Une Boite `a Outils Pour la Preuve Formelle de Syst`emes Séquentiels

5.5. CONCLUSION 117
graphes de la fonction de transition. Cependant, si on utilise l’ensemble des états valides
Valid pour simplifier les arguments de la composition, la validation est instantanée, car la
fonction ok est égale à 1 sur l’ensemble Valid, ce qui implique que (ok⇓Valid) = 1.
Il est à remarquer que la formule AG(ok) est une propriété de sûreté, donc elle appartient
à la classe de formules qui peuvent être vérifiées en comparant la machine sur
laquelle doit être validée cette formule avec un automate construit à partir de la formule.
On peut donc utiliser la technique de vérification présentée dans la Section 3.2. Dans ce
cas précis, il suffit de vérifier que la sortie ok est toujours égale à 1 sur l’espace des états
valides de la machine. Valider la propriété en utilisant cette méthode ne requiert que 58
secondes, le calcul des états valides étant effectué en 20 étapes.
Cette exemple semble montrer que si la formule peut être validée en utilisant une comparaison
de machines (l’une étant le modèle universel), alors il est préférable d’appliquer
cette technique plutôt que l’algorithme général de vérification des formules CTL. En pratique,
on trouve en effet des machines qui ne peuvent être traversées en arrière, alors
que leur ensemble d’états valides peut être symboliquement calculé. Ceci n’est qu’une
illustration du Théorème 5.3, où nous avons montré que calculer l’image réciproque est
intrinsèquement plus difficile que calculer l’image 3 .
ParallèlementànotretechniquedepreuvesymboliquedeformuleCTLsurunemachine
séquentielle, l’équipe d’Edmund Clarke de Carnegie Mellon University a développé une
technique de preuve très similaire [29]. Elle diffère de la notre en ce qu’elle utilise la
relation de transition de la machine pour la résolution des équations de points fixes (voir
Section 5.2), alors que nous utilisons la composition sur la fonction de transition (voir
Section 5.3). Cette technique a été utilisée pour la vérification d’opérateurs arithmétiques
“pipeline”[30], possèdantjusqu’à10 120 étatsutiles, cequirendinapplicableslestechniques
énumératives. Cette méthode a été aussi utilisée pour valider des protocoles décrits en
CCS [60]. Retenons surtout ce qui me semble être l’application la plus probante, la
détection d’erreurs dans un protocole de communication entre les caches mémoires d’une
machine multi-processeurs, erreurs qui n’avaient pas été détectées durant la période de
test [88].
5.5 Conclusion
Nous avons présenté dans le Chapitre 3 une procédure automatique de validation de formules
CTL sur une machine séquentielle, qui s’appuie sur des manipulations de formules
propositionnelles quantifiées. Cette procédure de preuve ne requiert ni la construction
du diagramme d’état de la machine, ni la construction de la relation de transition de la
machine.
3 A propos des deux stratégies possibles pour vérifier une propriété de sûreté, certains ont affirmé que le
nombre d’itérations requis pour atteindre le point fixe par un parcours en arrière est inférieur à celui requis
par un parcours en avant. C’est évidemment faux. Pour n 1 ≥ 0 et n 2 ≥ 0 quelconques, on peut exhiber un
modèle sur lequel le nombre d’itérations nécessaire pour atteindre le point fixe en avant (respectivement
en arrière) est égal à n 1 (respectivement à n 2 ). Il n’y a aucune relation entre n 1 et n 2 .