Une Boite `a Outils Pour la Preuve Formelle de Syst`emes Séquentiels

112 CHAPITRE 5. CALCUL DE L’IMAGE RÉCIPROQUE D’UNE FONCTION
Le calcul de la composition (χ◦ ⃗ f) est au moins en O(|χ|× ∏ n
k=1 |f k |) (voir Section 2.4.3).
Il faut donc réduire au maximum la taille des arguments : on est conduit à étudier la
minimisation des graphes de ⃗ f dans le terme Pre( ⃗ f,Cns,χ).
Rappelons l’équation 3.9 permettant de calculer l’ensemble des états satisfaisant une
formule CTL de type EU :
E k+1 = λ⃗y. ( E k (⃗y)∨ ( F(⃗y)∧(∃⃗x Cns(⃗y,⃗x)∧E k ( ⃗ f(⃗y,⃗x))) )) . (5.1)
Lorsque que E k (⃗y) = 1, ou F(⃗y) = 0, ou Cns(⃗y,⃗x) = 0, la valeur de E k+1 (⃗y) ne
dépend plus du terme E k ( ⃗ f(⃗y,⃗x)). Aussi la fonction ⃗ f qui apparaît dans 5.1 peut être
remplacée par n’importe quelle fonction ⃗ f ′ qui est égale à ⃗ f sur le domaine D défini par
D = λ⃗y.λ⃗x.(¬E k (⃗y)∧F(⃗y)∧Cns(⃗y,⃗x)), sans changer la valeur de la fonction E k+1 . Cette
remarque tient aussi pour les autres formules 3.6 à 3.11 définissant les points fixes des
formules CTL. Les domaines D respectifs sont :
D = Cns pour 3.6 et 3.7,
D = λ⃗y.λ⃗x.(¬E k (⃗y)∧F(⃗y)∧Cns(⃗y,⃗x)) pour 3.9,
D = λ⃗y.λ⃗x.(¬A k (⃗y)∧F(⃗y)∧Cns(⃗y,⃗x)) pour 3.11.
Comme on cherche à valider des formules CTL sur les états atteignables de la machine,
on peut restreindre le processus de calcul aux seuls états valides. Il est donc souhaitable de
d’abord calculer l’ensemble des états valides grâce à Img (Section 3.2.2 et Chapitre 4), puis
d’utiliser cette connaissance afin de ne considérer que des états valides durant le calcul de
Pre. Ceci revient à rajouter dans le domaine D défini ci-dessus l’information Valid(⃗y) par
unproduit, c’estàdirequelenouveaudomaineàconsidérerest λ⃗y.λ⃗x.(Valid(⃗y)∧D(⃗y,⃗x)).
Autrement dit, les équations 3.12 à 3.17 deviennent :
EX = λ⃗y.(Valid(y)∧Pre( ⃗ f,Cns,F))
AX = λ⃗y.(Valid(⃗y)∧¬Pre( ⃗ f,Cns,¬F)(⃗y))
E 0 = λ⃗y.(Valid(⃗y)∧G(⃗y)), et
(
E k+1 = λ⃗y. Valid(⃗y)∧ ( E k (⃗y)∨(F(⃗y)∧Pre( f,Cns,E ⃗ k )(⃗y)) )) .
A 0 = λ⃗y.(Valid(⃗y)∧G(⃗y)), et
A k+1 (⃗y) = λ⃗y.
(Valid(⃗y)∧ ( A k (⃗y)∨(F(⃗y)∧¬Pre( f,Cns,A ⃗ k )(⃗y)) ))
Nous proposons différentes techniques de minimisation d’une fonction partielle (D,f)
dans l’Annexe E. Par exemple, si on utilise la fonction “restrict” [43] (voir Section E.4),
alors on calculera la composition (χ◦( ⃗ f⇓D)) au lieu de (χ◦ ⃗ f), en garantissant que chaque
graphe (f k ⇓D) est de taille inférieure ou égale à celui de f k , ce qui peut considérablement
diminuer le temps de la composition.