Projet : EPATR - epatr

<body bgcolor="#FFFFFF" text="#000000" link="#9944EE" vlink= "#0000FF" alink="#00FF00">  <a name="CHILD_LINKS" id= "CHILD_LINKS"><strong>Sous-sections</strong></a> <ul> <li> <ul> <li><a name="tex2html439" href= "resul_module-19_mn.html#SECTION00064010000000000000" target="main" id="tex2html439"><small>Sigali : plate-forme de vérification basée sur les automates</small></a></li> <li><a name="tex2html440" href= "resul_module-19_mn.html#SECTION00064020000000000000" target="main" id="tex2html440"><small>Preuves co-inductives de systèmes réactifs</small></a></li> <li><a name="tex2html441" href= "resul_module-19_mn.html#SECTION00064030000000000000" target="main" id="tex2html441"><small>Calcul d'invariants de programmes flot de données synchrones</small></a></li> </ul> </li> </ul> <hr /> <h2><a name="SECTION00064000000000000000" id= "SECTION00064000000000000000">Vérification et validation</a></h2> <a name="EPATR_resultats_module-19" id= "EPATR_resultats_module-19"></a> <p><a name="prop-dyn" id="prop-dyn"></a></p> <p><br /> <br /> <span class="textbf">Participants :</span> Michaël Kerboeuf, Sylvain Kerjean, Michel Le Borgne, Paul Le Guernic, Hervé Marchand, Mirabelle Nebut, Sophie Pinchinat, Jean-Pierre Talpin.<br /> <br /></p> <p><strong>Mots clés :</strong> <i>vérification, Sigali, système dynamique polynomial, Signal, génération d'automate, bisimulation, méthode symbolique, calcul d'horloges, système logique, sémantique synchrone, Coq, co-induction, preuve de théorème .</i></p> <h3>Résumé :</h3> <div class="ABSTRACT"> <i>Dans le cadre de la vérification des programmes, nous avons défini différents types d'équivalences comportementales pour les systèmes dynamiques polynomiaux. Des algorithmes symboliques pour le calcul de bisimulations ont été proposés et implémentés dans Sigali. Nous avons d'autre part réalisé une étude de cas mettant en oeuvre conjointement un langage de programmation synchrone, Signal, et un assistant de preuve de théorèmes, Coq, en considérant le problème de la chaudière à vapeur (</i> steam boiler). Dans le cadre de la compilation des programmes, nous visons à améliorer significativement la synthèse du contrÔle des programmes Signal par la prise en compte des relations numériques. Pour cela, une exploitation de l'interprétation plus fine des définitions d'horloges a été réalisée. </div> <h4><a name="SECTION00064010000000000000" id= "SECTION00064010000000000000"></a> <a name="automates" id= "automates"></a><br /> Sigali : plate-forme de vérification basée sur les automates</h4><br /> Nous avons poursuivi le développement des méthodes de vérification basées sur les automates. L'approche est basée sur des modèles comportementaux <i>intensionnels</i> (encore appelés symboliques ou implicites), obtenus par abstraction booléenne à partir des spécifications en langage Signal. Nous nous sommes particulièrement intéressés à la notion d'abstraction d'automates [<a href= "bibliographie_Toc.html#pinchinat00a" target= "contents">27</a>] que ce soit <i>abstraction par fusion d'états</i> ou <i>abstraction par restriction</i>. Ces techniques d'abstraction ont été également utilisées dans le cadre de la synthèse de contrÔleurs [<a href= "bibliographie_Toc.html#marchand00a" target= "contents">25</a>] (voir section <a href= "resul_module-20_ct.html#synthese">6.5</a>). Actuellement, nous cherchons à intégrer les différents algorithmes de synthèse et de vérification dans la «plate-forme» Signal. Cette «<small>API</small>» permettra à terme de diffuser plus largement nos techniques de vérification et de synthèse de contrÔleur dans une philosophie «open», c-à-d. ouverte à d'autres langages de spécification. En particulier nous visons la généralisation de nos algorithmes pour qu'ils «acceptent» d'autres représentations internes que celle que nous utilisons (les «Ternary Decision Diagrams»), et souvent plus standards (e.g., des <em>packages</em> de «Binary Decision Diagrams»), toujours dans l'optique d'une plus large diffusion de nos méthodes. <h4><a name="SECTION00064020000000000000" id= "SECTION00064020000000000000"></a> <a name="co-induc" id= "co-induc"></a><br /> Preuves co-inductives de systèmes réactifs</h4><br /> L'intérêt de l'utilisation combinée de Signal et de l'assistant de preuve Coq pour la conception des systèmes réactifs a pu être illustré sur un exemple concret et non trivial : le problème du <em>steam boiler</em> [<a href= "bibliographie_Toc.html#kerboeuf00" target= "contents">21</a>]. Cette étude de cas a permis de révéler certains avantages de l'approche formelle Signal-Coq. En particulier, la spécification est indépendante de toute considération de vérification. Le langage logique sur lequel est fondé Coq (le calcul des constructions inductives) est bien plus expressif que la logique booléenne de la plupart des model-checkers. Ainsi, Coq permet de s'affranchir des contraintes portant sur