5.1.2026, Florian:

Je répète encore une fois (ce n'est pas comme si je le répétais encore et encore depuis bientôt 12 ans ;)). Cesser d'utiliser toutes formes de monnaie ou d'argent, c'est cesser instantanément de nourrir et entretenir toutes formes d'impérialisme, de jeux de pouvoir et de domination 🙂 ❤
Allez je vous aime ❤
Paix et Amour ❤
#postcapitalism
#postcapitalisme
#PostCroissance
#societedufutur

Moi:
ah ben non... moi j'ai expérimenter plein de forme de monnaie !!! 😛
"toutes formes" C'est pas un peu excessif ??
.. mais c'est vrai que dans le jeu de la monnaie, c'est le jeu du "don dans une communauté de confiance" qui est le plus efficace et le plus joyeux des systèmes économiques !

Florian:

dès que tu utilises un objet quel qu'il soit qui peut être accaparé par un autre être humain (dans un jeu compétitif) c'est problématique pour moi... Si la notion de non-propriété est intégré comme règle de base, là je suis d'accord 😉

Moi: "qui 'peut' être accaparé " ... mais TOUT "peut" être accaparé !
C'est fou cette peur !

Ce n'est pas par ce que c'est une possibilité qq part que ça va être fait !
Là c'est radical ta façon de penser ! Tu t'interdis tout un pan de réalité, juste par ce que tu as peur d'une potentielle dérive !

Il y a là quelque chose à travailler, à méditer... il y a quelque chose à pacifier en toi ! (vu que tu prône "Paix et amour")
Imagine qu'on peut utiliser une régulation, un taux de retour à l'équilibre comme dans le 4ème jeu du jeu de la monnaie.
Dans les lois de la physique, il y a l'entropie, qui tend vers l'équilibre, limite les excès.

Dans la philosophie des grecs anciens, c'est la notion d'hybris qui est importante: "use de tout, n'abuse de rien". Ce n'est pas un "bête" interdit.

Toi qui es un planteur d'arbres, tu peux faire l'exercice de méditer à te mettre à la place d'un arbre.

L'arbre est un grand capitaliste. Sa ressource préférée c'est le CO2. Il fait tout pour capter le CO2.
A partir de l'air ambiant il "cristalise" le carbone du CO2 pour construire une structure qui le fait grandir, occuper de l'espace et être toujours plus efficace. Il s'accapare de l'espace.

Un arbre organise et optimise la captation d'un maximum d'énergie. L'énergie que je dis être "la monnaie de l'univers".

L'arbre capitalise de l'énergie. Il conçoit des capteurs d'énergie solaire avec les feuilles.
Puis dans nos contrées glacées, quand il perd ses feuilles l'hiver, il va stocker cette énergie sous forme de sucre concentré dans les racines. Il y a des gigantesques flux de sève pour gérer ces stocks.

L'arbre va aussi capitaliser l'eau. Au passage il la filtre atome par atome. Il recrée les molécules d'eau.

Mais l'arbre seul sait qu'il y a une limite à son expansion. Il ne peut pas grandir à l'infini. (pas sous forme d'un individu seul.. )

Là il va se reproduire. Il crée des fruits. Sans avoir capitalisé un maximum d'énergie, un maximum de carbone et de l'eau. Il ne peut pas fournir de fruit....

Quand on est un bon capitaliste, un bon accapareur de ressources, on peut être un bon redistributeur de ressources.
Et on peut être un bon créateur d'ecosystème favorisant le vivant. (une définition de la permaculture non ?)

Car oui, l'arbre ne fait pas qu'un seul fruit, mais de nombreux... il devient forêt !
Il crée un environnement qui favorise la VIE.
L'abondance de fruits qu'il offre va nourrir de nombreux autres organismes.

La symbiose avec les champignons va transporter des flux d'eau dans toute la forêt. Tout comme l'évapotranspiration des feuilles crée ce qu'on appelle des rivières volantes. C'est ainsi que l'eau de mer est acheminée à des milliers de km au coeur des grandes forêts continentales. (donc ne surtout pas déboiser les côtes !)

L'arbre est un capitaliste, un accapareur de ressources. Mais c'est au service de la création de ressources qui ont encore plus de valeur, qu'il partage avec plaisir. L'arbre est un créateur de valeur, un créateur de richesses, un créateur de vie.

Il me semble que l'arbre est en compétition pour capter la lumière du soleil, pour capter le CO2...
Mais ensuite il est aussi en coopération pour réguler, pour transporter, pour partager, pour offrir nombre de ressources indispensables à la vie.

La forêt grandit en favorisant la VIE. De fait, elle s'accapare le territoire...
La forêt augmente le nombre de ressources disponibles à tout un ecosystème qui n'existerai pas sans un plan d'accaparement des ressources.

Ainsi le "post-capitalisme" repose sur du capitalisme. L'univers se déploie depuis toujours sous forme d'holarchie. Transcender et inclure. Refuser d'inclure le capitalisme, c'est refuser d'être capable de le transcender.

Un fois que tu seras en paix avec le capitalisme, tu pourras vraiment le transcender.
A méditer.

