Modélisation des systèmes temps-réel répartis embarqués pour la ...

Chapitre VII – Vérification formelle de la structure des applications
Cette situation se traduit par la possibilité d’avoir plusieurs jetons dans une place appartenant
à une séquence d’appel. Nous devons donc nous assurer que cette situation n’apparaît jamais
(formule VII.6).
∀p ∈ Entrees, AF(card(p) < 2) (VII.6)
Avec Entrees l’ensemble des places d’entrée de chaque sous-programme de l’architecture.
Il est important de noter que les formule VII.5 et VII.6 ne peuvent pas être rassemblées en
une seule formule. En effet, la formule VII.6 concerne tous les sous-programmes de l’architecture
tandis que la formule VII.5 ne porte que sur les sous-programmes des séquences bloquées. Il est
parfaitement acceptable qu’une entrée de sous-programme ne reçoive jamais de jeton si celui-ci
appartient à une séquence qui n’est jamais exécutée.
VII-8 Conclusion
La vérification a priori est une phase importante de la conception des systèmes embarqués
temps-réel : elle permet de s’assurer d’un certain nombre de caractéristiques de l’architecture
considérée avant sa construction effective. Pour cela, il est nécessaire de pouvoir extraire une
description formelle de l’architecture.
Dans ce chapitre nous avons montré qu’il était possible d’établir une relation entre une description
AADL et un formalisme de vérification. Nous avons choisi les réseaux de Petri pour illustrer
notre propos car ils permettent une modélisation comportementale des systèmes.
Nous avons établi des règles de traduction depuis les constructions AADL vers les réseaux de
Petri. Cette traduction prend essentiellement en compte les éléments logiciels de la modélisation
en AADL, et se fonde uniquement sur les spécifications d’exécutif que nous avons énoncées au
chapitre IV ; ces hypothèses sont par ailleurs utilisées pour la génération de l’exécutif AADL (cf.
chapitres V et VI). Nous avons notamment développé les mêmes concepts quant à l’intégration
de descriptions comportementales dans les composants AADL. Il est donc possible d’établir une
équivalence sémantique entre le réseau de Petri extrait d’une description AADL et le code source
généré à partir de celle-ci.
L’analyse du réseau de Petri permet d’évaluer la cohérence des flux d’exécution. Pour cela,
nous avons défini un certain nombre de formules et de propriétés structurelles correspondant à des
propriétés qui doivent être systématiquement vérifiées, telles que l’absence de blocage dans les
threads. Des vérifications plus spécifiques, dépendant par exemple des implantations comportementales
des composants peuvent également être effectuées par l’utilisateur. En faisant abstraction
des considérations temporelles de la description AADL, nous avons pu établir la vérification
d’un certain nombre de propriétés inhérentes à la construction de l’architecture ; les vérifications
que nous avons présentées dans ce chapitre permettent donc une vérification de la cohérence du
système.
La modélisation en réseaux de Petri permet ainsi de détecter une mauvaise construction de
l’architecture avant même de produire le système exécutable correspondant. Cette modélisation
doit naturellement être couplée à d’autres méthodes d’analyse, telles que la simulation de l’ordonnancement
des threads, la vérification de la taille de l’application en mémoire, de la consommation
électrique, etc. Nous avons présenté ici un aspect de vérification particulier, qui est directement lié
aux communications dans le système modélisé. L’utilisation d’AADL permet de centraliser toutes
les informations nécessaires à l’application des différentes phases d’analyse et de génération nécessaires,
ce qui permet d’avoir une représentation unique de l’architecture.
c○ 2007 Thomas Vergnaud 147