Projet : EPATR - epatr

<body bgcolor="#FFFFFF" text="#000000" link="#9944EE" vlink= "#0000FF" alink="#00FF00">  <a name="CHILD_LINKS" id= "CHILD_LINKS"><strong>Sous-sections</strong></a> <ul> <li> <ul> <li><a name="tex2html250" href= "fonde_module-8_mn.html#SECTION00032010000000000000" target="main" id="tex2html250"><small>Synthèse d'automatismes discrets</small></a></li> </ul> </li> </ul> <hr /> <h2><a name="SECTION00032000000000000000" id= "SECTION00032000000000000000">Vérification et synthèse</a></h2> <a name="EPATR_fondements_module-8" id= "EPATR_fondements_module-8"></a> <p><a name="verif-synthese" id="verif-synthese"></a></p> <p><strong>Mots clés :</strong> <i>Signal, transformation de programme, système dynamique polynomial, vérification, synthèse de contrÔleur, BDD .</i></p> <h3>Résumé :</h3> <div class="ABSTRACT"> <i>Le principe de transformation des programmes Signal permet de décomposer un programme en une partie décrivant le contrÔle booléen et une partie contenant les calculs. Le contrÔle lui-même définit un système dynamique qui peut être étudié sous plusieurs aspects à des fins de vérification et de synthèse : étude de l'ensemble des états admissibles (partie statique), pour laquelle une forme canonique arborescente utilisant des <small>BDD</small> a été définie ; calcul dynamique s'appuyant sur la représentation équationnelle d'un automate.</i> </div> <p>En appliquant le principe de transformation, on décompose un programme <span class="MATH"><i>P</i></span> en une partie <span class="MATH"><i>Q</i>(<i>P</i>)</span> contenant le contrÔle booléen et une partie <span class= "MATH"><i>C</i>(<i>P</i>)</span> contenant les calculs non booléens, telles que  <span class="MATH"><i>P</i> = <i>Q</i>(<i>P</i>)| <i>C</i>(<i>P</i>)</span>.</p> <p>Toute propriété de sûreté, qui peut s'exprimer sous la forme d'un programme Signal <span class= "MATH"><i>R</i></span>, satisfaite par <span class= "MATH"><i>Q</i>(<i>P</i>)</span>, ce qui s'exprime sous la forme  <span class="MATH"><i>R</i>| <i>Q</i>(<i>P</i>) = <i>Q</i>(<i>P</i>)</span>, est également satisfaite par <span class="MATH"><i>P</i></span>, puisqu'il résulte de  <span class="MATH"><i>P</i> = <i>Q</i>(<i>P</i>)| <i>C</i>(<i>P</i>)</span> que <span class="MATH"><i>P</i> = <i>Q</i>(<i>P</i>)| <i>P</i></span> (voir <a href= "fonde_module-7_Toc.html#semantique">3.1.1</a>).</p> <p>À une équation purement booléenne <span class= "MATH"><i>I</i></span> correspond <span class= "MATH"><i>Q</i>(<i>I</i>) = <i>I</i></span> ; <span class= "MATH"><i>C</i>(<i>I</i>)</span> est alors l'élément neutre du monoïde.<br /> D'une équation monocadencée, est extraite par <span class= "MATH"><i>Q</i></span> la partie synchronisation des signaux ; on obtient par exemple pour <code>x := y+z</code> l'expression :<br /> <code>x ^= y ^= z | x := y+z</code><br /> (<code>x ^= y ^= z</code> spécifie l'égalité des horloges de <code>x</code>, <code>y</code> et <code>z</code>).<br /> Une équation de la forme <code>x := y when b</code>, dans laquelle <code>x</code> est non booléen, est décomposée en : <code>x ^= (y when b) | x := y when b</code>.<br /> Une équation de la forme <code>x := y default z</code>, dans laquelle <code>x</code> est non booléen, est décomposée en : <code>x ^= (y default z) | x := y default z</code>.<br /></p> <p>Cette interprétation permet donc d'extraire, de faÇon automatique, par <span class= "MATH"><i>Q</i>(<i>P</i>)</span>, l'aspect système à événements discrets, du système hybride spécifié par le programme. En raison de l'opérateur de retard qui introduit des indices temporels différents, le système est dynamique.</p> <p>L'étude de ces systèmes dynamiques repose sur l'utilisation de techniques algébriques sur les corps de Galois. Elle vise à exprimer les propriétés des systèmes dynamiques et à donner une solution algorithmique pour leur vérification et pour la synthèse de systèmes satisfaisant certaines spécifications.</p> <p><span class="MATH"><i>Q</i>(<i>P</i>)</span> est défini sur trois valeurs : <code>{ vrai, faux, absent }</code>. La sémantique des opérateurs de Signal et l'approche flot de données équationnelle conduisent naturellement à un codage de <span class="MATH"><i>Q</i>(<i>P</i>)</span> en équations polynomiales sur le corps  <span class="MATH"><b>Z</b>/3<b>Z</b></span> (ou  <span class="MATH"><img width="14" height="12" align="bottom" border="0" src="img24.png" alt= "$ \mathcal {F}$" /><sub>3</sub></span>), <code>vrai</code>, <code>faux</code>, <code>absent</code> étant représentés respectivement par <span class="MATH">1</span>, <span class= "MATH">-1</span>, <span class="MATH">0</span> (<span class= "MATH">+</span> est l'addition modulo 3, <span class= "MATH"><tt>x</tt></span> est la multiplication usuelle).