Je ne suis pas sûr que ce soit moi qui ait peur Mathieu, mais bon 😉 Tout peut être accaparé car nous l'avons autorisé,validé en tant que société humaine (L' occident de ces quatre derniers siècles y a joué un rôle prépondérant) et ensuite diffusé comme seule représentation valable du progrès (Darwin mal interprété, John Locke, les lumières, l'universalisme etc...) Nous pourrions inverser la logique, c'est à dire partir du principe (une loi ou une constitution) qui abolit toute forme de propriété (l'être humain n'est pas propriétaire, maître ou dominateur de la nature ou de quoi que ce soit d'autre). À partir de là, nous pourrions imaginer une nouvelle société non-compétitive, La Coopération et le partage comme principe fondamental... Et t'inquiètes tout comme dans notre société profondément structurée sur une vision hobbesienne/compétitive, il y a de la coopération.Dans cette nouvelle société ayant comme principe fondateur la paix et la coopération, il y aura de la compétition (t'inquiètes tu pourras encore t'amuser à être en compétition avec qui tu veux, elle sera juste illégale ;)). C'est juste actualiser et aligner les structures de notre société sur les nouvelles découvertes scientifiques qui démontrent que la Coopération prime sur la compétition dans la Nature 😉 La Paix et l'Amour prime sur la haine et la guerre.... ❤ Notre société repose actuellement sur une vision principalement compétitive (héritée des représentations "lois du plus fort" "lois de la jungle" des archéologues, anthropologues, ethnologues des siècles passés, c'est vieillot tout ça ;))

Et dans tout ce que tu décris concernant les arbres et la forêt, il n'y a pas de capitalisme... Il n'y a qu'Intelligence au service de la Vie ❤

Ne pas être propriétaire ne veut pas dire "ne pas utiliser" ou "ne pas être en symbiose avec", il s'agit justement de remettre l'être humain "en symbiose avec", "en relation avec" ....

Dans tes paroles "potentielle dérive", pour toi aujourd'hui, est-ce à dire qu'il n'y a pas de problèmes? de dérives? d'hubris généralisé? 🙂

autre élément qui va nourrir notre méditation : jusqu'à 4 millions de colis par JOUR en Suisse (période de 🎄), un jour normal dans l'année entre 700'000 et 900'000 colis et c'est grâce à toutes ces personnes qui servent la "Vie" en se l'accaparant (parce que c'est autorisé et valorisé dans notre société) que nous pouvons nourrir majestueusement les décharges à ciel ouvert des quatre coins du monde.... La situation est trop grave pour ne pas être radical ❤

moi:
Aah voilà une jolie suite de commentaires. Je ne sais pas si c'est la meilleure forme de communication. Mais je peux déjà partager mon ressenti face à ces commentaires:
là tu me fait un état du monde. Mais moi c'est pas ce qui m'intéresse. C'était pas le but de mon commentaire. Ce qui m'intéresse c'est l'état de Florian. Est-ce que Florian est en paix avec l'état du monde ou pas ?? (on dirait pas...)

Que pense vraiment Florian quand je lis "dès que tu utilises un objet quel qu'il soit qui peut être accaparé par un autre être humain (dans un jeu compétitif) c'est problématique pour moi... "

Il y a plusieurs interprétations possibles à ton texte, donc je marche sur des oeufs. Mais ce que j'ai ressentis, c'est le "c'est problématique pour moi". Est-ce que tu parles vraiment "pour moi" ou est ce une forme rhétorique pour dire en substance "pour moi, donc de mon point de vue, c'est problématique pour le monde".

C'est des perspectives différentes. En fait peu importe ce que ça voulait vraiment dire, ici ça a provoqué en moi un intérêt de savoir "quelle est la tache aveugle de Florian ?" quelles sont les croyances (limitantes) de Florian ?

Ici j'ai l'impression que prononcer le terme de "capitalisme" c'est un tabou...

"dans tout ce que tu décris concernant les arbres et la forêt, il n'y a pas de capitalisme... Il n'y a qu'Intelligence au service de la Vie"

J'ai l'impression que la compétition est très très chargée de connotation très lourde...

"nous pourrions imaginer une nouvelle société non-compétitive"

"t'inquiètes tu pourras encore t'amuser à être en compétition avec qui tu veux, elle sera juste illégale "

Quand j'observe la nature, je ne vois pas de parti pris, de bien ou de mal. Je vois surtout des stratégies mixtes.

En effet.. Hobbes, la loi de la jungle, la compétition.. le darwinisme social... comme vision du monde unique, pour moi c'est dépassé.
Mais basculer d'un extrême à l'autre aussi... c'est dépassé !
.... le bouquin de Pablo Servigne s'appelle "l'entraide l'autre loi de la jungle"
→"L'autre"... pas "On avait tout faux c'est la coopération qui domine".
Il y a les deux. Compétition ET coopération.
Je milite pour le "ET" et pas l'opposition des "OU" (exclusif)

Pour toi qu prône en permanence "Paix et amour"... J'espère que tu es aussi en paix et amour avec la compétition et avec le capitalisme ?

