Méthodes pour la validation de modèles formels pour la ... - ISAE

50 Chapitre 2. Modélisation formelle de systèmes
d’arbre de défaillance, ce générateur de séquence autorise que l’ordre des évènements ait une
influence sur l’état final du système. Suivant le résultat attendu, il est possible d’obtenir les coupes,
minimales ou non, ainsi que les séquences, minimales ou non. Contrairement aux séquences, les
coupes ne prennent pas en compte l’ordre des évènements.
2.4.3.2 Model-Checking
Sans rentrer dans une explication détaillée de ce qu’est le model-checking, précisons ici
qu’il s’agit d’une méthode ayant pour objectif de vérifier formellement un modèle. Elle permet
d’évaluer si telle ou telle propriété attendue d’un système est réellement satisfaite par le modèle
du système. Couramment, ces propriétés sont exprimées en logique temporelle linéaire (LTL) ou
arborescente (CTL) ; le choix dépendant du model checker (outil supportant l’activité de modelchecking)
utilisé. Une fois la propriété exprimée dans le formalisme adapté, sa vérification est
faite automatiquement et de façon exhaustive par le model checker. Dans le cas où la propriété
exprimée n’est pas valide, le model checker nous renvoie un contre-exemple (i.e. un scénario)
violant la propriété.
Concernant AltaRica, il existe différents moyens de faire du model-checking. Par exemple,
MecV [66] effectue du model-checking sur un modèle écrit en langage AltaRica originel. Concernant
les langages AltaRica Data-Flow et AltaRica OCAS, il est possible d’utiliser le model checker
SMV [13]. L’approche se fait alors en deux étapes. Le modèle AltaRica est dans un premier temps
traduit en SMV 3 . Ensuite, les propriétés (ici des propriétés LTL) sont également écrites en SMV.
Si le modèle AltaRica ne satisfait pas la propriété, un contre-exemple est renvoyé par SMV. Dans
[37], un exemple de model-checking a été traité sur un système AltaRica à échelle industrielle.
2.5 Autres langages pour la réalisation d’étude de Sûreté de
Fonctionnement
Le présent chapitre a donc été l’occasion de présenter le langage AltaRica et son extension,
le langage AltaRica OCAS. Bien que ce langage ce veuille supporter la réalisation d’analyse de
sécurité de type arbres de défaillance, il n’est pas le seul à posséder cette prétention. Parmi
les différentes alternatives disponibles dans la littérature, nous pouvons distinguer deux types de
travaux :
– les langages dédiés à la réalisation d’analyse de SdF ;
– d’autres langages dotés d’extension pour les études de SdF.
Nous présentons dans cette section plusieurs de ces travaux.
2.5.1 Langages étendus pour la Sûreté de Fonctionnement
2.5.1.1 AADL
La conception de systèmes demeurant une tâche complexe, des approches utilisant des
langages de description d’architecture ont vu le jour et ont pour but de maitriser cette complexité.
En particulier, le langage AADL (Architecture Analysis and Design Language) a été développé pour
faciliter la conception et l’analyse de systèmes informatiques complexes critiques temps réel dans
les domaines de l’aéronautique, de l’automobile ou encore du spatial. AADL [58] est utilisé pour
décrire des architectures matérielles ou logicielles et possède pour cela une notation (graphique et
3. Pour supporter cette activité, un outil de traduction, alta2smv, permet de passer d’un modèle AltaRica à
un modèle SMV.