HAL Id: hal-02545591
https://hal.archives-ouvertes.fr/hal-02545591
Submitted on 17 Apr 2020
HAL is a multi-disciplinary open access
archive for the deposit and dissemination of
sci-entific research documents, whether they are
pub-lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.
L’archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d’enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.
résolution de contraintes
Fabrice Parrennes
To cite this version:
Fabrice Parrennes. Fraction : analyseur de propriétés par des techniques de résolution de contraintes.
[Rapport de recherche] lip6.2001.017, LIP6. 2001. �hal-02545591�
résolution de contraintes
Fabrice Parrennes
SURLOGS.A.VELIZYPLUS-BatE 1bis, ruedupetit-clamart
78140Velizy-Villacoublay Fabrice.Parrennes@surlog.com
LIP6,ThèmeSPI Fabrice.Parrennes@lip6.fr
19juin 2001
Résumé
Ce papierdécritfraction,un outildevéri cation depropriétés de programmeparutilisation de contraintes.L'utilisationdetechniquesliées auxcontraintespour véri erdespropriétés n'estpas véri-tablement nouvelle [11 , 12]. L'originalité del'approche exposée estd'avoir dé niune traduction d'un langagedestyleimpératifenunesériedesystèmesdecontraintes.Cesontlesalgorithmesderésolution de contraintesquipermettent devaliderounonles propriétés recherchées. Cettetraductionpasse par uneétapeintermédiaireoùl'onretrouvel'aspectfonctionneldesprogrammes.
L'utilisation dulangageObjective Caml apermisderéaliserfacilement unprototypedelaméthode dont l'architecture rappellecelled'uncompilateur. Ladé nition d'unsolveurdecontraintesmodulaire rendl'outilparamétrableparrapportàdesmodulesderésolutiondecontraintessurdesdomaines dié-rents(lesentiersetlesbooléensparexemple).
1 Introduction
Laproblématiquedelavéri cationdepropriétésd'unprogrammeinformatiquepeutserameneràvalider desprédicatssurl'ensembledesétatspossiblesduprogramme.Ilestassezfaciledevéri erqu'unepropriété estvraielorsqueleprogrammeinformatiqueestexécutédansunenvironnementparticulier.Ilsu td'évaluer le programme pour l'environnement spéci é puis de véri er la propriété sur le résultat de l'exécution du programme. La propriété n'est alors valide que sous l'hypothèse décrite par l'environnement dans lequel est évaluéleprogramme. Ilest nettement plusdi cile de véri erla propriétélorsque nous neconnaissons pasl'ensembledesvaleurspossiblesdesvariables(parexemplelorsquel'environnementd'exécutionassocie plusieursvaleursàune mêmevariable).
La véri cationde propriétéspeut sefairepar interprétation abstraite,c'est-à-direen donnantune vue abstraitedesdomainesdesdonnées.Uneinterprétationabstraiteintéressantepourlavalidationdepropriétés estdé nieendécoupantundomainededonnéesenintervalles[7].L'imagedesdiérentesopérationsréalisées parcesdonnéesest fournieparunesémantiqueabstraitebaséesurunesémantiqueconcrèted'évaluation.
Il reste alors à calculer sur ces intervalles. Un intervallepeut être représenté par une contrainte, une propriétéestainsireprésentéeparunsystèmedecontraintes.Ilfautalorsutiliserdesalgorithmesderéduction dedomaine,pourvéri erqu'unensembledecontraintesestsatis ableetainsiexhiberuneoul'ensembledes solutionsdelarésolution.
Uneapprochesemblableadéjàétéutiliséepourdéterminerdesjeuxdetestdeprogrammes[12]oupour véri erdesprogrammespar"modelchecking"aveccontraintes[11].
Ce papierprésenteun analyseurdepropriétés, appelé fraction,qui permet d'obtenirune abstraction sousformedecontraintesd'unprogrammeécritdansunlangageimpératif.L'abstractiondeceprogramme
passeparuneétapeintermédiaireoùestretrouvéel'aspectfonctionneldecelui-ci.Lessystèmesdecontraintes associésauprogrammededéparts'obtiennentpartraductiondecetaspectfonctionnelduprogramme.
Apartir dessystèmes de contraintes et des propriétés recherchées,unmodule derésolution permet de validerounonlesdiérentespropositions.Latechniquedetraductionpermet decalculerplus nementles diérentsdomainesdedonnéesassociésauxvariablescarlelangagedescontraintesest beaucoupplusriche quelasimpleabstractiondesdonnéesenintervalle.
