Exemples de solutions
Sécurité informatique pour la gestion des risques - Application aux systèmes scientifiques et techniques

5.1 Mécanismes de tolérance aux fautes

Les techniques de programmation mettent à la disposition des concepteurs des techniques particulières qui permettent aux systèmes programmés d’être réactifs en cas de défaillance. Ces techniques sont utilisables dans les AMDE en tant que barrières de sécurité pour éviter que certains modes de défaillance des composants ne produisent les effets système redoutés.

Les techniques les plus souvent utilisées au niveau de la conception sont les techniques dites de programmation N versions ou de bloc de recouvrement.

• Le principe de la programmation N versions (figure 7) est similaire au principe de redondance active bien connu pour le matériel : N versions de programmes différents développés selon les mêmes spécifications sont exécutées en parallèle.

  Cette approche permet en principe de ne laisser passer aucune défaillance. Le problème est qu’elle peut être mise en défaut dans le cas d’une faute dont l’origine est implicitement dans les spécifications, ce qui est fréquent ! Il y a alors une cause commune de défaillance, l’indépendance entre les programmes n’est plus vérifiée : on dit qu’il n’y a pas de « diversité ». Par ailleurs, une telle approche est coûteuse à réaliser.

• Le principe du bloc de recouvrement (figure 8) consiste à développer une sorte de vérificateur de calcul appelé « alternant primaire ». L’alternant primaire ne fait pas les mêmes calculs que la fonction principale, mais, connaissant les entrées, il liste un certain nombre de propriétés que doivent avoir les sorties de la fonction. Si possible, il utilise également d’autres entrées que celles utilisées par la fonction principale. Un test d’acceptation permet de s’assurer que ces propriétés sont vérifiées. Si ce n’est pas le cas, un « alternant secondaire » propose des sorties qui garantissent un mode sûr...