Ecole Centrale de Lyon

L’École Centrale de Lyon (ECL) est un établissement public à caractère scientifique, culturel et professionnel. Membre du Groupe des Ecoles Centrales et du réseau des Écoles Nationales d’Ingénieurs, l’ECL forme des ingénieur-es généralistes de haut niveau, des ingénieur-es de spécialité, des étudiant-es en master et des docteur-es. L’établissement accueille 2500 élèves ingénieur-es (étudiant-es et apprenti-es), 300 étudiant-es en master et plus de 250 doctorant-es.

Il est caractérisé par une recherche reconnue adossée à 6 laboratoires de recherche. L’activité de recherche de l’ECL est orientée vers et pour le monde économique au travers de nombreux contrats industriels.

de l’équipe se sont mis à explorer la thématique de la sécurité des systèmes cyber-physiques (ex : [PCZ21b,PCZ21a,EMSZ20]).

Contexte scientifique du projet

La problématique de la sécurité des systèmes consiste à pouvoir assurer la satisfaction des spécifications d’un cahier des charges en présence de comportements malveillants ou d’événements imprévus. Historiquement divisée en la lutte contre des attaques physiques et la protection des technologies de l’information, l’augmentation significative de cyber-attaques contre des systèmes commandés (infrastructures industrielles, réseaux électriques, drones,...) ces deux dernières décennies [DPF+19, SRE+19] et la limitation des approches classiques a rendu nécessaire de développer une approche systémique de la sécurité des systèmes [SAJ15], prenant notamment en compte l’interaction entre les mondes cyber et physique

(Fig. 1). D’un côté, les méthodes traditionnelles de sécurité des technologies de l’information se concentrent principalement sur la protection de l’information, et ne prennent pas directement en compte les répercussions physiques possibles de cyber-attaques. De l’autre, les approches

classiques d’Automatique et de Traitement du Signal permettent de traiter la tolérance à des perturbations indépendantes, mais ne prennent pas en compte de possibles attaques d’acteurs rationnels malveillants. Ainsi, au cours de la dernière décennie, des approches ont été développées pour la prévention, la détection et l’atténuation des attaques sur les systèmes commandés [CST19, DPF+19].

Un enjeu important est de trouver un compromis approprié entre le niveau de sécurité souhaité et la satisfaction d’un cahier des charges fonctionnel. Cela est notamment dû à la difficulté d’évaluer le risque, et particulièrement la probabilité d’occurrence, d’une attaque du fait de l’hétérogénéité des attaquants, aussi bien en termes d’objectifs que de ressources [TSSJ15].

Problématique et Objectifs de la thèse

Dans ce contexte, l’ambition de cette thèse est de s’attaquer à la problématique de l’analyse et la synthèse efficaces de détecteurs d’anomalies (attaques, défauts) sous contrainte de temps-critique. Le temps-critique est l’horizon temporel maximal pour lequel un système est considéré comme étant dans un état sûr après l’apparition d’une anomalie, c’est-à-dire que le système n’est pas dans un état critique et est encore capable de revenir à

un mode normal (Fig. 2). Cette métrique de sécurité introduite récemment [PCZ21a] apparaît comme pertinente à chaque étape du processus de gestion de risque (analyse, prévention, détection, atténuation). La motivation sous-jacente est qu’une augmentation du temps-critique laisse davantage de temps aux mécanismes de défense, y compris les opérateurs humains, pour détecter et atténuer les anomalies.

La performance des détecteurs d’anomalies est traditionnellement évaluée selon trois critères : le taux de détection, le taux de fausse alarme et le retard à la détection. Lors de la synthèse d’un détecteur, seuls les deux premiers critères sont considérés. L’estimation du retard à la détection, et la vérification que le système ne rentre pas dans un état critique avant la détection (c’est-à-dire que le retard à la détection soit inférieur au temps-critique), est alors estimé dans une phase post-synthèse à l’aide de simulations.

Le premier objectif de cette thèse est de développer une méthode d’analyse algorithmiquement efficace permettant de garantir formellement si le retard à la détection d’un filtre dans le pire-cas est inférieur au temps-critique. Pour cela, les recherches pourront s’appuyer sur des travaux existants [PCZ21b, EMSZ20, BTMS17] sur le calcul du temps-critique et de la technique dite de la simulation robuste, et les étendre à des systèmes d’intérêt plus pratique (systèmes linéaires temps-invariants incertains). Le deuxième objectif sera de proposer une méthode permettant de prendre en compte la contrainte du temps-critique directement lors de la synthèse du filtre de détection. Un enjeu important pour ce