C'est ici que j'avais envie de questionner... d'inviter à la méditation !
T'as l'air en pleine compétition entre des mots et des concepts....
Ils sont pas tous égaux ?
Si t'aime pas la compétition c'est peut être tu perds trop souvent ? Pourtant il me semble que t'es dans le camps des gagnants non ?

"les nouvelles découvertes scientifiques qui démontrent que la Coopération prime sur la compétition dans la Nature"
→ Donc tu me dis que la coopération a gagné la compétition de la meilleure stratégie ?

C'est le perdant qui veut interdire la compétition pour éviter de perdre, pas le gagnant !
Ça m'étonne que tu veuilles la rendre illégale !

Construire un monde neuf avec des névroses ne me sembles pas très sain... J'aimerai voir des gens en paix pour construire un monde de paix.
Es-tu en paix ?

(je reviendrai plus tard sur les notions de "propriété" et du "droit".. lois constitution... y'a déjà beaucoup ici !)

on est parti pour des chapitres entiers de discussions (et des heures à faire du blabla) et effectivement pas sûr qu'on arrive à quelque chose de vraiment super clair avec les concepts et différents niveaux de compréhension qui se superposent... 😉 du coup je vais être le plus bref possible (pour aller faire une méditation en silence ensuite 🙂 ❤)moi au niveau individuel, j'ai pris du recul et je vis ma meilleure vie en accord avec mes valeurs qui s'alignent particulièrement bien avec les limites planétaires (1/1) et permettent à tous les autres êtres vivants de vivre et s'épanouir si ils le veulent.... Donc moi le petit égo Florian, il est super content et super gagnant et super en paix ❤ sauf qu'il est aussi très triste car il remarque que la marche du monde elle continue sur sa voie mortifère..... Et donc Florian qui est lucide et altruiste propose une abolition de toute forme de propriété, non pas comme solution parfaite pour que tout le monde y trouve son compte mais parce que c'est une solution (peut-être désespérée) qui réduirait drastiquement l'emprise de l'être humain sur son environnement et réduirait de même la part compétitive aujourd'hui dominante du fonctionnement de notre économie... Donc qui donnerait une chance de vivre et être heureux es à de nombreux autres êtres vivants (aujourd'hui mal barrés es) Le monopoly c'est fini, il n'y a plus d'enjeu (il n'y a plus rien à gagner au niveau individuel), du coup ça requestionne le sens de nos vies et de nos actions=> que faisons-nous à partir de là? Mon hypothèse privilégiée, le bien commun et le agir pour le BIEN (ça va te faire réagir ça 🙂 ohhhh mon dieu il parle du bien donc le mal aussi existe ;)) je t'embête un peu 😉 ... Et autre élément, tu t'offusques du mot "abolition" ou "interdiction" mais explique-moi un peu est-ce que tu es un réactionnaire de l'esclavagisme (est-ce que pour toi on devrait pouvoir être propriétaire comme à la grande époque d'autres êtres humains, des femmes par exemple, ces idées là on les retrouve de l'autre côté de l'atlantique 😉 ..) Bon le mieux il y a trop de choses à dire... On s'organise un dialogue toi et moi entre quatre yeux (on peut même enregistrer ou filmer), ça te dit? On se prend 3 heures de temps, ok pour toi?

Scenari est un ensemble de logiciels open source dédiés à la production collaborative, publication et diffusion de documents multi-support. Vous rédigez une seule fois votre contenu et vous pouvez les générer sous plusieurs formes : site web, PDF, OpenDocument, diaporama, paquet SCORM (Sharable Content Object Reference Model)… Vous ne vous concentrez que sur le contenu et l’outil se charge de créer un rendu professionnel accessible et responsive (qui s’adapte à la taille de l’écran).

À chaque métier/contexte son modèle Scenari :

• Opale pour la formation 
• Dokiel pour la documentation 
• Optim pour les présentations génériques 
• Topaze pour les études de cas 
• et bien d’autres…

L’association Scenari te souhaite une belle et heureuse année 2026, pleine de projets Scenari ☘️

🚀 Visio de découverte de Scenari

Tu as des questions sur Scenari avant de tester ?
Tu voudrais une petite démo ?
Tu commences à utiliser Scenari et tu as besoin d’un peu de soutien ?

Cette visio est faite pour toi : vendredi 19 décembre à 16h sur https://scenari.org/visio/miniwebinaire

Lien Agenda du Libre
Lien Mobilizon |

🖥️ Prochain mini-webinaire : « Découverte de Topaze » 27 janvier

Mardi 27 janvier de 16h30 à 17h30 heure de Paris, à l’adresse https://scenari.org/visio/miniwebinaire.

Ce mini-webinaire servira à présenter un modèle déjà très connu et ancien, mais que beaucoup ne connaissent que de nom : Topaze.

Topaze permet de concevoir des parcours multi-linéaires et de réutiliser des contenus Opale. Idéal pour concevoir des jeux sérieux, des études de cas… où le parcours s’adapte au rythme d’apprentissage de l’apprenant.

Pour que la session colle au mieux aux besoins de la communauté, tu peux participer à ce fil de discussion sur le forum.

