Informatique et sécurité

Si vous suivez l'actualité informatique, vous n'avez pas manqué l'incident qui a frappé American Airlines qui a dû maintenir au sol plus d'une vingtaine de vols le temps de régler un problème d'iPads (les iPads servent aux pilotes à afficher toutes les consignes de vol).

Avez vous connaissance d'autres secteurs pour lesquels une sécurité élevée est une exigence élevée qui peut être mise à mal par l'usage d'un hardware pas assez sécurisé ?

Par exemple, la conduite d'une centrale nucléaire est elle faite avec des iPads ou des Androids ?

Pour les trains en Suisse, le conducteur a toute sa réglementation sur iPad.
Le cas d'une "perte" d'iPad (reboot, crash, etc.) est prévu, il peut continuer sa route en se servant de son téléphone mobile professionnel comme appareil de remplacement jusqu'à ce qu'il puisse échanger son iPad défectueux dans une gare appropriée.

Pas besoin d'avoir peur en train !

lgda a écrit:

Si vous suivez l'actualité informatique, vous n'avez pas manqué l'incident qui a frappé American Airlines qui a dû maintenir au sol plus d'une vingtaine de vols le temps de régler un problème d'iPads (les iPads servent aux pilotes à afficher toutes les consignes de vol).

Avez vous connaissance d'autres secteurs pour lesquels une sécurité élevée est une exigence élevée qui peut être mise à mal par l'usage d'un hardware pas assez sécurisé ?

Par exemple, la conduite d'une centrale nucléaire est elle faite avec des iPads ou des Androids ?

L'une des difficultés, pas encore divulguée, de l'EPR serait la sécurisation de son système informatique. Si j'ai bien compris les rares infos qui circulent, il y aurait 2 problèmes. Le premier est un problème technique, l’interfaçage entre certains systèmes présenterait des défaillances. Le second est plus administratif : Areva peine à démontrer à l'ASN que le système est entièrement sécurisé. L'ASN veut être sûre que lorsqu’on tourne le bouton qui démarre telle pompe, ce soit bien telle pompe qui démarre si les conditions de son démarrage sont réunies. Pas un autre matériel, pas de démarrage alors que les conditions ne seraient pas requises, pas de croisement d'ordres provenant d'autres systèmes, pas de risque que quelqu'un pénètre dans le système et en prenne la main ... Pour l'instant, Areva n'a pas eu l'autorisation d'installer les éléments du système informatique. Et il semblerait que les finlandais et les chinois attendent l'avis de l'ASN pour autoriser l'installation du système informatique des EPR chinois et finlandais... Tout cela ce sont des bruits de couloirs qui circulent sous le manteau à EDF. Officiellement, on n'a pas d'infos là-dessus.

Pour les centrales les plus anciennes. En ce qui concerne les paliers 900 MW, l'informatisation était peu poussée. Donc, on a surtout des systèmes d'aides au processus. On saurait faire autrement, même si on perdrait du temps, et peut-être des infos. Au pire, on pourrait stopper tout ce qui a un lien avec l'informatique et continuer de produire. ON devrait ressortir les calculettes et, pour certains, apprendre à réfléchir concrètement ...

Pour les paliers 1300 et 1400 MW, la situation est un peu plus compliquée. On se confronte aux mauvais cotés de l'informatique. Leur contrôle-commande est informatisé. Toutes les données rentrent dans des séries de cartes avec des microprocesseurs où elles sont traitées et puis les ordres vers les organes de manœuvres en sortent. Sauf que les processeurs sont obsolètes ... Quand Intel avait annoncé l'arrêt de la production de cette série de Pentium, EDF avait racheté tout le stock disponible à l'époque. Mais voilà, il doit rester quelques processeurs sur les étagères et la R&D planche depuis des années sur des solutions de rechange. Là, le défi est la requalification. Il y a actuellement en place des systèmes qualifiés qui ont démontré sur 20 à 30 ans qu'ils faisaient correctement le boulot. Donc, EDF doit mettre en place des systèmes répondant au moins aux mêmes spécifications (si on pouvait augmenter le niveau de sûreté en même temps, ce serait du bonus). Mais, avant de mettre hors service l'ancien système, il faut démontrer que le nouveau est pleinement capable de remplir son rôle. Or, il y a des systèmes qu'il ne faut pas arrêter ... jamais. Ou seulement le temps que les systèmes de secours prennent le relai (donc une ou deux minutes au maximum). Donc, les stratèges s'arrachent les cheveux. Ce serait comme de vouloir changer les freins d'une locomotive en marche pendant une descente ...