L'outil fractiona été implémenté en utilisant lelangage Objective Caml[14, 18]. La dé nition de phasesdetraduction biendistinctesapermisl'implémentationd'une structuremodulaire prochedes dié-rentesphasesd'uncompilateur.Lamodularitéetlesfoncteursd'ObjectiveCamlontpermisd'obtenirun paramétragedumodule derésolutiondecontraintespardesmodulesspéci quesauxdomainesdecalcul.
Cetoutilfraction 1
estdestinéàétablirlacommunicationentrelesoutilsdéveloppésparSURLOGS.A., àsavoirAGFL r
2
etRCSPL r 3
.L'outil AGFL r permetd'obtenirunevisionfonctionnelled'unprogramme écritdansunlangagedestyleimpératif[3].L'outilRCSPL r estunoutilpermettantlaréalisationd'analyses desûretédulogicieldetypeAMDE[4 ].
Cetarticleprésentelaproblématique,latechniquedevéri cationparcontrainteset lapartierelativeau codage,danslelangageObjectiveCamldelaméthoded'analysedepropriétésparutilisationdetechniques decontraintes.
2 Présentation de la méthode 2.1 Présentation de la problématique
Nouscherchonsàdé nirune approximationdesprogrammessurdesdomainesdevaleurs,pourcelaun certainnombrededé nitions sontintroduites.
Soit Var un ensemble de variables et Val un ensemble de valeurs (les entiers, les booléens, les réels parexemple).P dénotel'ensembledesprogrammesd'un certainlangageL etQ représentel'ensembledes prédicatspossiblessurdesexpressionsdé niesàl'aidedesvariablesVaretdesopérateursdeL.
SoitEnvl'ensembledescouples(VarVal)(i:eEnv=}(VarVal))dé nissantlanotiond'environnement d'évaluationd'unprogrammeP etE[[P]]
e =e
0
lafonctionsémantiqued'évaluationd'unprogrammedontla signatureest: E:P !Env!Env E[[P]] e =e 0 signi equee 0
est l'environnementrésultantdel'évaluation deP danse. E
Q
:Q!Env!ftrue;falsegreprésenteune procédurededécisionpourl'ensembledesprédicatsQ. Véri erqu'unepropriétéQestvraieàlasuitedel'évaluationd'unprogrammeP dansunenvironnemente revientàvéri erque:
E[[P]] e =e 0 etE Q [[Q]] e 0 =true Véri erquelapropriétéQest toujoursvraie,c'estvéri erque:
8e2Env E[[P]] e =e 0 etE Q [[Q]] e 0 =true
2.1.1 Interprétation abstraitede programmes
L'interprétation abstraite de programmes permet de calculer des propriétés bien choisies sur des pro-grammesinformatiques[7,17].
Ondé nit uncertaindomaineabstraitVal ]
pourreprésenter l'ensembleVal desvaleurspossiblesd'une variable
4
etcedomaineest engénéralbienplussimplequece dernier 5
. 1
Cetravailfaitpartiedestravauxréalisésdanslecadred'unethèseCIFREentrelasociétéSURLOGS.A.etleLaboratoire d'InformatiquedeParis6 http ://www-spi.lip6.fr.
2
AGFL r :AnalyseurparGrapheFonctionnelduLogiciel. 3
RCSPL r RecherchedesCombinaisonsSigni cativesdePannesduLogiciel. 4
Ledomainedoitrespecter descritèresbienparticulierscommeceluid'êtreuntreilliscomplet[10]. 5
00 00 00 11 11 11 00 00 00 11 11 11 000 000 000 111 111 111 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 00000000000 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111 11111111111
Y { 0, 1 ,2 }
Z { 0, 1 ,2 }
X { 0, 1 ,2 }
>
=/=
<
Fig.1Unexempledecontraintestri-parties.
Pour cela, une certaine abstraction des valeurs concrètes versles valeurs abstraitesest dé nie sous la formed'unefonctiond'abstraction :Val!Val
] .
Lespropriétésetlesfonctionsd'évaluationsontaussiinterprétéessousuneformeabstraite.E ]
etE Q
]
dénotent les fonctions sémantiques d'évaluation abstraitedes programmes et des prédicats sur des environnements abstraitsEnv
] .
L'interprétationabstraiteP ]
d'unepropriétéP surValestcorrectesilavaliditédeP ]
surVal ]
implique lavaliditédeP surVal.
