Une Boite `a Outils Pour la Preuve Formelle de Syst`emes Séquentiels

76 CHAPITRE 3.
PROBLÈMES SUR LES MACHINES SÉQUENTIELLES
4. Si f et g sont des formules d’état, alors E[fUg] est une formule d’état. Pour tout
état ⃗y, ⃗y |= E[fUg] si et seulement si il existe un chemin (⃗y 0 ,⃗y 1 ,...), tel que ⃗y 0 = ⃗y
et ∃k ((⃗y k |= g)∧(∀j (0 ≤ j < k ⇒ ⃗y j |= f))).
5. Si f et g sont des formules d’état, alors A[fUg] est une formule d’état. Pour tout
état ⃗y de M, ⃗y |= A[fUg] si et seulement si pour tout chemin (⃗y 0 ,⃗y 1 ,...) tel que
⃗y 0 = ⃗y, et ∃k ((⃗y k |= g)∧(∀j (0 ≤ j < k ⇒ ⃗y j |= f))).
Des abréviations commodes sont introduites : EF(f) = E[1Uf], i.e. il existe un chemin
comprenant un état satisfaisant f; AF(f) = A[1Uf], i.e. sur tout chemin il existe un état
où f est satisfaite; EG(f) = ¬AF(¬f), i.e. il existe un chemin où f est toujours satisfaite;
AG(f) = ¬EF(¬f), i.e. f est vraie le long de tout chemin.
3.3.2 Algorithme de vérification de formules CTL
On peut vérifier qu’une machine séquentielle M satisfait une propriété de sûreté f en
comparant la machine avec un automate obtenu [22] à partir de la formule f. L’automate
M f associé à une propriété de sûreté f est tel que pour toute machine M, on a M |= f
si et seulement si M et M f sont équivalentes sur les signaux observables de M f . En
substance, M f est le plus petit modèle de f qui décrive tous les comportements possibles
des modèles de f. M f est aussi appelé modèle universel. Dans le cas des propriétés
de sûreté, la preuve peut donc se faire directement par comparaison de machines. C’est
cette approche qui a été retenue par l’équipe du langage LUSTRE de Grenoble [71]. Par
exemple, pour vérifier la propriété “à tout moment, si y = 1 alors à l’instant d’après
on a forcément z = 1 ”, qui correspond à la formule CTL AG(y ⇒ AX(z)), il suffit de
comparerlessignauxy etz deMavecceuxdéfinisparlamachinedeMooredontlegraphe
de transition est montré Figure 20. Mais la puissance d’expression de CTL est strictement
supérieure à celle des propriétés de sûreté, ce qui néccessite un algorithme plus général.
Figure 20. Modèle universel de AG(y ⇒ AX(z)).
L’algorithme “Model Checking” [40] permet de vérifier si (⃗y |= f) pour un état ⃗y
de la machine et une formule CTL f. Le Model Checking est basé sur des parcours du
graphe d’états et de transitions de la machine, et requiert la construction de celui-ci. Cette
technique est donc limitée par la taille du graphe d’états de la machine, car la preuve de
(⃗y |= f) se fait en O(length(f)×(S +R)), où S est le nombre d’états et R le nombre de
transitions [40].
Afin de s’affranchir de cette limite, les ensembles d’états seront considérés non pas
en extention, mais en intention, dénotés par leurs fonctions caractéristiques. Au lieu de