Multi-level fault tolerance for autonomous robots - Application to an underwater robot

L'utilisation de robots mobiles se développe dans de nombreux domaines d’application. Ces robots peuvent être utilisés dans des environnements difficiles où l'accès est dangereux voire impossible pour l'homme. Malheureusement, on doit faire faire face à de nombreux événements indésirables lors de ses missions. Ceux-ci peuvent impacter significativement la mission en cours ou la sécurité du robot et de son environnement, ou la boucle de contrôle du robot.Les techniques de la sûreté de fonctionnement apportent des solutions éprouvées dans de nombreux domaines, et notamment la tolérance aux fautes qui permet de détecter et traiter ces situations à l’exécution. Cependant, les approches proposées manquent d'adaptabilité et de généricité, ne couvrant généralement pas les aspects missions, sécurité et boucle de contrôle de façon conjointe. De plus, le manque d’analyse de la compatibilité entre les mécanismes de recouvrement implémentés sur différents niveaux de l'architecture du robot peut avoir des conséquences sur la sécurité et les performances du robot.Ce travail décrit un framework visant à limiter l'apparition de fautes ou la propagation de celles-ci dans les robots mobiles de façon à en minimiser les conséquences indésirables tant au niveau mission que sécurité. Nous proposons une approche multi-niveaux originale traitant 3 catégories d'événements indésirables. Les 2 premières catégories concernent les événements 'haut-niveau': les violations de contraintes de type mission et de type sécurité. La dernière catégorie concerne les événements 'bas-niveau': les fautes, erreurs et défaillances se produisant dans le robot.Dans une phase préliminaire, notre approche nécessite l'élaboration d'arbres de défaillances pour chacune des catégories précédemment identifiées. L'étude qui est ensuite effectuée conduit à un renforcement de la fiabilité du système en cas de fautes en implémentant des recouvrements dits locaux s'ils agissent sans perturber le déroulement de la mission. Pendant la phase de fonctionnement normal, les événements indésirables sont vérifiés grâce à un modèle extrait de l'arbre de défaillances. Le système peut alors utiliser une redondance ou un recouvrement local afin de limiter la propagation d'un événement indésirable ou de le supprimer. En cas de détection d'un événement sans solution de repli local, un recouvrement global visant à changer de tâche est alors proposé par un gestionnaire de mission. Les contributions sont un framework complet perm