Une Boite `a Outils Pour la Preuve Formelle de Syst`emes Séquentiels

3.3.
VÉRIFICATION DE PROPRIÉTÉS TEMPORELLES 75
formalisme de la logique temporelle arborescente. Cette technique de vérification requiert
la construction partielle ou totale du graphe de transition de la machine, et est basée sur
des algorithmes de parcours de ce graphe de transition. Cette technique est limitée par
la taille du graphe de transition, car coûteuse en mémoire et en temps de par l’explosion
combinatoire.
Nous montrons ici que les techniques de manipulations symboliques que nous avons
décrites dans les deux premiers chapitres peuvent être utilisées pour la vérification de
formules temporelles, sans qu’aucun diagramme d’état ne soit construit. Nous décrivons
d’abord la syntaxe et la sémantique des formules CTL à vérifier, et le type de machines
qui seront traitées. Puis nous donnons les algorithmes de vérification et nous montrons
comment ceux-ci s’appuient sur l’opération Pre.
3.3.1 Syntaxe et sémantique de CTL
Le machine séquentielle M que nous traitons est une machine de Moore incomplètement
spécifiée. Elle est définie par un 6–uplet (n,m,r,ω,δ,Init), où ω ne dépend que de l’état
de la machine.
On suppose que la formule (∀⃗y ∃⃗x Cns(⃗y,⃗x)) est une tautologie, c’est à dire que tout
état possède au moins un successeur. Ceci n’est pas restrictif, puisque la plupart des
formules CTL n’ont aucun sens sur des états sans successeur [40]. Si cette condition n’est
pas vérifiée, la fonction λ⃗y.(∀⃗x ¬Cns(⃗y,⃗x)) est la fonction caractéristique de l’ensemble
EtatPuit des états sans successeur. Soit VersEtatPuit l’ensemble des états sans successeur
ou conduisant nécessairement à un état sans successeur. L’ensemble VersEtatPuit est
l’ensemble des états satisfaisant la formule CTL AF(EtatPuit), et peut donc se calculer
par une équation de point fixe, comme on le verra ci-dessous. Le nouveau domaine à
considérer pour la fonction δ est alors λ⃗y.λ⃗x.(¬VersEtatPuit(⃗y)∧Cns(⃗y,⃗x)).
CTL permet d’exprimer des propriétés sur les états et les transitions d’une machine
séquentielle [40]. Les formules temporelles considérées pour la vérification sont
les formules d’état de CTL, qui décrivent des propriétés relatives aux états de la machine.
Les formules d’état de CTL et leur sémantique vis-à-vis d’une machine de Moore
M = (n,m,r,ω,δ,Init) sont les suivantes:
1. y 1 ,y 2 ,...,y n ,z 1 ,...,z r sont des formules d’état. Pour tout état ⃗y de la machine,
⃗y |= y k si et seulement si y k = 1. ⃗y |= z k si et seulement si la valeur de la k–ième
composante de ω(⃗y) est 1.
2. Si f et g sont des formules d’état, alors (¬f), (f ∧g), (f ∨g), (f ⇔ g), et (f ⇒ g)
sont des formules d’état. Les connecteurs logiques ont leur sens usuel, par exemple
s |= (f ∧g) si et seulement si s |= f et s |= g.
3. Si f est une formule d’état, alors EX(f) et AX(f) sont des formules d’état. Pour
tout état ⃗y, ⃗y |= EX(f) si et seulement si il existe une entrée ⃗x acceptée par la
machinetellequeδ(⃗y,⃗x) |= f. OndéfinitlaformuleAX(f)parAX(f) = ¬EX(¬f).