Modélisation des systèmes temps-réel répartis embarqués pour la ...

Chapitre VII – Vérification formelle de la structure des applications
cnx0
thread0_s1
thread0_restart
cnx1
cnx4
cnx2
Comm
Control
Comm thread2_restart thread0
thread2_e1 Control
cnx3
thread2_s2 thread2
thread1_e1
Comm
Comm
thread1_restart
Control
thread2_s1
thread1
thread1_reset Comm
[c = 1]
thread1_end
thread1_s1
Control
Comm
thread2_e1_choose
Control
thread1_s2
thread1_e1_choose
Comm
Control
thread2_reset
[c = 2] thread0_end
Control
thread2_end
Control
Class
Control is [0,1, 2];
Value is [u, d];
Domain
Comm is ;
Var
c, c1, c2 in Control;
v in Value;
FIG. VII.9 – Réseau de Petri non borné correspondant au listing VII.5
VII-7.2 Absence de blocages
L’absence d’une donnée dans les séquences d’un thread peut correspondre à une dépendance
mutuelle de deux sous-programmes de séquences différentes : un sous-programme prend en entrée
le résultat d’un autre sous-programme, lequel prend en entrée la sortie du premier. Elle peut aussi
correspondre à l’absence d’une connexion ; dans ce cas un sous-programme utilise des données
dont la valeur n’est pas définie.
La « famine » d’un thread se produit lorsque le thread ne reçoit pas toutes les données nécessaires
à son exécution. Il s’agit typiquement d’une connexion manquante.
Un blocage dans l’exécution du thread peut se produire lorsqu’un thread appelle un sousprogramme
distant fourni par un autre thread, lequel sous-programme fait lui-même un appel à un
sous-programme distant fourni par le premier thread : le second appel distant restera indéfiniment
en attente, puisque le premier thread est déjà occupé à attendre la réponse à son appel distant.
Tous ces cas correspondent à la présence d’une donnée invalide, ou l’absence d’une quelconque
donnée, dans le flux d’exécution. L’absence de donnée se traduit par l’absence de jeton,
empêchant ainsi la transition concernée d’être déclenchée. La présence d’une donnée invalide se
traduit par la présence d’un jeton marqué u, empêchant également la transition concernée de se
déclencher, du fait de la garde qui lui est associée. Un dysfonctionnement dans un flux de donnée
se traduit donc par une transition du réseau de Petri qui ne se déclenche jamais.
Afin de vérifier l’absence de blocage dans l’exécution des threads, il est donc nécessaire de
s’assurer que le jeton de contrôle de chaque thread passera de la place initiale à la place finale.
Cela se traduit par la formule VII.1.
∀t ∈ T hreads,card(t_c_start) > 0 → AF(card(t_c_end) > 0) (VII.1)
Pour chaque thread t, le fait que la place t_c_start (place de départ du jeton de contrôle t) ne
soit pas vide à un instant donné implique que la place t_c_end (place de fin du jeton de contrôle
c○ 2007 Thomas Vergnaud 145