Une Boite `a Outils Pour la Preuve Formelle de Syst`emes Séquentiels

5.2. CALCUL DE PRE( F,CNS,χ) ⃗ À L’AIDE DE ∆ 111
d’état y n+1 ,...,y 2n+1 ajoutées aux n variables d’état y 1 ,...,y n de telle façon qu’on ait
y 1 < y n+1 < y 2 < y n+2 < ... < y n < y 2n < y 2n+1 . Avec cet ordre, le graphe de la fonction
χ ′ a une taille de 3n+1. Ainsi le graphe de χ ′ est construit en O(n). De même, le graphe
de ⃗g est construit en O(n), puisqu’il suffit de générer n graphes élémentaires. Donc le
passage des graphes de f ⃗ et χ à ceux de ⃗g et χ ′ est linéaire avec n. Enfin, comme le
terme Pre(⃗g,1,χ ′ )(⃗y) ne dépend que des variables y 1 ,...,y n , le graphe de Img( f,χ) ⃗ est
directement celui de Pre(⃗g,1,χ ′ ).
✷
Nous avons montré que l’opération Pre est le goulot d’étranglement de la procédure de
vérification de formules CTL. Nous étudions dans la suite comment cette résolution peut
être effectuée de façon efficace.
5.2 Calcul de Pre( ⃗ f,Cns,χ) à l’aide de ∆
Une façon directe de calculer Pre( ⃗ f,Cns,χ) passe par la construction de la relation de
transition∆définieàpartirde ⃗ f etCns, puisparl’utilisationdel’identitésuivante[29,21].
Pre( ⃗ f,Cns,χ) = λ⃗y.(∃⃗y ′ ∆(⃗y,⃗y ′ )∧χ(⃗y ′ ))
Cependant, on sait que le graphe de λ⃗y.λ⃗x.λ⃗y ′ .( ∧ n
k=1 y ′ k ⇔ f k (⃗y,⃗x)), préalable à la construction
de ∆, est construit en O(2 n × ∏ n
k=1 |f k |), et l’expérience montre que le pire cas
est “souvent” atteint (voir Section 4.2). Comme la relation de transition ne peut être
raisonnablement construite pour des machines trop complexes ou ayant trop de variables
d’état, il nous faut trouver une résolution qui ne requiert pas cette construction.
5.3 Evaluation de Pre( ⃗ f,Cns,χ)
Le terme Pre( ⃗ f,Cns,χ) est défini par :
Pre( ⃗ f,Cns,χ) = λ⃗y.(∃⃗x Cns(⃗y,⃗x)∧χ( ⃗ f(⃗y,⃗x)))
A partir de cette équation, le calcul de Pre( ⃗ f,Cns,χ) peut s’effectuer en deux étapes.
La première consiste à construire le graphe de (Cns(⃗y,⃗x) ∧ χ( ⃗ f(⃗y,⃗x))), ce qui est non
polynomial à cause de la composition. La deuxième étape consiste à éliminer les variables
quantifiées ⃗x. Cette dernière étape est aussi de complexité non polynomiale, mais
l’expérience montre qu’elle reste souvent faisable. La difficulté de l’évaluation de Pre
vient de la composition χ( ⃗ f(⃗y,⃗x)) qui y apparait. Il faut donc étudier comment évaluer
efficacement cette composition.
5.3.1 Réduction de taille pour la composition
L’idée [43, 46] qui nous conduit à l’utilisation d’un opérateur de réduction est similaire à
celle discutée Section 4.7.1. Elle consiste à tenir compte du fait que Pre intervient dans
des équations très particulières, ce qui fait que le terme Pre peut être légèrement modifié
sans altérer la validité des équations de point fixe.