01 Le problème
Un modèle entraîné et un système certifiable parlent rarement la même langue
Les modèles d’IA sont conçus sur des machines à la puissance et à la mémoire presque illimitées. Les systèmes qui en profiteraient, dans les airs, en orbite, sur le champ de bataille, sont à l’opposé : petits, contraints en énergie, et souvent soumis à la réglementation de sécurité la plus stricte qui soit. Entre un modèle qui fonctionne en laboratoire et un modèle sur lequel un avion ou un satellite a réellement le droit de s’appuyer, la route est longue.
Une partie de cette route est une étape de traduction : décider exactement comment le modèle est agencé sur le matériel. Sur un FPGA, un circuit que l’on reconfigure pour l’adapter à la tâche plutôt qu’un processeur figé, cela revient à choisir parmi un nombre immense d’implémentations possibles. Mais dans un domaine réglementé, le véritable obstacle n’est pas seulement la performance. C’est de savoir si le résultat peut être approuvé, et pour un modèle appris qui tourne sur FPGA, cette question n’a pas encore de réponse établie.
02 Pourquoi cela compte
Les systèmes qui ont le plus besoin d’IA embarquée sont ceux qui peuvent le moins l’adopter
L’avionique, le spatial et la défense reposent sur du matériel auquel la confiance n’est accordée qu’une fois sa sûreté démontrée, encadré par des normes comme la DO-254 en aéronautique et l’ECSS dans le spatial. Ces normes demandent, entre autres, un degré de traçabilité et de justification que l’inférence IA moderne, et les architectures FPGA qui la portent, peuvent difficilement démontrer. La pression monte plutôt qu’elle ne retombe, puisque les fonctions que les programmes veulent aujourd’hui embarquer, le traitement du signal, la perception et la classification sur données de capteurs, dépendent de plus en plus de modèles appris.
Contraintes physiques
À bord, l’énergie disponible est limitée, la dissipation thermique contrainte, la plage de température large, et les particules ionisantes peuvent modifier l’état de la logique. Chacune de ces contraintes réduit ce dont dispose l’implémentation du modèle : surface logique, marges de temps, énergie.
Autonomie
Un système qui raisonne à bord ne dépend pas d’une liaison qui peut être lente, absente ou contestée, et dans les cas qui comptent ici, il n’y a souvent aucune liaison de repli.
Souveraineté
L’Europe fabrique comparativement peu de processeurs de qualité militaire haut de gamme. Tirer davantage du silicium que l’on peut réellement se procurer transforme une contrainte d’approvisionnement en avantage de conception.
03 Pourquoi cela est difficile
Pourquoi un modèle déjà entraîné est-il difficile à implémenter efficacement sur FPGA ?
Un modèle déjà entraîné ne se pose pas tel quel sur un FPGA : il faut en choisir une implémentation, et les deux routes praticables ne coûtent pas la même chose. Confier ce choix à un outil d’abstraction donne un résultat, mais la transformation appartient alors à l’outil, et la preuve reste à reconstruire. S’en remettre à l’expertise humaine garde la justification intacte, mais n’explore qu’une poignée de points, sans savoir ce que valent ceux qu’elle n’a pas vus. C’est ce choix, et non l’apprentissage lui-même, qui décide aujourd’hui de la certifiabilité.
Ce dont l’implémentation hérite
Sur un processeur, une multiplication et une division coûtent chacune une instruction. En logique configurée, chacune devient une quantité de silicium et une profondeur de chemin propres, si bien que l’implémentation paie des opérateurs dont l’architecture a pu user librement sur une machine où ils ne se voyaient pas.
Un espace combinatoire
Format numérique, parallélisme, flux de données et allocation des ressources engendrent plus de combinaisons que quiconque ne peut parcourir à la main. L’espace étant discret, rien n’assure qu’un bon design en jouxte un autre, et chaque point évalué demande une synthèse.
La mesure vient après la synthèse
Le délai d’un chemin dépendant de l’endroit où la logique atterrit et de la façon dont elle est reliée, les prédictions de vitesse et d’occupation faites avant placement et routage s’écartent souvent de la mesure. Un design prometteur peut ainsi échouer au timing après des heures de compilation.
Des ressources qui ne se substituent pas
Unités arithmétiques, mémoire interne, logique et routage forment des budgets distincts, et dépenser l’un n’en libère pas un autre : le parallélisme qui achète de la latence réclame des ports mémoire pour l’alimenter. Relâcher la contrainte qui mord la déplace le plus souvent ailleurs, sans qu’aucune grandeur unique permette de dire qu’un design est plus petit qu’un autre.
Le comportement avant les exigences
L’ED-324 / ARP6983 couvre la façon dont un modèle est développé et décrit, puis renvoie la réalisation aux normes existantes, les éléments logiciels à la DO-178C et l’électronique embarquée à la DO-254. Cette dernière suppose des exigences établies avant la conception, quand le comportement visé tient ici dans un artefact déjà entraîné, à partir duquel les exigences de vérification doivent être écrites.
Une traçabilité de bout en bout
La certification repose sur des exigences, des données de conception et des preuves de vérification qui restent liées entre elles. Une recherche automatisée incapable de dire pourquoi elle a retourné une implémentation donnée rompt cette chaîne.
04 Notre approche
D’où viennent les preuves
Nous traitons le passage du modèle entraîné au matériel comme une étape qui doit produire ses propres preuves. Trois choix portent ces travaux, et chacun décide qui produit ces preuves et qui les contrôle.
À qui appartient la transformation
Les données de conception que l’autorité examine sont la description matérielle elle-même, écrite plutôt que générée, sans IP propriétaire instanciée dans le composant. La synthèse haut niveau peut être menée jusqu’à la certification, mais la transformation appartient alors à l’outil, ce qui déplace la charge vers sa qualification ou vers la revérification de ce qu’il produit.
Contrôlé face à la référence, au bit près
La quantification produit un modèle de référence à partir du modèle entraîné, et c’est là, une fois par format considéré, que le coût en exactitude se paie. En dessous, l’exigence n’est plus l’approximation mais l’égalité : le matériel doit reproduire exactement cette référence, et la simulation contrôle cette correspondance sur le corpus de vérification.
Le front de compromis
L’exactitude, la surface logique, la mémoire, le temps et la consommation entrent en conflit, et la liste n’est pas close. Aucun design ne l’emporte sur tous les critères, si bien que le résultat est un ensemble non dominé : les implémentations qu’on ne peut améliorer sur un objectif sans en céder sur un autre. Chacune est traçable individuellement, et le choix entre elles reste une décision de programme, tranchée par des ingénieurs au regard de priorités explicites.