les propriétés paramétrées ou portant sur des valeurs numériques non linéaires, auxquelles la vérification par model-checking est confrontée. En outre, l'utilisation de Coq permet d'acquérir une connaissance profonde de la spécification Signal et permet, à l'instar des contre-exemples fournis par un model-checker, de cibler précisément l'erreur en cas d'échec de la vérification. L'utilisation naturelle et intuitive de la co-induction confirme la pertinence du choix de cet outil pour modéliser les flots de données. <h4><a name="SECTION00064030000000000000" id= "SECTION00064030000000000000"></a> <a name="horloge" id= "horloge"></a><br /> Calcul d'invariants de programmes flot de données synchrones</h4><br /> Le calcul d'invariants de programmes utilisé dans la compilation de programmes Signal repose principalement sur une abstraction booléenne (statique) des programmes. Elle s'appuie sur une représentation symbolique des expressions booléennes d'horloges et conduit au calcul d'une hiérarchie de laquelle on pourra, par exemple, générer du code. Les techniques développées s'avèrent très efficaces, mais l'abstraction utilisée montre ses limites en particulier quand le contrÔle du programme dépend de conditions numériques. Afin d'apporter une solution à cette limitation on peut, en restant dans le cadre d'un système de résolution unique, introduire des règles d'inférence issues de propriétés de certains opérateurs (par exemple les propriétés d'une relation d'ordre comme cela a été fait dans le compilateur) ou élargir les domaines d'abstraction à des domaines finis (nous expérimentons actuellement un calcul d'intervalles). Une solution plus générale consiste à permettre d'adjoindre au calcul d'horloges un système de résolution sur des ensembles infinis et à gérer les interactions en conservant les bénéfices du calcul d'horloges (contrairement à l'approche de [<a href= "bibliographie_Toc.html#1999-sas-besson" target= "contents">BJT99</a>], qui traite les valeurs en encodant l'absence d'un signal par une valeur spéciale, mais ne tire pas parti de l'efficacité de la structure hiérarchique). <p>Pour ce faire, nous avons proposé une extension non triviale du langage des horloges qui permet de définir une logique de spécification dont l'expressivité est celle d'un programme Signal statique. Dans cette logique on peut énoncer des formules de la forme <span class= "MATH"><i>R</i>@<i>h</i></span> où <span class= "MATH"><i>R</i></span> est une formule du premier ordre, satisfaite sous la portée de l'horloge <span class= "MATH"><i>h</i></span>, e.g.,  <span class="MATH">(<i>y</i> <img width="12" height="22" align="middle" border="0" src="img28.png" alt="$ \geq$" /> 0)@<img width="10" height="12" align="bottom" border="0" src= "img29.png" alt="$ \hat{a}$" /></span> signifie que « <i>quand le signal <span class="MATH"><i>a</i></span> est là alors le signal <span class="MATH"><i>y</i></span> est (là et) positif</i>». La logique exprime plus généralement des inclusions entre horloges.</p> <p>L'étude de la logique est centrée autour de questions de décidabilité : actuellement nous disposons d'un système de déduction qui permet de montrer qu'une des horloges d'un programme donné est vide. Nous sommes en train d'établir la correction et la complétude de ce système. Une telle preuve passe par la construction d'un modèle canonique (hiérarchique) qui généralise le modèle utilisé pour la compilation, et qui devrait permettre de décrire une génération de code plus efficace que celle qui existe aujourd'hui. Nos résultats devraient pouvoir être étendus à une preuve de décidabilité d'un fragment important de la logique, voire de toute la logique, lorsque le langage des <span class="MATH"><i>R</i></span> est décidable.</p> <p>L'intérêt de nos travaux est augmenté par leur caractère très général : il nous semble tout à fait possible de traiter n'importe quel type de formule <span class= "MATH"><i>R</i>@<i>h</i></span> dès lors que les formules <span class="MATH"><i>R</i></span> appartiennent à une théorie décidable (e.g., l'arithmétique de Presburger) et que les termes <span class="MATH"><i>h</i></span> sont des éléments d'un treillis. Ainsi, nous pouvons voir nos algorithmes comme des méta-algorithmes «instanciables» par choix d'outils existants (e.g., l'outil O<small>MEGA</small> pour Presburger). Ce travail théorique important devrait déboucher sur un outil, sachant toutefois que les problèmes d'efficacité n'ont pas encore été abordés.</p> <p>Enfin, comme nous l'avons déjà indiqué, seules les propriétés statiques sont traitées. Il faudra enrichir la logique, par exemple en introduisant des modalités temporelles, pour prendre en compte des aspects dynamiques des programmes. Mais ce travail reste encore très prospectif, surtout si on sait que le traitement de valeurs dans un domaine infini (e.g., les entiers) conduit à des systèmes d'états infinis.</p> </body>