Une Boite `a Outils Pour la Preuve Formelle de Syst`emes Séquentiels

INTRODUCTION 11
la vérification de descriptions fonctionnelles de machines, en particulier la méthode des
assertions de Floyd et les techniques d’exécution symbolique de programmes.
W. Hunt a utilisé le démonstrateur de Boyer-Moore pour effectuer la vérification
d’un petit microprocesseur [79]. Ce démonstrateur travaille sur un sous-ensemble de la
logique du premier ordre (seuls les quantificateurs universels sont autorisés), et permet
l’utilisation du principe d’induction dans les preuves. L’utilisation du démonstrateur de
D. Boyer-Moore pour la preuve de matériel a été poursuivie, en particulier en Europe par
l’équipe de D. Borrione [20].
M. Gordon a développé un autre formalisme, appelé LCF-LSM [67, 68], construit
au-dessus du système LCF (Logic of Computable Functions) développé par R. Milner à
Edimbourg pour la génération interactive de preuves formelles. La couche LSM (Logic of
Sequential Machines) rajoutée par M. Gordon étend le calcul de LCF avec des descriptions
comportementales du CCS (Calculus of Communicating Systems). Ce système a lui aussi
étéutilisépourvérifierunpetitordinateur[68],maisn’aeuaucuneimplicationindustrielle.
Le travail de H. G. Barrow [9] est très proche de celui de M. Gordon, excepté qu’il utilise
PROLOG comme démonstrateur.
La logique du premier ordre a une grande puissance d’expression qui permet son utilisation
directe comme formalisme de description de matériel, mais la puissance d’expression du
premier ordre rend impossible l’automatisation des preuves [36]. Un démonstrateur de
cette puissance ne peut pas réaliser tout seul la preuve de correction d’un circuit non
trivial. L’utilisateur doit être capable de conduire la preuve, le système n’étant là que
pour lui éviter de fastidieuses réécritures de formules. Par exemple, le système LCF offre
des primitives de constructions de preuves appelées “tactics” et “tacticals”. Les premières
permettent de décomposer les problèmes à résoudre en sous-problèmes, et les secondes
de combiner les premières pour construire des preuves complexes. Les preuves effectuées
avec les systèmes cités ci-dessus ont d’ailleurs été faites par les logiciens/mathématiciens
créateurs de ces outils, et ont été longues à réaliser. Or il n’est pas envisageable à court
terme de demander aux concepteurs de circuits de devenir aussi spécialistes de logique
formelle, ni d’associer à chaque équipe de conception un logicien de haut niveau. L’objectif
de développer des outils de vérification automatiques a conduit d’autres équipes, dont celle
du Centre de Recherche de BULL [5, 6], vers des voies différentes.
Un système logique décidable et assez puissant pour exprimer et résoudre les problèmes
de vérification de matériel, à partir du moment où ils se situent sur un domaine
d’interprétation fini, est la logique propositionnelle. En 1986, R. E. Bryant propose [27]
une nouvelle forme canonique des formules propositionnelles, les Graphes de Décision
Binaires, ou BDDs. Cette forme puissante et compacte permet pour la première fois de
prouver complètement la correction de gros additionneurs (32 bits et plus). En 1987, une
forme améliorée des BDDs, appelée Graphes de Décisions Typés ou TDGs, est proposée
par J. P. Billon [18]. Cette forme, plus un processus d’exécution symbolique, conçu par
J. C. Madre [89, 19], du langage de description de matériel LDS, permet la conception en
1988 de PRIAM, premier outil industriel de preuve de circuits combinatoires. PRIAM a
été intégré dans le système de CAO de BULL et est maintenant utilisé quotidiennement