</p> <p>L'étude de la sémantique abstraite d'un programme Signal se ramène alors à l'étude des systèmes dynamiques de la forme : </p> <div align="center" class="mathdisplay"> <img width="15" height="61" align="middle" border="0" src= "img25.png" alt= "$\displaystyle \left\{\vphantom{ \begin{array}{lcl} X_{n+1}&=&P(X_n,Y_n)\ Q(X_n,Y_n)&=&0 \ Q_0(X_0)&=&0 \end{array} }\right.$" /><img width="165" height="61" align="middle" border="0" src="img26.png" alt= "$\displaystyle \begin{array}{lcl} X_{n+1}&=&P(X_n,Y_n)\ Q(X_n,Y_n)&=&0 \ Q_0(X_0)&=&0 \end{array}$" /> </div>où <span class="MATH"><i>X</i></span> est un vecteur d'état dans  <span class="MATH">(<b>Z</b>/3<b>Z</b>)<sup>n</sup></span> et <span class="MATH"><i>Y</i></span> un vecteur d'événements (interprétations abstraites de signaux) qui font évoluer le système. <p>Un tel système dynamique n'est qu'une forme particulière de système de transitions à espace d'états finis. C'est donc un modèle de système à événements discrets sur lequel il est possible de vérifier des propriétés [<a href= "bibliographie_Toc.html#algmr94" target="contents">2</a>] ou bien de faire du contrÔle.</p> <p>L'étude d'un programme consiste alors en :</p> <ul> <li>l'étude de sa partie <em>statique,</em> c'est-à-dire l'ensemble de contraintes  <div align="center" class="mathdisplay"> <table> <tr valign="middle"> <td valign="baseline" align="right" nowrap= "nowrap"><i>Q</i>(<i>X</i><sub>n</sub>, <i>Y</i><sub>n</sub>)</td> <td valign="baseline" align="center" nowrap= "nowrap">=</td> <td valign="baseline" align="left" nowrap="nowrap"> 0</td> </tr> </table> </div> </li> <li>l'étude de sa partie <em>dynamique,</em> c'est-à-dire le système de transitions  <div align="center" class="mathdisplay"> <table> <tr valign="middle"> <td valign="baseline" align="right" nowrap= "nowrap"><i>X</i><sub>n + 1</sub></td> <td valign="baseline" align="center" nowrap= "nowrap">=</td> <td valign="baseline" align="left" nowrap="nowrap"> <i>P</i>(<i>X</i><sub>n</sub>, <i>Y</i><sub>n</sub>)</td> </tr> <tr valign="middle"> <td valign="baseline" align="right" nowrap= "nowrap"> <i>Q</i><sub>0</sub>(<i>X</i><sub>0</sub>)</td> <td valign="baseline" align="center" nowrap= "nowrap">=</td> <td valign="baseline" align="left" nowrap="nowrap"> 0</td> </tr> </table> </div>et l'ensemble de ses états atteignables, etc. </li> </ul> <p>Différentes techniques ont été développées pour ces deux problèmes. Les contraintes statiques sont essentielles pour la <em>compilation</em> des programmes Signal, et des techniques très efficaces ont été développées pour cela. La partie dynamique demande plus de calculs, et est utilisée principalement pour la vérification de propriétés ; une technique plus générale -- mais en retour moins efficace -- a été développée pour la prendre en compte.</p> <p>Le calcul d'horloges statique est au coeur du compilateur Signal ; il en détermine largement ses performances. Ce calcul s'appuie sur l'ordre partiel des horloges, qui correspond à l'inclusion des ensembles d'instants (une horloge pouvant être plus fréquente qu'une autre).</p> <p>La situation suivante doit être considérée : <code>H</code> est l'horloge d'un signal, par exemple un signal à valeurs réelles <code>X</code>, et <code>K</code> est l'ensemble des instants où le signal <code>X</code> dépasse un seuil : <code>K := when (X > X_MAX)</code>. Alors 1/ chaque instant de <code>K</code> est un instant de <code>H</code>, et 2/ pour calculer le statut de <code>K</code>, il faut d'abord connaître le statut de <code>H</code>. Il y a donc à la fois le fait que <code>K</code> est moins fréquent que <code>H</code> et qu'il existe une contrainte de causalité de <code>H</code> vers <code>K</code>. Ceci est dénoté par <code>H</code>  <span class="MATH"><img width="15" height="9" align="bottom" border="0" src="img3.png" alt="$ \rightarrow$" /></span> <code>K</code>. De tels <em>sous-échantillonnages</em> successifs organisent les horloges en plusieurs <em>arbres,</em> l'ensemble de ces arbres constituent la <em>forêt</em> d'horloges du programme considéré. Si un seul arbre est obtenu, la synchronisation du programme et son exécution s'en déduisent aisément.