Modélisation des systèmes temps-réel répartis embarqués pour la ...

Modélisation des systèmes temps-réel répartis embarqués
de t) finira elle-même par contenir un jeton, et ce dans tous les futurs possibles.
Avec T hreads l’ensemble des threads de l’architecture, et les places t_c_start et t_c_end
correspondant respectivement aux places de début et de fin du threads t considéré.
De cette façon, nous pouvons nous assurer que les threads s’exécutent tous correctement ; si
ce n’est pas le cas, il est nécessaire d’effectuer d’autres vérifications afin d’en identifier la cause.
Le blocage d’un thread peut être dû à l’absence de certaines données en entrée ; la formule
VII.2 permet de s’assurer qu’aucune place d’entrée des threads n’est vide en permanence.
∀p ∈ Places, AF(card(p) > 0) (VII.2)
Avec Places l’ensemble des places associées à chaque thread.
Si en revanche le blocage du thread est dû à un problème dans la structure de ses séquences
d’appel, il est nécessaire de vérifier que celles-ci s’exécutent correctement. Dans ce cas, nous
devons suivre la même démarche de vérification que pour l’extérieur des threads : si un jeton de
contrôle atteint la première place d’une séquence, il doit atteindre la dernière place par la suite
(formule VII.3).
∀s ∈ Sequences, implies(card(s_begin) > 0,AF(card(s_end) > 0)) (VII.3)
Avec Sequences l’ensemble des séquences des threads de l’architecture.
Lorsque la séquence bloquante est identifiée, il suffit alors de vérifier que le jeton de contrôle
passe dans toutes les places de contrôle des sous-programmes. Pour cela, nous devons vérifier
que chaque place de contrôle de la séquence accueille exactement un jeton à un moment donné
(formule VII.4).
∀p ∈ Controles, AF(card(p) > 0) (VII.4)
Avec Controles l’ensemble des places de contrôle des sous-programmes associés aux séquences
qui ne vérifient pas la formule VII.3.
Le blocage du sous-programme peut être dû à l’absence d’une donnée à l’entrée de celui-ci.
Une vérification alternative consiste donc à s’assurer que toutes les places d’entrée de chaque
sous-programme de la séquence considérée accueilleront un jeton à un moment donné (formule
VII.5).
∀p ∈ Entrees, AF(card(p) > 0) (VII.5)
Avec Entrees l’ensemble des places d’entrée des sous-programmes associés aux séquences
qui ne vérifient pas la formule VII.3.
Les formules VII.4 et VII.5 permettent d’identifier les places d’entrée qui seront toujours
vides. Ces situations sont invalides, puisqu’elles traduisent un problème dans le flux d’exécution
(formule VII.4) ou dans les flux de données (formule VII.5).
VII-7.3 Déterminisme des valeurs
Le dernier cas est différent. Nous considérons qu’une valeur n’est pas déterministe lorsqu’elle
est peut être définie plusieurs fois. C’est notamment le cas lorsque les sorties de plusieurs sousprogrammes
sont connectée à l’entrée d’un autre sous-programme ou à la sortie du thread correspondant.
Cela peut entraîner des redéfinitions successives de la valeur d’une donnée.
146 c○ 2007 Thomas Vergnaud