Le traitementdesconditionnelles s'eectue de lamanièresuivante : lecalcul est eectué pour lesdeux branchesdelaconditionnelleet unefusiondesdeuxrésultatss'eectuedemanièreàgarantirlavaliditéde lapropriétésurlesdeuxbranches.
Cettetechniquepermetdegénérerdesrésultatsvalidesquellequesoitl'exécutionpossibleduprogramme 6 (si aucuneinformation relativement àune variable n'est calculéealors sondomaine est l'ensemble des va-leurs possibles). Il est plusdi cile d'obtenir de l'information lorsqueles prédicats desprogrammes oudes conditionnelles sont de laforme x < y (parexemple si x =1::100 et y = 1::100on ne sait pas dire si la conditionestvraieoufausse).
Latechniqueparcontraintesutiliseuntraitementdiérentdesconditionnelles.L'ensembledesbranches possibles issues de l'exécution du programme est intégré dans le modèle fonctionnel. La traduction des contraintes s'eectuantsur ce modèlegarantitlavaliditédes prédicatssur lesexécutionspossiblesdu pro-gramme.
2.1.2 Programmationlogique par contraintes
Laprogrammationlogiqueest unparadigmedeprogrammationdontlesfondementsontétéposésdans ledébutdesannées1970.
La programmationlogique par contraintes intègredes domaines de calculs particuliers comme les do-maines réels,les domaines nisou lesformulesbooléennes (onétendle domainedediscours), pourdé nir sur cesensemblesune notionde contrainte représentéepardes clauses deHorn
7
. Résoudre unprogramme logique par contraintes c'est principalement résoudre les diérentes contraintes en utilisant des solveurs spéci quesauxdiérentsdomainesdedé nition [5,6,13,15].
Exemple de technique de résolution sur les entiers Les techniques de calcul de résolution de contraintes sur les domaines entiers peuvent être basées sur la notion d'arc consistance [15] : à chaque étapeducalcul,nous essayonsde véri erl'ensemble descontraintes, entraînantla réductiondesdomaines des diérentes variables sur lesquelles portent les contraintes. Soit l'exemple de la gure1 : nous voulons satisfaire pour lestrois variablesX;Y;Z (de domaine[0::2]) les inéquationssuivantes X 6=Y X <Z et Y >Z.Un exemplederésolutiondecetexempleestlesuivant:
Y 6=X Y >Z X <Z resultat Y =0 X =1;2 Z =; impossible Y =1 X =0;2 Z =0 X =; impossible Y =2 X =0;1 Z =0;1 X =0 X=0;Y =2;Z=1 6
Onparleaussid'analysestatiquedesprogrammes. 7
Sémantiquedeslangages Résolutiondecontraintes
uncomposantlogiciel unensembledesystèmesdecontraintessurles entrées/sortiesducomposant(1)
unenvironnementd'exécution un système de contraintes sur les entrées du logiciel(2)
analyseruncomposant résoudrelessystèmesdecontraintes(1)+(2) analyser deux composants logiciels en
sé-quence
fusionnerleurs systèmesde contraintes et ré-soudre
une propriété=unprédicat un système de contraintes sur les en-trées/sortiesdulogiciel
véri erune propriété fusionnerlessystèmeset lapropriétépuis ré-soudre
Tab.1Liensentreanalyseparcontrainteset sémantiquedelangage
Dans le système CLP(BNR) [5], les auteurs utilisent des approximations et créent desfonctions de rétré-cissementset d'élargissements(widening and narrowing) descontraintespourréduire,étapeparétape,les diérentsdomainesdevaleurs.
Soit C l'ensemble de toutes les contraintes basées sur les domaines Val et les variables Var. Soit S l'ensemble des systèmes decontraintes (ce sont des collections de contraintes C). SoitÆ: S ! S !S un opérateur defusion desystèmes de contraintes. Un systèmeS 2S est dit inconsistant ouinsatis able s'il contientunecontrainteC dedomainevide
8 .
L'utilisation de contraintes permet de pouvoir parler de l'expression X < Y lorsque X 2 [1::100] et Y 2[1::100]parl'ajoutdelacontrainteX <Y auxdeuxensemblesdevaleursdé nisparl'appartenancede X etY à[1::100].
Lepointprécédent,alliéauxtechniquesd'interprétationabstraitedeprogrammes,nousdonneleschéma global de l'analyse de propriétés par contraintes. Les opérateurs abstraits sont dans notre technique les opérationssurlessystèmesdecontraintes.
