Michel BARAT (ONERA/DTIM/MCT) ONERA 27 avenue de la Division Leclerc 92 Chatillon France

1. Modélisation et simulation comportementale en phases de définition et de conception pour la validation de systèmes de drone en vue de leur certification. Michel BARAT (ONERA/DTIM/MCT) ONERA 27 avenue de la Division Leclerc 92 Chatillon France barat@onera.fr tel. (33) 01 46 73 43 88 Mme Artzner,Mr G. Grenier Aérospatiale Matra

2. Cahier des charges Validation des besoins Simulation/ Model-checking Spec fonctionnelle Validation des architectures Simulation/ Model-checking Spec SCADE des procédures Validation des procédures Génération de code Codes unitaires Validation des codes unitaires Analyse statique /Tests Codes intégrés Validation des codes intégrés Utilisation des techniques et outils de validation dans le cycle de développement des logiciels ? • Tendance : réduire les coûts et la complexité • en introduisant des procédures de validation dès les phases amont • en sélectionnant un enchaînement de techniques complémentaires

3. Mission de drone HALE Endurance : 24-32 h, Endurance sur zone : +15h, 2500Km Altitude : +60000ft

4. Ligne TC/TM VHF/UHF Ligne Imagerie (video+ Trafic Contrôle) Aéronef VHF/UHF (Radio+ Comm Auto) MTO CdC ou CLA Station Pilote Station Exploitation Échanges entre le Système drone et les autres systèmes

5. SAHARA • Comprendre le fonctionnement d ’un système par les interactions entre ses composantes • Deux simulateurs: • fonctionnel : • simule les interactions entre les composants du système. • logico-matériel: • même chose qu ’en fonctionnel + prise en compte du temps dû à la charge de ressource: calcul, mémoire et canal • Conception itérative : • modélisation, • simulation, • exploitation des résultats. SAHARA Simulateur d'Architectures Hétérogènes d'Agents et de Ressources Actives. LADA LAngage de Description d'Architectures

6. Caractéristiques de SAHARA Systèmes : contraintes temporelles, fonctionnant en parallèle, réactifs à l'environnement, communicant entre eux, asynchrones, indéterministes. Modèle SAHARA : Modèle : asynchrone déterministe indéterministe stochastique Modèles comparables Automates d'états Réseau de Pétri SAHARA<> SDRT Esterel Statechar SESWorkbench, Bones …

7. Description de niveau fonctionnel Les données échangées: ( nom_donnée ((attribut valeur) ...(attribut valeur))) Analyse tactique piste message Les fonctions mise à jour menace le type de la fonction (standard, CSA, interuptible, Anytime) les entrées et les sorties le contexte la transformation

8. Modélisation des comportements Ils transcrivent les données d ’entrées en données sorties. Ces productions peuvent être déterministes ou non déterministes. (def_fonction identifier_produit (entrees produit produits_stockes produits_connus) (sorties produits_stockes produit_rejete nouveau_produit) (transformation (declencheur produit (20 oubli (produit) (produit_rejete)) (70 mise_a_jour (produit produits_stockes produits_connus) ((produits_stockes ((modifieur modifier)))) (10 creation (produits produits_connus) (( nouveau_produit ((name $produit.name)))))) sélecteur entrées sorties nom du comportement fréquence

9. Description de niveau matériel • La description de niveau matériel consiste : • à décrire les ressources : cpu, mémoire et canal • capacité, délai latence • type de ressources : • répartition uniforme, à priorité pour les cpu et ram, • répartition uniforme, à priorité, préemptif, à diffusion pour les canaux • à projeter l ’architecture de niveau fonctionnel sur l ’architecture matériel • Résultats de simulation • les interactions entre composantes système, • des mesures sur les charges des ressources: charge instantanée, maximum, moyenne, délai d ’attente, délai de transit