Pour les paliers 900 MW, j'oubliais, certains systèmes ont été changés par des systèmes numériques. Avec de très bonnes surprises, par exemple, sur 10 ans un système qui n'a pas eu de défaillances majeures. Sauf que l'on y a noté des signes d'obsolescences ... Mais, il y a des systèmes qui ont des bugs. Des bugs légers, mais dont on ne trouve pas la cause et donc, ceux qui s'occupent de la sûreté demandent à la maintenance de garantir que le système sera opérationnel. Coté sûreté, ce n'est pas excessivement grave. Il s'agit du système de réglage des grappes de commande et de contrôle. Parfois, les grappes bougent d'un pas sans raison et parfois elles restent bloquées : le système se met en position de sécurité car il a détecté qu'il y a eu un ordre non exécuté. C'est gênant, mais coté sûreté, s'il y avait un problème, nous avons les ordres automatiques et manuels de chute des grappes. Donc, on aurait un Arrêt Automatique Réacteur, on se retrouverait en position de sécurité et EDF perdrait 1,5 millions d'euros la journée d'immobilisation en attendant de résoudre la panne. Pour bien me faire comprendre, ce serait comme si le système de freinage et d'accélération ne comprendrait pas mes tous petits ajustements, donc que ma voiture ne pourrait pas ralentir ou accélérer de 1 à 2 km/h. Mais, les systèmes de freinages "d'urgence" restent toujours opérationnel. Je peux donc m'arrêter sur la bas-coté en toute sécurité, mais lors de ces dysfonctionnements je ne peux pas ajuster finement ma vitesse. Le système a été expertisé plusieurs fois par le constructeur (Rolls-Royce) qui ne trouve rien d'anormal ou pouvant expliquer ces blocages. Et l'ASN s'impatiente ... Les systèmes à relais fonctionnent mieux ... tant qu'on ne les arrose pas.

Dans un labo bio sécurisé (P2-P3), on n'est pas autorisé à utiliser ces gadgets!
Il convient de stocker les infos dans ses neurones avant d'ouvrir la porte (ceux qui ne l'ont pas fait n'ont pas l'accès).
(on doit éviter de faire sortir de la pièce un objet manipulé à l'intérieur)

Dans les grandes firmes où les robots prennent le dessus, je suppose qu'un accident informatique serait également restreint à l'enceinte sécurisée.
Donc non pas sans danger, mais danger restreint.

nardu: c'est marrant hein mais tout ce que tu racontes ici confirme ce que je racontais quand je disais mes craintes quant au nucléaire: on ne maitrise pas tout et on joue quand même sacrément avec le feu.

Steph a écrit:

nardu: c'est marrant hein mais tout ce que tu racontes ici confirme ce que je racontais quand je disais mes craintes quant au nucléaire: on ne maitrise pas tout et on joue quand même sacrément avec le feu.

Non car les systèmes à relais sont fail-safe, c'est-à-dire conçus pour toujours retomber dans un état de plus grande sécurité.

Par exemple, si un feu pour un train est vert, la moindre interruption de courant le fait retomber à rouge.
Idem si une lampe verte grille, le système détecte l'absence de consommation de la lampe concernée (une lampe grillée ne consomme plus rien...) et fait retomber tout le système au rouge avec en prime une annonce de panne et l'indication de la lampe à aller remplacer.

C'est pourquoi je suis un fan indéfectible de ces "vieilles" technologies mécaniques affreusement chères mais si faciles à comprendre et d'une si grande fiabilité.

Oui mais là où arrêter un train ne porte à conséquence que dans une mesure limitée, arrêter un réacteur nucléaire est une décision d'une bien plus grande importance notamment économique et Dieu sait si les données économiques jouent un rôle importante dans la societé actuelle.
De toute façon ton système fail-safe est valable dans les systèmes mécaniques mais quand l'informatique défaille?!
Qui peut encore savoir à quel point le système est fiable? Probablement plus personne, les programmateurs en dernier.

