dans un
  contexte confidentiel)
• nécessité de techniques de projection
  (abstraction) et d'analyse par point de vue
• nécessité de méthodes de travail (ingénierie)
  préservant la confidentialité des travaux de
  chaque partenaire

61
3. L'avionique militaire les problèmes...

• Principales différences entre les avioniques
  civiles et militaires
• Lavion militaire diffère de lavion civil par
• des fonctions intelligentes et réactives
  (planification de mission)
• une architecture hiérarchique organisée autour du
  SNA
• un système plus intégré
• un environnement fortement dynamique, et hostile
• un fonctionnement apériodique par rafale
• complexité accrue et combinatoire élevée
• besoin de techniques différentes de celles
  étudiées en avionique civile

62
4. Un élément de solution les langages
synchrones pour la programmation des applications
avioniques...

• - rappel sur la nature des fonctions avioniques
• - principes généraux des langages synchrones
• - Lustre en 1 transparent
• - Esterel en 1 transparent

63
4. La solution synchrone - Rappel sur les
systèmes avioniques

• Un calculateur avionique implante
• des fonctions cycliques
• des fonctions apériodiques
• des processus interface environnement
  (protocoles)
• un séquenceur pilotant lactivation des fonctions
  cycliques et apériodiques en fonction des signaux
  reçus, du mode courant
• (un OS temps réel)

(pas dacquisition asynchrone en cours de
traitement)
du type
ECS
64
4. La solution synchrone - Rappel sur les
systèmes avioniques

• Fk ECS (acquisition gelée au début de
  lexécution)
• revient à figer l'environnement de Fk pendant
• son exécution
• revient à bloquer le temps du point de vue de Fk
• hypothèse locale du temps nul
• hypothèse synchrone forte
• Lasynchronisme est géré par le séquenceur
• mémorisation des signaux reçus pendant
• lexécution des Fk
• gestion de lexécution des Fk
• approche asynchrone pour le séquenceur
• Approche combinée asynchrone / synchrone

Lustre, Esterel, Signal...
SDL...
Fonctions cycliques, apériodiques...
Séquenceur, protocoles...
65
4. La solution synchrone principes généraux

• Principe simplificateur premier
• un processus synchrone est un processus du type
  ECS qui fige les valeurs de ses signaux dentrée
  au début de son exécution et pour toute la durée
  de celle-ci
• Par principe de modularité
• les valeurs des signaux internes ou de sortie
  (calculées dans la partie CS) sont figées au fur
  et à mesure quelles sont élaborées
• assignation unique
• déterminisme
• revient à geler le temps du point de vue de
  chaque signal
• élimination du temps du point de vue interne
• (cest comme si tout était calculé
  instantanément et immédiatement - le  comme si 
  étant géré concrètement par le compilateur du
  langage)

66
4. La solution synchrone principes généraux

• Dun point de vue mathématique
• soit F un processus synchrone
• soit a1, an les signaux (entrée, sortie,
  interne) de F
• Notons
• 
  (Si valuation dun sous ensemble de a1, an)
• une activation de F avec le stimulus S0
  (valuation des signaux dentrée de F)
• Alors,
• (Si)i1..n est une suite croissante convergente
  (les valeurs des signaux sont progressivement
  figées au cours de lexécution et dès quelles
  sont calculées)
• SN est complet (tout signal a été calculé)
• simplifie de la programmation interne de F
• mais nécessite un environnement à dynamique lente
  (i.e., plus lente que le calcul de F) ou une
  interface asynchrone / synchrone

67
4. La solution synchrone principes généraux

• Trois langages
• LUSTRE pour la programmation de processus opérant
  majoritairement sur des flots semi-continus
• ESTEREL pour la programmation de processus
  opérant majoritairement sur des événements
• SIGNAL pour la programmation de processus opérant
  majoritairement sur des flots semi-continus

68
4. La solution synchrone Lustre en bref

• Notion de base flot de donnée
• Programme Lustre
• réseau dopérateurs produisant et consommant des
  flots de données à chaque cycle dactivation
• Origine Vérimag (Grenoble)
• Distribution commerciale SCADE - Esterel
  Technologie
• Utilisations industrielles Airbus, Schneider
  Electric

SCADE
Lustre
Node asserv (aobs real) returns (Ccmd
real) var Cobs, Cgain real let Ccmd (0 ?
pre(Ccmd)) Cgain Cgain K ((0 ?
pre(Ccmd)) - Cobs Cobs Conv_angle_courant(ao
bs) tel.
69
4. La solution synchrone Esterel en bref

• Notion de base signal (absent ou présent) valué
• Programme Esterel
• automate hiérarchique et parallèle
• Origine INRIA (Sophia Antipolis)
• Distribution commerciale
• Esterel Studio - Esterel Technologie
• Utilisations industrielles
• Dassault Aviation

Module foo input I, J output 0 signal S in
loop await 2 I emit S end
loop await J and S emit O
end module
70
5. Synthèse ...
71
5. Synthèse

• Avionique
• domaine industriel en plein essor
• gt extension rapide au secteur automobile
• systèmes très critiques et temps réel
• gt forte exigence de garantie de qualité de
  service
• gt exigence de certification
• gt besoin dingénieurs (bien) formés en
• ingénierie système (et logiciel)
• analyse comportementale de système (tolérance aux
  pannes, temps réel)
• méthodes formelles et preuve de correction
• gt enjeux économiques vitaux !!!!!

Lavionique est devenu le système discriminant
entre les avions gt enjeu stratégique !