10. Architecture de principe retenu pour la modélisation

11. ETATS PORTEUR X_porteur Images(vidéo+TCAS+trafic) liaisons aéronautiques Equipements GNC Dispositif de neutralisation G C B G C S Gestion BDD Aéronautique TC neutr Etats GNC X-porteur Cmd GNC TC neutr TC PORTEUR(1) REQUETE PL Opérateur pilote Réponse BDSAéro Etat GCB in input input TM Liaison imagerie TC Autres équipements COMM AUTO G C B G C S Etats EQMTS TC neutr Image Video Image trafic Image TCAS Etats Porteur Calculateur / Gestion de mision Equipements Surveillance X_porteur TC PORTEUR(0) Poste de Contrôles-Commandes Etats SURV output output COMM AUTO Cmd SURV Etat GCB out Liaison SSA / CLA Enregistreurs CDT PILOTE Param_contraintes_vols Etats CU SSA IMAGE PORTEUR CU SSU TC CU Etats Porteur X_ porteur Destruction données CU ou CU AERONEFS CU VHF / UHF CLA CDC

12. Représentation graphique de l’architecture du drone

13. Fonctionnement nominal de la liaison directe

14. Reconfiguration de la liaison image Taux charge fonction du temps Délai transit en fonction du temps L ’architecture du drone comporte deux liaisons sol/air: une liaison télémesures/télécommandes TC/TM(0.8Mb/s) et une liaison imagerie (10Mb/s). En cas de perte de la liaison imagerie, les images vidéo transitent par la liaison TC/TM mais il est nécessaire de valider par simulation les paramètres d ’image : taille d ’image en pixels, codage pixel, facteur de compression et période d ’acquisition.

15. Délai de transit des télémesures Résultats de 2 simulations correspondant à la reconfiguration des communications en cas de perte de la liaison image. Pour le modèle hale5, la liaison direct est sans priorité,les TM étant en concurrence avec les images de délais de transit est de 100ms. Pour le modèle hale5-1 avec priorité et les TM sont prioritaires sur les images et le délais de transit reste constant à 10ms. Inversement pour les images, le délais de transit est de 110ms dans le cas de hale5 (pas de priorité) et de 120ms dans le cas de hale5-1(avec priorité aux TM)

16. Mise en pratique d ’une démarche pour la SdF • Principes généraux • Niveaux de gravité : Catastrophique, Critique, Majeur, Mineur • Modes de contrôles : Gestion PA, Autonome, Procédurale, Assisté sol • Modes de replis sécuritaires : • système :Poursuite, Report mission, Go/No Go, Mise en sécurité, Assisté • porteur : Assisté sol , Poursuite du plan vol, Reconfiguration • autres systèmes : Mise en attente, Obtention de moyens externes

17. Démarche d ’évaluation cas MALE/HALE • Hypothèses sur les moyens de liaison : • liaison satellite SSA/Porteur : de 100Kb/s à 64Kb/s • liaisons HDCP et HDLP : 2Mb/s • liaison LDHP : 100 - 64Kb/s • liaison Secours : 10Kb/s à 1Kb/s • Scénarios d ’évaluation • Phase de vol: Image trafic Vidéo Radio TM/état • mission Male nominale x - x x • mission Hale nominale x - - x • décollage/atterrissage nominale x x x x • mission Male dégradée x - - x • mission Hale dégradée - - - x • Résultats d ’évaluation • Liaison descendante(640Kb/s) Délai spécifié Délai simulé • X_porteur 1s 40ms • Etat_porteur 1s 40ms • Image trafic (800Kb) 2s 1250ms

18. Dimensionnement du mode dégradé • Cas de la liaison de secours 1kb/s mission MALE dégradé • Mode nominale Mode dégradé • Image trafic 24 kb/s  30avions /s 200o/5s  2avions /5s • TM_porteur • X_porteur 800 b/100ms  1X/100ms 800b/2s  1X /2s • Etat_porteur 8kb/s  100param/s 1,2Kb/2s (40 param/2s) • Liaisons radio 2.4 kb/s téléphone

19. Apports de la modélisation et de la simulation • détermination des délais d ’acheminement, • calcul de la charge instantanée, du délai d ’attente en cas de concurrence à la ressource, • prise en compte de délai de latence des relais (satellite, chemin de comm), • évaluation du niveau de criticité de conflits d ’accès aux comm., • détermination des tailles, périodicités, facteurs de compression, niveaux de priorités des flux de données, en adéquation avec la capacité des ressources • En phase de conception, la démarche permet d ’appréhender le comportement du système dans ses différents modes de fonctionnement.