</p> <p>La forêt associée à un programme donné n'est pas unique, la question de l'équivalence de forêts d'horloges se pose donc. Une <em>forme canonique</em> de forêt a été définie [<a href="bibliographie_Toc.html#sigart-amagbe95b" target= "contents">1</a>]. Un algorithme efficace pour trouver cette forme canonique a été développé. Il repose sur des manipulations préservant l'équivalence, prenant en compte l'ordre des variables résultant de la causalité, et combinées à des techniques <small>BDD</small> ( <em>Binary Decision Diagrams</em> introduits par Bryant en 1986 [<a href= "bibliographie_Toc.html#bryan86" target= "contents">Bry86</a>]).</p> <p>Le calcul dynamique s'appuie sur la représentation équationnelle d'un automate : les automates, leurs états, événements et trajectoires sont manipulés au travers des <em>équations</em> qui les représentent. Calculer des trajectoires d'états ou d'événements, des états atteignables, des projections de trajectoires, des états de <em>deadlock,</em> etc., s'effectue alors sur les coefficients des équations polynomiales. De manière similaire, des techniques de <em>synthèse de contrÔle</em> ont été développées pour un système dynamique donné pour différents types d'objectifs de contrÔle proposés par Manna et Pnueli [<a href="bibliographie_Toc.html#manna92" target= "contents">MP92</a>,<a href="bibliographie_ct.html#manna95" target="contents">MP95</a>], mais aussi pour des objectifs de contrÔle portant sur la qualité de service.</p> <p>La manipulation d'équations dans  <span class="MATH"><img width="14" height="12" align="bottom" border="0" src="img24.png" alt= "$ \mathcal {F}$" /><sub>3</sub></span> est tout à fait similaire à la manipulation d'équations booléennes. Une variante de la technique <small>BDD</small>, appelée <small>TDD</small> (Ternary Decision Diagrams -- les noeuds ont trois valeurs possibles), a été développée pour réaliser ces calculs. Des expériences ont montré que le système formel Sigali qui en résulte peut effectuer en un temps raisonnable des preuves (ou de la synthèse de contrÔleurs) sur des automates comportant plusieurs millions d'états atteignables.</p> <h4><a name="SECTION00032010000000000000" id= "SECTION00032010000000000000">Synthèse d'automatismes discrets</a></h4> <br /> Partant d'un modèle global du système, contrÔler un système dynamique polynomial consiste à se donner un objectif de commande (propriétés des trajectoires) et à synthétiser un contrÔleur répondant à cet objectif [<a href= "bibliographie_Toc.html#marchand99a" target= "contents">10</a>]. <div align="center"> <a name="Cont" id="Cont"></a><a name="1406"></a> <table> <caption align="bottom"> <strong>Figure 1:</strong> Principe du contrÔle </caption> <tr> <td> <div align="center">  <img width="423" height="192" align="bottom" border="0" src="img27.png" alt= "\includegraphics [width=0.95\columnwidth]{Cont.ps}" /> </div> </td> </tr> </table> </div>Dans notre approche, le contrÔleur synthétisé est une équation polynomiale,  <span class="MATH"><i>C</i>(<i>X</i>, <i>Y</i>, <i>U</i>)</span>, dépendant de l'état courant du système, <span class="MATH"><i>X</i></span>, des événements incontrÔlables, <span class="MATH"><i>Y</i></span>, et des commandes, <span class="MATH"><i>U</i></span> (figure <a href="fonde_module-8_Toc.html#Cont">1</a>). Le rÔle de cette équation, ajoutée au système initial, consiste à forcer la valeur de ceux-ci en restreignant, pour un état donné, le choix possible des valeurs des commandes admissibles. Les événements contrÔlables peuvent alors être vus comme des événements de sortie du contrÔleur (respectivement des événements d'entrée du système initial). <p>Différents types d'objectifs de contrÔle peuvent être considérés : assurer l'invariance, l'atteignabilité ou l'attractivité d'un ensemble d'états, etc. Les objectifs de contrÔle peuvent également traduire un critère qualitatif et non plus logique. Ils s'expriment alors comme des relations d'ordre ou comme un critère de minimisation sur une trajectoire bornée du système.</p> <p>Les différentes mises en oeuvre réalisées sont surtout axées sur l'intégration des différents algorithmes induits par les objectifs de contrÔle dans le système de calcul formel Sigali, mais sont également axés sur l'intégration de Sigali dans l'environnement Signal de manière à faciliter les preuves de programmes et la synthèse d'objectifs de commande.</p> </body>