Steph a écrit:

nardu: c'est marrant hein mais tout ce que tu racontes ici confirme ce que je racontais quand je disais mes craintes quant au nucléaire: on ne maitrise pas tout et on joue quand même sacrément avec le feu.

En fait, on maintient toujours des automatismes sécurisés au niveau de ce qui concerne la mise en sécurité de l'installation. Pour l'industriel ce n'est pas bien. Pourquoi ? Parce qu'il doit accepter qu'un petit dysfonctionnement peut lui coûter cher. Une régulation des grappes qui ne tire pas un pas, c'est rien, ce sera compensé par une augmentation de température de quelques centièmes de degrés. Et les systèmes de redondances voient que l'ordre n'est pas passé et tout se bloque. Il faut une intervention humaine pour débloquer le processus. Donc, EDF perd de l'argent parce qu'il perd en flexibilité.

Si, on imaginait que les blocages soient inopérants, on irait aux limites et là, c'est l'AAR, dit autrement : un arrêt d'urgence qui met tout en état de sécurité. Or, l'AAR, c'est un système qui fonctionne à manque tension. Et c'est un système très simple qui fonctionne avec des relais. Au pire, il y a 2 ou 3 autres façons de le faire fonctionner. L'une d'elle est que je descende là où il y a l'alimentation des mécanismes de grappes et que je coupe manuellement le jus. C'est celle en dernier recours, car avant il y a des commandes manuelles qui coupent les chaines logiques des relais mécaniques. Il faut donc penser toute une série de dysfonctionnement pour que le système ne fonctionne pas.

Pour EDF ce ne serait pas une bonne nouvelle : il est interdit de diverger tant que l'on ne connait pas la cause première de l'incident. Et c'est une règle qui a été établie par EDF et validée par l'ASN. Donc, dans le cas d'une panne dont on ne trouve pas la cause, cela peut être plusieurs jours d'arrêts et d'essais divers pour trouver ce qui n'a pas fonctionné. Donc, 1,5 M€ par jour d'arrêt de perte de production.

On ne badine pas avec la sécurité, c'est avec la disponibilité qu'on prend des libertés et cela pèse sur les résultats d'EDF. Nos règles plus restrictives nous pénalisent d'environ 3% sur le coefficient de disponibilité par rapport à nos concurrents. Il existe un indicateur que l'on nomme le Ki, bien que l'on utilise le plus souvent le Kif. Le Ki, c'est le coefficient d'indisponibilité. Il se calcule facilement, c'est le rapport entre ce que nous devrions produire durant une campagne par rapport à ce qui est effectivement produit. Or, le Ki tient compte aussi des indisponibilités dues aux essais de bon fonctionnement et aux demandes du réseau. D'où le Kif : coefficient d'indisponibilité fortuite. Si nous sommes obligés de baisser la puissance parce qu'un matériel n'est pas pleinement disponible, cela impacte le kif. Si on a un aar parce qu'un système a eu un dysfonctionnement => notre kif augmente.

Et on compare le kif entre les différents producteurs mondiaux. EDF a un kif un peu plus élevé que celui des meilleurs producteurs. On estime qu'environ 3% de kif sont la conséquences de nos règles de sûreté plus contraignantes. Il y a eu aussi un manque d'investissement sur certains matériels du à une politique des prix bas voulue par notre actionnaire principal (qui réclamait qu'on lui paye de confortables dividendes dans le même temps). Ce manque d'investissements s'est traduit par des systèmes plus souvent en panne, du coup moins de production et environ 5% de kif en plus. Du coup, on a réussi à convaincre notre actionnaire principal de nous donner un peu de marge sur les prix, ce qui a permit de lancer un programme ambitieux de remise à niveau : le grand carénage. En fait, nos chefs ont réussi à convaincre l’État qu'investir 50 milliards d'euros allait permettre d'embaucher environ 30 000 sous-traitants, ce qui est toujours bon à prendre quand on a un chômage qui atteint des sommets.

