Méthodes pour la validation de modèles formels pour la ... - ISAE

2.4 Outils pour la construction et l’analyse de modèles AltaRica 49
– les mots clés et les opérateurs utilisés dans les transitions et les assertions ;
– que toute variable utilisée ait auparavant bien été déclarée ;
– le fait que tout évènement soit relié à au moins une transition ;
– le fait que toute variable de flux de sortie soit définie par une assertion ;
– l’absence de boucles instantanées (définition circulaire d’une variable de flux de sortie : au
même instant logique, la sortie S dépends de l’entrée E qui dépends elle-même, directement
ou non, de S) dans le modèle...
Notons que ces tests fournissent des renseignements et nous assurent de la forme syntaxiquement
correcte du modèle mais ne s’intéresse pas ou peu à la sémantique, i.e. au sens du modèle. Ce
problème étant pourtant selon nous un problème capital, il sera traité dans un prochain chapitre.
L’outil Cecilia TM OCAS possède également un simulateur interactif permettant de « jouer »
les différents évènements du modèle et d’observer l’évolution de celui-ci. Ainsi, il est possible
de comparer si, lors de la simulation d’évènement, le comportement du modèle est conforme au
résultat attendu. À noter que cette vérification est rendue relativement aisée par l’outil puisque
chaque variable d’état et chaque variable de flux est complètement et totalement observable, i.e.
à tout instant, il est possible de visionner la valeur d’une variable d’état ou de flux. Grâce à cette
possibilité, nous pourrons vérifier après l’occurrence d’un évènement le nouvel état ainsi que la
sortie d’un composant donné.
2.4.3 Analyse des modèles AltaRica
Précisons d’ores et déjà que différentes méthodes d’analyses de modèles AltaRica sont possibles
: génération d’arbre de défaillance, simulation de Monte Carlo, analyse par chaîne de Markov,
model-checking ou encore génération de séquences conduisant le système dans une configuration
redoutée. Toutes ne sont cependant pas citées ci-dessous.
2.4.3.1 Arbre de défaillance / Génération de séquences
L’outil Cecilia TM OCAS permet le support des analyses qualitatives et quantitatives (l’outil
Cecilia TM ARBOR est alors utilisé en complément) d’un modèle AltaRica. En ce qui concerne les
analyses qualitatives, deux philosophies différentes peuvent être utilisées : la génération d’arbres
de défaillance ou la recherche de scénarios conduisant le modèle dans une configuration donnée.
Le générateur d’arbres de défaillance produit un arbre décrivant l’ensemble des combinaisons
d’évènements conduisant le modèle dans une configuration donnée. L’arbre obtenu l’est dans un
format exportable et lisible par Cecilia TM ARBOR. Ainsi, des analyses quantitatives peuvent être
réalisées. Cependant, l’algorithme de génération de ces arbres a été prouvé sûr pour un fragment
du langage AltaRica. En effet, la génération d’un de ces arbres pour, par exemple, un modèle
d’un système reconfigurable n’est pas chose triviale. L’utilisation de transitions instantanées (loi
de probabilité de l’évènement de la transition en Dirac(0) - section 2.2.3) ou de variables de flux
d’entrée dans les gardes des transitions pose des problèmes lors de la génération de l’arbre. Des
arbres incorrects ou des erreurs lors de la génération peuvent être obtenus dans de tels cas.
Un modèle représentant un système réel possédant couramment ce genre d’artifice, Cecilia TM
OCAS possède un générateur de séquences qui explore l’espace d’état du modèle à la recherche de
séquences (de longueur bornée) conduisant le système dans la configuration étudiée. Ce générateur
de séquence fournit donc à l’utilisateur l’ensemble des combinaisons d’évènements qui conduisent
le système dans un état donné. La taille maximum de ces combinaisons (i.e. l’ordre maximum des
séquences recherchées) doit être précisée par l’utilisateur. De plus et contrairement au générateur