Les enregistrements des mini-webinaires précédents sont sur la page dédiée de scenari.org et dans notre canal peertube.

Pour proposer des sujets, rends-toi sur ce fil de discussion.

💗 Parole de Scenariste

J'ai découvert le monde de Scenari en mai 2010 grâce à mon compère Guy Vedrenne. Il m’a dit : « on a un projet de formation à sortir pour septembre et on va le médiatiser avec Opale ». J’ai dit OK et le monde des poupées russes de l’ami Opale est devenu un terrain connu.

Avec le temps, j’ai voulu gouter à Topaze pour créer des parcours différentiés et pour ça, j’ai rencontré Katia Quelennec qui a formé un petit groupe à ce modèle bien sympathique.

J'ai aussi utilisé Webmedia pour voir ce que cela permettait avec des vidéos et je le trouve très opérationnel, Dokiel pour mettre en place des tutos et les mettre à disposition facilement, Optim pour créer des mini sites pour présenter des projets de formation en dehors des plateformes LMS.

Enfin, on entend souvent que le “rendu” n’est pas très beau par rapport à d’autres outils, alors un petit tour sur Styler a solutionné pas mal de critiques avec l’appui du forum Scenari et surtout avec les posts de réponse de Samuel Monsarrat.

Aujourd'hui, nous produisons nos formations principalement avec notre serveur Scenari et avec Myscenari.

Bref, Scenari c’est une belle chaine éditoriale contenant plein d’outils utiles, mais c’est surtout une belle communauté très active.

	Frédéric Waymel, Responsable du pôle technique du Centre Ministériel d’Appui à la formation à distance d’Aix-en-provence. Modèles utilisés : Modèles utilisés : Opale, Topaze, Dokiel, Optim, Webmedia

📣 La carte des scénaristes t’attend

La carte des scénaristes te sert à connaître les utilisateur⋅rice⋅s de scenari de ton entourage.

On t’invite à t’y inscrire ou à y vérifier que tes informations y sont à jour.

✨ Le savais-tu ?

Opale incorpore nativement, aux publications web et diaporama, des outils d’accessibilité numérique pour le public dys.
Il suffit d’activer l’option dans l’item de génération dans les blocs « paramétrage web » ou « paramétrage diaporama ».

📊 Le chiffre du mois

	C’est le nombre de jours de travail que Kelis a dédié aux développements du cœur Scenari en une seule année (2024).

Comme disait François Elie, fondateur de l’ADULLACT : « Un logiciel libre est gratuit, une fois qu’il est payé ».
Si les logiciels Scenari gratuits et de qualité dont nous profitons tou⋅te⋅s existent, c’est parce des organisations décident de financer les développements et de les reverser dans le libre pour la communauté.

Cette dépêche raconte un vieux bug que j’ai eu sur un satellite. L’identification, la reproduction, la correction. C’est le bug qui m’a le plus intéressé/marqué dans ma carrière (jusqu’ici), C’est pourquoi cela pourrait aussi vous intéresser.

L’appel

Il y a bien longtemps, dans une galaxie lointaine. Ah non, pardon. Un long weekend de 14 juillet, sur une plage, je reçois un coup de fil : « Un des satellites a rebooté, à cause d’une erreur logicielle, est-ce que tu es disponible pour venir comprendre ce qu’il s’est passé ? A priori, il fonctionne toujours, mais il est passé tout seul sur le calculateur redondant. »

Quelques mois avant, on avait lancé une première grappe de six satellites ; d’autres lancements sont prévus pour compléter une constellation dans les mois/années à venir. Comme tout marche bien depuis des mois, personne de l’équipe logiciel de bord n’est d’astreinte. Sur ces satellites, j’étais surtout sur la partie validation. En gros, ce jour-là pour moi, ce n’était pas possible, mais j’y suis allé le lendemain, un samedi ou dimanche.

Sommaire

• L’objectif et les moyens de débug
• L’analyse
• EDAC / Protection contre les SEU
• L’hypothèse
• Chez moi, ça marche
• L’erreur
• La reproduction
• La correction (Over-The-Air, mais sans l’air)
• Conclusion

L’objectif et les moyens de débug

Si nos managers nous ont appelé, c’est parce quand un satellite bugue en prod (on va dire en vol, plutôt), c’est comme pour n’importe quel autre logiciel, des gens veulent des réponses à des questions comme :

• pourquoi ?
• est-ce que c’est grave ?
• est-ce que ça va se reproduire ?
• comment on corrige ?

Par contre, les moyens sont potentiellement différents de ce que vous avez dans d’autres environnements (ou pas, j’imagine que ça dépend des gens) Ce qu’on a :

• le code
• la doc
• des bancs de tests (avec le même matériel pour le calculateur)
• des gens
• un tout petit peu de contexte logiciel sauvegardé au moment de l’erreur (j’y reviens)
• la télémétrie avant l’anomalie (tout allait bien)
• la télémétrie après l’anomalie (tout va bien, mais on est passé du mode matériel 2 au mode 3. En gros c’est le même, sauf qu’on utilise certains équipements “redondants” au lieu du “nominal”, dont le calculateur)

Premier élément, qui a mené au fait que c’est nous (du logiciel) qui avons été appelés, c’est que le matériel qui gère le mode (2 -> 3) peut changer de mode pour plusieurs raisons, mais il sait pourquoi il le fait. Et la raison c’est « le logiciel m’a dit de le faire ». Donc ça vient de nous.