Et si le système informatique te dit que tout va bien (alors que ce n'est pas le cas), pour quelle raison irais-tu couper manuellement la mise en tension?

J'ai eu une blague de ce type sur mon microscope électronique: une valve s'est bloquée et l'écran aussi, donc l'écran ne se mettait plus à jour et me montrait toujours une pression normale.
Heureusement la fuite s'entendait à l'oreille et donc après une petite rechercher j'ai compris que l'écran était bloqué sur une valeur.
Bon je sais on ne peut pas comparer, je n'ai pas les mêmes règles de sécurité que vous (heureusement pour moi) mais quand même.

Steph a écrit:

Et si le système informatique te dit que tout va bien (alors que ce n'est pas le cas), pour quelle raison irais-tu couper manuellement la mise en tension?

Parce que nous avons des systèmes redondants de contrôle. Si je prend mon exemple de grappes de contrôles. Les grappes servent à ajuster l'équilibre entre la puissance tirée par la turbine et la puissance délivrée par le réacteur. Or, l'image de cet équilibre, c'est la température moyenne du fluide caloporteur. Nous avons donc des chaines de mesures qui mesurent cette température, puis cela rentre dans une régulation et on va commander la montée des grappes ou la descente d'un pas jusqu'à ce que l'écart mesure consigne s'annule. Dans la régulation des grappes, il y a des routines qui contrôlent si les ordres demandés sont effectivement bien exécutés. Ces ont ceux-là qui nous posent soucis en ce moment. Il y a ensuite des indicateurs et des seuils d'alarmes sur les mesures. La température mesurée doit être de 302,1° à pleine puissance, plus ou moins 0,8°C. Il y a donc une alarme à 303,1°C. Alarme sur les capteurs de régulations. Mais, nous avons aussi des capteurs de température dit de sûreté, ils sont situés dans des fourreaux différents, ils prennent la température à des endroits symétriques par rapport aux capteurs "mesure". Et eux-aussi émettront une alarme. Il y a d'ailleurs toujours un léger décalage entre les mesures des divers capteurs. Théoriquement, cette première alarme signale un mauvais fonctionnement de la régulation. Il y aura donc un blocage des ordres automatiques et il est demandé de reprendre la régulation en manu (donc de rentrer manuellement les grappes, ce qui est impossible puisque nous partons de l'hypothèse que le système de commande des grappes est inopérant). Si l'écart continue de croitre, il y aura une seconde alarme, celle-ci impose de prendre des documents pour rechercher la cause du défaut et y remédier dans les plus brefs délais. Si l'écart continue de croitre, l'ordre d'AAR est initié par les capteurs de température de sûreté. L'alimentation des grappes est coupée, et elles chutent dans le cœur. Il y a en fait 2 ordres redondants qui vont partir à partir du système de sûreté pour ouvrir 2 disjoncteurs en série. Si les DJs d'AAR sont bloqués, l'opérateur à un bouton pour donner un ordre manuel d'arrêt réacteur. Si cela n'a pas d'effet, c'est là où je dévale les escaliers pour aller couper l'alimentation. Je te promet, je ferais attention à ne pas me casser la jambe dans l'escalier.

En fait, par rapport à ton exemple, nous avons toujours des systèmes redondants séparés. Ton microscope électronique, chez nous, aurait eu un deuxième capteur. La commande de la valve et de l'écran aurait été différente et il y aurait eu des routines pour signaler que le système ne fonctionnait pas correctement. En fait, c'est plutôt l'inverse, des routines qui indiquent que tout fonctionne bien régulièrement et si la routine ne s'exécute pas, on a des alarmes. Pour ton microscope, c'est toi qui a assuré la redondance. Chez nous, cela serait déjà un incident de niveau 1 (voire 2) sur l'échelle INES.

En fait, si on appliquait nos règles à une partie de l'industrie, le nombre d'incidents diminuerait, mais la production baisserait drastiquement dans certains secteurs.

Il semblerait que l'accident de l'A400M ai quelque chose à voir avec la gestion informatique des moteurs. En fait, c'est assez flou parce que la presse semble s'y perdre entre "inspection des moteurs" et "inspection de l'électronique des moteurs". D'après un journal allemand, le problème proviendrait d'un logiciel mal-installé. Ce logiciel sert d'interface d'optimisation des moteurs en fonction de la demande du pilote.

