Centrale Lyon

**Contexte de travail du doctorat**

L’École Centrale de Lyon (ECL) est un établissement public à caractère scientifique, culturel et professionnel. Membre du Groupe des Ecoles Centrales et du réseau des Écoles Nationales d’Ingénieurs, l’ECL forme des ingénieur-es généralistes de haut niveau, des ingénieur-es de

spécialité, des étudiant-es en master et des docteur-es. L’établissement accueille 2500 élèves ingénieur-es (étudiant-es et apprenti-es), 300 étudiant-es en master et plus de 250 doctorant-es.

Il est caractérisé par une recherche reconnue adossée à 6 laboratoires de recherche. L’activité de recherche de l’ECL est orientée vers et pour le monde économique au travers de nombreux contrats industriels.

Le laboratoire Ampère est une unité mixte de recherche (CNRS, Ecole Centrale de Lyon, INSA Lyon, Université Lyon 1) de plus de 150 chercheur-euses basée à Lyon, France, qui travaille sur l’utilisation rationnelle de l’énergie dans les systèmes en relation avec leur environnement.

Les travaux de recherche conduits au département Automatique pour l’Ingénierie des Systèmes (AIS) concernent le développement de méthodologies et d’outils visant l’optimisation et la maîtrise du comportement dynamique des systèmes et ce dans de très nombreux domaines

L’équipe d’encadrement a travaillé au cours des dernières années sur les possibilités offertes par les approches d’Automatique et de Traitement du Signal pour le développement de méthodes de conception/compréhension des systèmes relevant de différentes disciplines (Electronique,

**Contexte scientifique du projet**

La problématique de la sécurité des systèmes consiste à pouvoir assurer la satisfaction des spécifications d’un cahier des charges en présence de comportements malveillants ou d’événements imprévus. Historiquement divisée en la lutte contre des attaques physiques et la protection des technologies de l’information, l’augmentation significative de cyber-attaques contre des systèmes commandés (infrastructures industrielles, réseaux électriques, drones,...) ces deux dernières décennies [DPF+19, SRE+19] et la limitation des approches classiques a rendu nécessaire de développer une approche systémique de la sécurité des systèmes [SAJ15], prenant notamment en compte l’interaction entre les mondes cyber et physique (Fig. 1). D’un côté, les méthodes traditionnelles de sécurité des technologies de l’information se concentrent principalement sur la protection de l’information, et ne prennent pas directement en compte les répercussions physiques possibles de cyber-attaques. De l’autre, les approches classiques d’Automatique et de Traitement du Signal permettent de traiter la tolérance à des perturbations indépendantes, mais ne prennent pas en compte de possibles attaques d’acteurs rationnels malveillants. Ainsi, au cours de la dernière décennie, des approches ont été développées pour la prévention, la détection et l’atténuation des attaques sur les systèmes commandés [CST19,DPF+19].

Figure 1 - Nécessité de considérer l’interconnexion entre mondes cyber et physique [ZB15]

Un enjeu important est de trouver un compromis approprié entre le niveau de sécurité souhaité et la satisfaction d’un cahier des charges fonctionnel. Cela est notamment dû à la difficulté d’évaluer le risque, et particulièrement la probabilité d’occurrence, d’une attaque du fait de l’hétérogénéité des attaquants, aussi bien en termes d’objectifs que de ressources [TSSJ15].

**Problématique et Objectifs de la thèse**

Dans ce contexte, l’ambition de cette thèse est de s’attaquer à la problématique de l’analyse et la synthèse efficaces de détecteurs d’anomalies (attaques, défauts) sous contrainte de temps-critique. Le temps-critique est l’horizon temporel maximal pour lequel un système est considéré comme étant dans un état sûr après l’apparition d’une anomalie, c’est-à-dire que le système n’est pas dans un état critique et est encore capable de revenir à un mode normal (Fig. 2). Cette métrique de sécurité introduite récemment [PCZ21a] apparaît comme pertinente à chaque étape du processus de gestion de risque (analyse, prévention, détection, atténuation). La motivation sous-jacente est qu’une augmentation du

temps-critique laisse davantage de temps aux mécanismes de défense, y compris les opérateurs humains, pour détecter et atténuer les anomalies. La performance des détecteurs d’anomalies est traditionnellement évaluée selon trois critères : le taux de détection, le taux de fausse alarme et le retard à la détection. Lors de la synthèse d’un détecteur, seuls les deux premiers critères sont considérés. L’estimation

du retard à la détection, et la vérification que le système ne rentre pas dans un état critique avant la détection (c’est-à-dire que le retard à la détection soit inférieur au temps-critique), est alors estimé dans une phase post-synthèse à l’aide de simulations.

Figure 2 - Le temps-critique est l’horizon temporel maximal pour lequel un système est considéré comme étant dans un état