L’analyse

Comme tout va bien, on va regarder le contexte sauvegardé. Ce n’est pas un core dump qu’on peut passer à gdb, mais ça contient quelques infos :

• le code de l’erreur ILLEGAL CPU INSTRUCTION
• le Program Counter %pc qui nous donne l’adresse de l’instruction exécutée au moment de l’erreur
• l’adresse de la prochaine instruction à exécuter %npc (ici c’est l’adresse juste après %pc, rien de surprenant)
• une copie des registres (bon, on ne va pas en avoir besoin, donc je ne vous fais pas un cours sur SPARC et ses registres tournant, de toute façon j’ai oublié. On pourrait probablement les utiliser pour récupérer partiellement la pile d’appel, on l’a surement fait)
• la date et l’heure (super info utile. Enfin, ça correspond à notre anomalie, j’imagine que c’est pour ça qu’on l’avait)
• surement d’autres choses, mais pas utiles pour la suite.

Problème résolu donc ? on est à l’adresse %pc, on l’exécute et le CPU nous dit que l’instruction n’est pas légale. Qu’est-ce qu’il y a ici ? Une instruction légale, quelle que soit la valeur des registres. Pareil pour un peu plus haut et un peu plus bas, rien qui provoque cette erreur. Que s’est-il passé ?

On est dans l’espace, donc l’explication facile (dès qu’on n’explique pas un truc) : l’instruction a dû avoir un Single Event Upset (SEU), un bit flip. Ça a transformé une instruction légale en instruction illégale. C’est simple ? Sauf que non, on est dans l’espace, en conséquence, on a tout un mécanisme de protection contre les SEU. C’est pas infaillible (par exemple si on a deux bits inversés, on ne peut pas corriger) mais ce n’est pas la bonne signature. Si c’était ça, ça dirait DOUBLE EDAC ERROR, pas ILLEGAL CPU INSTRUCTION.

Donc la cause de l’anomalie n’est pas un SEU.

EDAC / Protection contre les SEU

Je suis sûr que vous êtes intéressé, donc je vais vous décrire la protection contre les bit flips. C’est un mix de matériel/logiciel (en plus d’avoir une boite autour qui diminue la probabilité). En mémoire (RAM, ROM) pour 4 octets de données “utiles”, on consomme 5 octets. Le 5ᵉ octet contient un code de contrôle calculé à partir des 4 autres (EDAC). Si un bit change (sur les 5 × 8 = 40 bits), on peut non seulement le détecter mais aussi reconstruire la valeur correcte. Si deux bits changent (ou plus, mais il y a une limite), on peut détecter l’erreur mais pas la corriger (cf: le DOUBLE EDAC ERROR mentionné plus haut)

C’est complètement transparent vu du logiciel (code source, ou assembleur), tout ça est calculé par le matériel. Quand on écrit en mémoire 0x12345678 il calcule le code et écrit 0x12345678XY avec la bonne valeur de X et Y. Quand on lit, pareil, le matériel commence par lire 0x12345678XY, calcule la somme de contrôle sur les 4 octets, si c’est le bon, il nous donne 0x12345678.

Là où ça se complique, c’est quand il y a un changement. Disons qu’on a maintenant 0x02345678XY. (1 --> 0). Il se passe deux choses ici :

1. le matériel dit au logiciel 0x12345678 (il corrige, mais uniquement la valeur envoyée au software. Pas la valeur enregistrée en mémoire)
2. il émet un signal SINGLE EDAC ERROR.

C’est là que le logiciel intervient, dans le point 2. Ce signal est lié à une trap qui corrige la mémoire. Schématiquement c’est lié à une fonction qui ressemble à ceci (en assembleur SPARC en vrai, mais j’ai tout oublié)

; adresse vient du contexte, c’est l’adresse qui a été lue en dernier, qui a généré la trap
disable_edac_trap: ; Désactiver la trap. Sinon on déclencherait la trap depuis la trap
load [adresse], reg ; Lire 4 octets (lecture = correction auto)
enable_edac_trap: ;
store reg, [adresse] ; Réécrire la valeur corrigée

On lit la valeur, c’est corrigé vu du logiciel par le matériel, on réécrit la valeur, tout est corrigé.

Cette trappe peut être déclenchée par n’importe quelle instruction qui lit de la mémoire (ou par le fait de charger une instruction elle-même depuis la mémoire), et on a même une tâche de fond (plus basse priorité, qui tourne en permanence quand il reste du temps de calcul disponible) qui fait

// en gros. En vrai légèrement plus compliqué
void background_task(void) {
int address = MEMORY_START;
volatile int value;
while (1) {
value = *address; // s’il y a un bit flip en mémoire, ce sera corrigé par la trap
address += 4;
if (address >= MEMORY_END) {
address = MEMORY_START;
}
}
}

L’idée de cette fonction c’est de lire la mémoire régulièrement. Si on ne faisait pas ça, peut-être que certaines cases mémoires auraient deux bit flips, car pas corrigé après le premier si on ne lit pas la mémoire avant qu’un autre arrive. Ce n’est pas très fréquent d’avoir des bit flips, mais sur les 6 satellites, en cumulé, on en détecte quelques-uns par jour.