Les moteurs ont des plages de fonctionnement optimales. Or, par exemple, si on doit monter en puissance, il est possible que le moteur monte moins bien à partie de 25%, qu'à partir de 50%. Donc, plutôt que d'avoir 4 moteur à 25%, il vaut mieux avoir 2 moteurs 050% et les 2 autres au ralenti. Avant l'électronique et l'informatique, c'était le pilote qui ajustait la puissance respectives des moteurs en fonction des conditions d'utilisation. Maintenant, on passe par une interface, le pilote se contentant d'accélérer ou de ralentir.

En fait, on se rend compte que dans certains cas, le pilote ou l'opérateur perdent leur capacité de reprise en secours. Si on maintient des hommes dans des cockpits ou au pilotage d'installations automatisées, c'est pour qu'ils puissent pallier rapidement à la défaillance des systèmes. Or, s'il l'humain n'arrive pas à se faire une idée de ce qui se passe dans la "boite noire" à ce moment-là, il est possible que ce soit sa reprise en main qui entraine la catastrophe.

http://www.lemonde.fr/entreprises/article/2015/05/19/airbus-alerte-ses-clients-sur-un-eventuel-probleme-d-electronique-des-moteurs-de-l-a400m_4636276_1656994.html

http://www.leparisien.fr/flash-actualite-economie/a400m-airbus-alerte-ses-clients-sur-un-eventuel-probleme-d-electronique-19-05-2015-4784037.php#xtref=http%3A%2F%2Fwww.google.fr%2Furl%3Fsa%3Dt%24rct%3Dj%24q%3D%24esrc%3Ds%24source%3Dweb%24cd%3D1%24cad%3Drja%24uact%3D8%24ved%3D0CCMQqQIwAA%24url%3Dhttp%253A%252F%252Fwww.leparisien.fr%252Fflash-actualite-economie%252Fa400m-airbus-alerte-ses-clients-sur-un-eventuel-probleme-d-electronique-19-05-2015-4784037.php%24ei%3DI05cVZKjMcL9UNOlgeAK%24usg%3DAFQjCNHMtx6sNaTuk5-NoDdDXbvKh4lKWQ%24sig2%3DWiLnCj5ytmXECNAKotF20g%24bvm%3Dbv.93756505%2Cd.d24

narduccio a écrit:

Les moteurs ont des plages de fonctionnement optimales. Or, par exemple, si on doit monter en puissance, il est possible que le moteur monte moins bien à partie de 25%, qu'à partir de 50%. Donc, plutôt que d'avoir 4 moteur à 25%, il vaut mieux avoir 2 moteurs 050% et les 2 autres au ralenti. Avant l'électronique et l'informatique, c'était le pilote qui ajustait la puissance respectives des moteurs en fonction des conditions d'utilisation. Maintenant, on passe par une interface, le pilote se contentant d'accélérer ou de ralentir.

Il semble qu'Airbus soit abonné à ce genre de dérive ergonomico-technique.

Le bruit avait couru que l'origine du crash d'Habsheim en 1988 était lui aussi provoqué par une gestion de la poussée trop bien informatisée. D'après les informations de l'époque, le pilote aurait déclaré avoir remis les gaz à temps mais que l'avion a marqué un long temps de réaction avant d'augmenter la poussée. Une des explications avancées était que la gestion informatisée de la poussée avait maintenu le régime au ralenti avant de redémarrer les réacteurs pour suivre une courbe optimisée de consommation de carburant.

Ces déclarations n'ont jamais reçu de confirmation officielle.

Habsheim est à quelques kilomètres de Mulhouse qui est ma ville natale et j'ai suivi l'affaire dans la presse à l'époque. De l'avis de nombreux experts, le temps de réaction des réacteurs était normal, pour un système informatique. Et le pilote, qui connaissait très bien l'appareil aurait du le savoir. En fait, pour plusieurs avocats cela ressemblait beaucoup à une manœuvre dilatoire pour minimiser sa responsabilité.