Modélisation des systèmes temps-réel répartis embarqués pour la ...

Chapitre VII – Vérification formelle de la structure des applications
L’ensemble des connexions entre les paramètres des sous-programmes est rassemblé dans une
seule transition, que nous appelons sp1_sp2 d’après les deux appels de sous-programme qu’elle
connecte. Cette transition prend en charge à la fois la connexion AADL entre les paramètres des
sous-programmes et la circulation du jeton de contrôle. La place de sortie sp1_s est initialisée à
une valeur invalide (u), qui ne peut pas franchir la connexion sp1_sp2. Ce jeton de valeur invalide
modélise le fait qu’à l’état initial, la valeur de sortie de sp1 est indéterminée. Lorsque le sousprogramme
sp1 produit un résultat, le jeton du résultat remplace le jeton invalide et peut donc être
transmis au sous-programme sp2. La valeur de sortie stockée dans sp1_s correspond correspond à
une variable, et doit donc pouvoir être lue plusieurs fois. C’est pourquoi le jeton est réinjecté dans
la place sp1_s lorsqu’il traverse la transition sp1_sp2.
VII-5.3 Modélisation des séquences d’appel de sous-programmes
Les séquences d’appel d’un sous-programme regroupent les appels de sous-programmes pour
constituer des ensembles pouvant être manipulés par une description comportementale éventuellement
associée au sous-programme considéré. Leur traduction en réseau de Petri doit donc faire
apparaître une structure d’encapsulation.
Règle VII.16 (Traduction des séquences d’appel)
Une séquence d’appel seq est traduite par deux transitions seq_begin et seq_end qui
jouent le rôle de connexions vers le premier appel et depuis le dernier appel de sousprogramme
de la séquence.
De la même façon que pour les connexions, les transitions des séquences synchronisent les
différents jetons issus des paramètres du sous-programme englobant, ainsi que le jeton de contrôle
du thread. Cette synchronisation correspond aux spécifications d’exécutif que nous avons établies
au chapitre IV : un thread a besoin de toutes ses données pour s’exécuter ; cette exigence est
retranscrite dans les séquences d’appel.
L’appel d’un sous-programme distant mobilise à la fois le jeton de contrôle du thread local
effectuant l’appel et le jeton de contrôle du thread distant exécutant effectivement le sousprogramme.
Un appel distant correspond donc à une séquence d’appel particulière au niveau du
thread distant. Cette séquence n’utilise aucun paramètre ; les transitions de début et de fin ne
consomment et ne produisent que le jeton de contrôle du thread distant.
VII-5.3.1 Agencement des séquences d’appels
D’après les spécifications d’exécutif que nous avons établies, un sous-programme AADL peut
contenir plusieurs séquences d’appels. Un thread peut également avoir plusieurs séquences : une
séquence « normale » et différentes séquences correspondant aux sous-programmes dont l’accès
est fourni pour constituer des appels distants.
Séquences « normales »
Les séquences « normales » correspondant à un traitement des paramètres ou des ports constituent
un mécanisme séparés des séquences correspondant aux sous-programmes appelés à distance.
Ces deux types de séquences ne peuvent pas être mélangés lors d’un même cycle d’exécution.
c○ 2007 Thomas Vergnaud 135