L’hypothèse

De retour à la case départ donc. On exécute apparemment l’instruction stockée dans %pc, valide. Et le CPU nous dit qu’elle est invalide, mais clairement, elle est valide. On tourne en rond, on est samedi ou dimanche, fin d’après midi, et le satellite, lui aussi il tourne en rond, sans problèmes. Tout à coup, quelqu’un a l’idée de dire « bon, on ne résoudra pas ça aujourd’hui. On se revoit lundi ? ». On rentre, je bois un verre avec mes colocs (enfin, je suppose. C’était une activité habituelle pour un weekend, ça, au moins)

Retour au bureau, et là (surement plus tard, pas lundi 9h) on a David (un collègue) qui propose : "Comme clairement %pc est valide, est qu’on exécute quelque chose d’invalide, est-ce qu’on est sûr qu’on a bien enregistré %pc?". On vérifie, le code qui fait ça a l’air correct. En plus le contexte général, ce qu’il y a dans les registres est correct. Toujours David "OK, le logiciel est correct, mais est-ce qu’on est sûr que %pc c’est bien toujours l’instruction qu’on exécute ?".

Donc, on vérifie, par acquit de conscience et on remarque que non, pas nécessairement. Si on est dans une trap, le %pc qu’on enregistre pointe vers l’instruction qui a provoqué la trap, pas l’instruction de la trap qu’on exécute. Bon, OK, ça ne nous avance pas nécessairement (mais si j’en parle…)

Nouvelle question donc : Si on est à %pc, quelles sont les traps qui peuvent s’exécuter ? Il y a plein de possibilités, la plupart viennent de causes extérieures (timer matériel, plein d’autres évènements extérieurs) et potentiellement aussi la trap de l’EDAC si on lit une valeur (et l’instruction à %pc lit une valeur).

Donc techniquement, on pourrait aussi être n’importe où dans le code (assembleur) de toutes les traps. Avant on cherchait pourquoi c’était illégal d’exécuter %pc, maintenant on cherche pourquoi ça serait illégal d’exécuter %pc ou n’importe quelle ligne d’une trap active/activable à ce moment-là.

Chez moi, ça marche

Sauf que le code des traps, c’est pas nous qui l’avons écrit. C’est bien du code qui vient de l’entreprise, mais il existe depuis plusieurs années, est utilisé sur le même processeur depuis plusieurs années, et il a plusieurs dizaines d’années de vol (cumulé, en additionnant les satellites) sans problème.

En suivant les principes bien connus du développement logiciel, si on utilise un logiciel sur étagère, pas besoin de le valider (surtout ça coute de l’argent. Cela dit même si on avait essayé, je ne pense pas qu’on aurait trouvé de problème), vu qu’il marche. Par acquit de conscience, on demande, et on nous répond "bah chez nous ça marche" (la légende veut qu’une histoire similaire soit à l’origine de Docker, je ne sais pas si c’est vrai, mais le fameux "it works on my desktop, ship my desktop"…)

Vous avez peut-être lu le titre de l’article, donc vous imaginez où je vais. On se demande « OK, pourquoi ça marche pour eux, et pas pour nous ? » Quelles sont les différences ?

• on est sur le même CPU/MCU (donc non, c’est pas ça)
• on a changé de compilateur pour une nouvelle version (mais 1. c’est un compilateur “certifié”, et 2. les traps sont en assembleur…)
• on est en orbite plus basse, et on a plus de SEU (mais même, quand on regarde leur historique, ils en ont beaucoup aussi, et en cumulé, beaucoup plus. Après… peut-être n’a-t-on pas de chance ?)

L’erreur

Ok, on a changé de compilateur, les traps sont en assembleur, mais le reste du code est dans un langage bien plus courant (non, je rigole, en vrai c’est en Ada…), peut-être que l’interaction entre les traps et le reste du code a changé ?

Pourquoi est-ce qu’on a décidé de changer de compilateur ? Ah pour des histoires de taille mémoire (640 kB should be enough? On avait même plus, genre 2 Mo de ROM, 4 Mo de RAM, large… ou pas). D’ailleurs, au moment du changement, on en a profité pour faire quelques optimisations. Non pas des flags genre -O1 ou -O2. Plus des choses sur le layout mémoire, on a ajouté __attribute__((packed)) qui est supporté, on a un peu changé le linker script…

Par exemple, le packed, ça nous permet de gagner de la place, avant toutes les variables étaient alignées sur une adresse multiple de 4, que ça soit un nombre sur quatre octets, ou un char d’un octet, ils prenaient au moins quatre octets. Maintenant, on a mis les data types multiples de quatre au début de la structure, bien alignés, puis les types qui prenent deux octets, on en met deux dans quatre octets (au lieu d’un et de gacher deux octets pour rien), puis les types de un octect, on en met 4.

