Méthodes pour la validation de modèles formels pour la ... - ISAE

52 Chapitre 2. Modélisation formelle de systèmes
A
A
Choix ?
A F M1
(a)
(b)
Figure 2.12 – Principe de modélisation en Nu-SMV
(a) Modèle nominal ; (b) Modèle nominal + dysfonctionnel
tionnel. Pour cela et comme se propose de le montrer la figure 2.12, on ajoute au modèle nominal
d’un composant autant de variables que de modes de défaillance (Ici A F M1 ). Une logique (correspondant
à la boîte « Choix ? ») permet ensuite de « choisir » la sortie à appliquer selon qu’un
mode de défaillance ait eu lieu ou non. Une chose intéressante à noter est alors que le même cadre
de modélisation est utilisé pour le modèle nominal et le modèle dysfonctionnel.
Sur ce type de modèle, les propriétés souhaitant être étudiées sont décrites en logique
temporelle LTL ou CTL (LTL : Linear Temporal Logic ; CTL : Computation Tree Logic, i.e.
logique temporelle respectivement linéaire ou arborescente). Sans décrire de telles logiques ici,
les propriétés peuvent être vues comme des expressions booléennes simples auxquelles on adjoint
divers opérateurs temporels. Par exemple, en LTL, la formule Always (a&b) sera vraie si a&b
est vraie pour tous les chemins. De telles propriétés sont en pratique utilisées pour vérifier que
le modèle satisfait des exigences fournies par une spécification. Des outils (de simulation et de
model-checking) sont disponibles pour supporter ces vérifications. Il est également possible de
générer l’arbre de défaillance correspondant à un évènement redouté.
2.5.1.4 SCADE
Le langage SCADE est une notation graphique formelle fondée sur le langage formel LUSTRE
[31] initialement crée pour spécifier des logiciels réactifs 5 (ou réflexes). C’est donc un langage
formel, synchrone à flot de données. Il est supporté par un environnement muni d’un éditeur
graphique, d’un moteur de simulation, d’un générateur de code et d’un model-checker permettant
de vérifier, sur un modèle écrit en SCADE, des propriétés.
Dans [1] et comme pour Nu-SMV, la description d’un système et de son comportement
peut être vu en deux temps : une modélisation nominale et une dysfonctionnelle (le cadre de
modélisation est donc là aussi identique pour le comportement nominal et celui dysfonctionnel).
Les propriétés sont ici également à exprimer en langage SCADE : on peut ainsi observer directement
sur le modèle SCADE si ces propriétés sont satisfaites ou non.
Cette vérification de propriété permet également de générer un ensemble de coupes minimales.
Pour cela, il est nécessaire de définir un ou plusieurs observateurs directement sur le modèle
sous forme de propriété. Pour mieux comprendre, aidons nous d’un exemple. Considérons un composant
A quelconque dont la sortie S A prend ses valeurs dans {ok, degrade, ko} et imaginons
que l’on souhaite obtenir les séquences conduisant à obtenir S A = ko. Dans un tel cas, la première
étape consiste à définir un observateur qui fournira la valeur vrai si S A ≠ ko (et donc faux si
S A = ko). Ensuite, en demandant au model-checker si la propriété est vraie (si la sortie de l’observateur
est vraie), celui ci va nous fournir un contre-exemple violant la propriété (s’il en existe).
5. Un système réactif est un système qui répond constamment aux sollicitations de son environnement en
produisant des actions sur celui-ci.