D’ailleurs, par exemple, l’instruction à %pc, elle charge une donnée d’un seul octet qui est dans une adresse du type XXX+3, où X est un multiple de 4. C’est pas illégal de faire ça (donc non, toujours pas d’instruction illégale ici)

Après quoi, c’est là où David revient (dans mon souvenir en tout cas, ça venait beaucoup de lui, mais on était beaucoup à échanger sur le sujet). "Ok, %pc lit une donnée non alignée, et il le fait correctement. Mais s’il y a un bit flip, il se passe quoi ?. Bah rien, EDAC détectée, trap, on exécute le code assembleur qui marche sur les autres satellites.

Ah oui, mais non. Si on lit un octet, on peut lire XXX+3, mais si on lit 4 octets, c’est interdit. Il faut lire une adresse multiple de 4. Et donc on a une EDAC, et quand on rentre dans la trap

; adresse == XXX+3
disable_edac_trap: ;
load [adresse], reg ; Lire 4 octets
enable_edac_trap: ;
store reg, [adresse] ;

Ah oui, mais non. load ça lit 4 octets, c’est illégal de lui passer une adresse non multiple de 4, c’est une illegal instruction. Donc ça pourrait être ça :

1. bit flip sur les quatre octets situés à XXX (l’EDAC est toujours calculé sur 4 octets d’une adresse alignée, même si on lit décalé)
2. on rentre dans la fonction qui contient %pc
3. on lit un octet à XXX+3
4. ça déclenche la trap
5. la trap essaye de lire 4 octets à XXX+3
6. ILLEGAL CPU INSTRUCTION, allez en prison sans passer par la case départ

La reproduction

Sur le papier, ça marche. On peut même faire un petit logiciel sur le banc, qui fait juste un load [XXX+3], reg et qui génère une ILLEGAL CPU INSTRUCTION. Mais évidemment nos managers (et notre client) voudraient un peu plus qu’un « sur le papier, c’est ça, trust me bro ».

Donc la question "c’est possible de reproduire exactement comme dans l’espace, plutôt que de juste exécuter une instruction illégale à la main ?". Avec le vrai logiciel qui était dans l’espace, pas un logiciel de test ?

Bien sûr, il suffit d’attendre d’avoir un bit flip, sur le banc, juste au bon endroit, au bon moment. Vous avez combien de siècles devant vous ? Ou alors est-ce qu’on peut mettre le banc à côté d’un réacteur nucléaire ? Ça devrait accélérer les choses (du bon côté du mur de confinement. Ici, “bon”, ça veut dire mauvais pour les humains)

On va quand même regarder si on peut provoquer un bit flip autrement. Bon, a priori, en interne, au logiciel, on ne sait pas comment faire. La doc du processeur (qui vient avec l’edac) ne nous aide pas non plus. On demande à ceux qui nous ont dit que « chez eux, ça marche » qui nous répondent que la trap de l’edac, ils ne l’ont jamais testé, c’est juste une revue de code.

Bon, on envoie quand même un courriel au fabricant du proc, au cas où. Réponse rapide « je reviens vers vous dès que je sais ». Quelques jours (2, 3 semaines ?) plus tard : "Ah oui, c’est possible. D’ailleurs c’est documenté. Page WSYZ sur 5000, il y a **un* paragraphe qui explique comment faire*".

Le TL/DR du paragraphe : Il est possible de désactiver l’EDAC en écriture. Par contre il faut faire des choses spécifiques, donc on a pas de commande prévue pour le faire “simplement” depuis l’extérieur, il faudrait une nouvelle fonction.

void generer_bit_flip(int address, int valeur) {
*address = valeur; // écrit la valeur correcte avec l’edac normal
manipulate_specific_register_to_disable_edac(); // on a dû écrire la fonction, c’est pas aussi simple
*address = valeur ^ 0x00000001; // écrit la valeur avec un bit changé, mais sans changer le checksum enregistré
manipulate_specific_register_to_enable_edac();
}

Ça tombe bien, le logiciel qui est dans l’espace a deux fonctionnalités qu’on a testé, mais jamais en vrai avec un truc vraiment utile

1. on peut patcher la mémoire et écrire ce qu’on veut, où on veut (code, données)
2. on a plusieurs “fonctions” périodiques qui ne font rien, et qui sont prévues pour être patchées si on veut ajouter quelque chose (via la fonction de patch plus haut)

Donc on peut créer une fonction comme ça (en gros)

void generer_bit_flip(int address, int valeur) {
static int actif = TRUE;



if (actif) {
*address = valeur; // écrit la valeur correcte avec l’edac normal
manipulate_specific_register_to_disable_edac(); // ou a dû écrire la fonction, c’est pas aussi simple
*address = valeur ^ 0x00000001; // écrit la valeur avec un bit changé, mais sans changer le checksum enregistré
manipulate_specific_register_to_enable_edac();
actif = FALSE; // on ne veut le faire qu’une fois
}
}

Une fois qu’on a la fonction, on la compile. Ensuite on charge le logiciel normal sur le banc, on se met en conditions « avant l’anomalie », on uploade la fonction, on l’active et…

Le banc change de mode, passe du mode 2, au mode 3, sur le calculateur redondant. On vérifie le contexte, même signature que l’anomalie en vol. C’est bon on a fini. (Ouf, mon journal est déjà trop long)

La correction (Over-The-Air, mais sans l’air)

Oui, non, pas exactement. On a une explication, il faut une correction maintenant. Bon, c’est simple. Pour lire une adresse alignée sur 4, il suffit de mettre deux bits à 0. Finalement, voilà le patch

address = address & ~0x3 ; ** Cette ligne est le patch **
disable_edac_trap: ;
load [adresse], reg ;
enable_edac_trap: ;
store reg, [adresse] ;

Oui, c’est un patch d’une instruction dans le binaire. (Techniquement, 5 instructions, parce qu’il faut décaler les 4 instructions existantes de 1, mais on avait des noop en dessous, donc ça rentre)

La dernière question, c’est quelle stratégie d’ update appliquer. On a techniquement quatre familles de satellites à considérer :

1. les satellites « pré-existants », qui utilisent l’ancien compilateur, sans packed et déjà dans l’espace.
2. le satellite qui a eu l’anomalie.
3. les 5 autres satellites de la grappe.
4. les futurs satellites, non lancés.

Ce qui a été décidé : La première catégorie : Techniquement, on pourrait discuter du fait qu’il y a un bug ou non. Mais même si on considère qu’il y a un bug, il ne peut pas être déclenché. Donc on ne touche à rien. La catégorie 4, c’est facile. Ils sont au sol, on fait une nouvelle version complète du logiciel, on reflashe la rom en entier, et on vérifie.

Il reste les deux autres catégories. Bon la seule différence, c’est qu’un, toujours en mode 3, tourne pour l’instant sur le calculateur redondant (on peut revenir en mode 2, manuellement, si on veut). Donc on décide « on va faire la même chose », et on va corriger le problème (on aurait pu ne rien faire et dire « bah, si ça arrive, on connaît et on revient à chaque fois manuellement en mode 2 »)

Là encore, même si on corrige, on a plusieurs choix :

1. Mettre à jour la ROM. En fait non, les ROM, parce que chaque calculateur a la sienne. Et le nominal ne peut pas écrire la ROM du redondant, et inversement. (Dès lors, si on veut patcher, qu’est-ce qu’on patche ? Le deux ROM ? Faut-il reconfigurer à la main pour rebooter sur le redondant ?)
2. utiliser un mécanisme prévu pour « patcher, mais sans patcher la ROM ».

La solution 2, retenue, c’est un mécanisme (déjà dans le logiciel) qui permet de mettre les infos dans une autre mémoire (partagée par les deux calculateurs). Au boot, la ROM est copiée dans la RAM (on exécute le code depuis la RAM), et « avant de démarrer » on vient regarder dans cette table, si l’on doit patcher la RAM. Cela donne quelque chose comme :

ROM (logiciel original) --> Copie vers la RAM --> RAM (logiciel original) --> fonction de patch au boot, vient modifier la RAM --> RAM (trap corrigée) --> boot du logiciel.

Conclusion

Qu’est-ce que je retiens principalement ?

• quand on me dit que du code fonctionne, donc qu’il est correct… j’ai un doute
• Ce n’est pas parce que la doc explique quelque chose qu’on peut le trouver. Surtout quand elle fait 5000 pages… Il ne faut pas hésiter à demander

Voila, en quelques pages, une vieille histoire qui m’a marqué. Je suis probablement une des personnes qui a participé à un des patchs le plus haut du monde (plus de 1 000 km d’altitude)

Bon en vrai, la NASA fait des mises à jour logicielles sur des rovers sur Mars, donc c’est clairement pas le record mais c’est pas trop mal (ils ont même peut-être des mises à jour sur leurs sondes plus loin de la terre)

Note : cette histoire date maintenant d’il y a plus de dix ans. Il y a donc forcément des simplifications, des imprécisions, et probablement des erreurs. Aucun satellite n’a été maltraité pendant cette enquête. Il y en a bien un qui est tombé à terre, mais ça c’était avant le lancement.

Est-ce que l’IA est une bulle financière sur le point d’exploser ? Est-ce que cette nouvelle technologie va nous permettre de nous libérer du travail ? C’est ce que nous allons voir dans ce nouveau Argent Magique !

SOUTENIR LE COLLECTIF :
https://stup.media/don

Soutenir directement le programme :
https://fr.ulule.com/argentmagique/

Journalistes : Marino et ‪‪@Heu7reka
Co-auteur : Arnaud Gantier (‪@StupidEco )
Réalisation : Valentin Levetti
Montage : ‪‪@SplineLND ​
Production : https://stup.media/

--
LIEN DES SOURCES :
https://docs.google.com/document/d/1CYGva4dGfINo4iK1dZkvEN7k3DfadjqyxKj7YQEr46s/edit?usp=sharing

#argentmagique