2.2 Méthode de la véri cation de propriétés par contraintes
A partirde notre problématiqueinitiale,nous essayonsd'établir des liensentre lasémantiquedes pro-grammesetl'utilisationdecontraintes,letableau1présenteunesynthèsedesopérationsquenousaimerions dé nir.
Nousessayonsdetirerpro tdescontraintespourinterpréter nementlesdiérentesexpressionsprésentes danslesprogrammes.C'estàdiredé niruneinterprétationdesprogrammespardessystèmesdecontraintes etutiliserlestechniquesderésolutionpourobtenirlaprocéduredevéri cationdespropriétés.
Uneméthode en quatrephasesa étédé nie pourtraduire et résoudredes propriétéspar utilisationde contraintes.
1. lectureduprogramme,véri cationdetypeetcalcul du otdesvariables; 2. modélisationduprogrammesouslaformed'unmodèlefonctionnel; 3. traductiondumodèlefonctionnelensystèmesdecontraintes;
4. compositiondessystèmesdecontraintesprécédentsetdespropriétésàvéri er.
La gure2,commentéeci-après,montreunexempledeprogrammeécritdansunlangagedetypepascal, ladeuxièmecolonneprésentelatraductionsousformedecontraintesdesfonctionnalitésduprogramme.
Lacontrainte X 2 D exprimée par rapport à une variable X représente le domaine de valeurD que peutprendrelavariableX.Fonctionnellement,l'exempledela gure2seramèneàtroiscasparticuliers:
lesprédicatsP etQsontvrais:lesvariablesaectéessontJ I,L 2et K K+1,
le prédicat P est vrai et le prédicat Q n'est pasvrai, les variables aectéessontJ I, L 3 et K K+1,
if (P = true) then begin J:= I; if (Q = true) then L := 2 else L := 3; K := K+1; end else K := K+2 Cas1 8 > > < > > : P 0 inftruegQ 0 inftrueg J 1 indom(I 0 )I 0 indom(J 1 ) L 1 inf2g K 1 indom(K 0 )+1K 0 indom(K 1 ) 1 Cas2 8 > > < > > : P 0 inftruegQ 0 in:ftrueg J 1 indom(I 0 )I 0 indom(J 1 ) L 1 inf3g K 1 indom(K 0 )+1K 0 indom(K 1 ) 1 Cas3 8 > > > > < > > > > : P 0 in:ftrueg J 1 indom(J 0 )J 0 indom(J 1 ) I 1 indom(I 0 )I 0 indom(I 1 ) L 1 indom(L 0 )L 0 indom(L 1 ) K 1 indom(K 0 )+2K 0 indom(K 1 ) 2
Fig.2Exemple deprogrammeetsystèmesdecontraintesassociés
leprédicatP n'estpasvrai:laseulevariableaectéeestK K+2.
Lessystèmesdecontraintesutilisésexprimentlesvaleursdesvariablesavantetaprèsleursaectations.Pour celaK
0 etK
1
représententlamêmevariableavantetaprèsl'évaluationduprogramme.Cettedistinctionest importantecariln'estpossiblededé nirledomained'unevariablequ'enfonctiondesesvaleursprécédentes
9 . A partirdecetexemplenouscherchonsàdéterminersi,àpartirdel'environnement
[hP;ftrue;falsegihQ;falseihK ;10ihI;INihJ;INihL;INi] ilest possibled'obtenir
[hK ;12ihL;10ihP;?ihQ;?ihI;?ihJ;?i] 10
Parrapportànosdé nitionsavant etaprèsdesvariables, cesdeuxassertionssetraduisentensystèmes decontraintesparS 1 =fK 0 in f10g; QinffalseggetS 2 =fK 1 in f12g; L 1
inf10gg(onremarqueraque seuleslesinformationspertinentesapparaissentdanslessystèmesdecontraintes).
Apartirdessystèmes decontraintesrelatifsànotrepropriété, lavaliditéde celle-ciseramèneàcalculersi unedestroiscompositions suivantesestpossible(ousatis able):
S 1 ÆCas1ÆS 2 ) Insatisfiable S 1 ÆCas2ÆS 2 ) Insatisfiable S 1 ÆCas3ÆS 2 ) Satisfiable
Laconclusiondelacomposition estquelapropriétévoulueestvalidesurlechemin3etquelasolutionest [hP 0 ;falseihQ 0 ;falseihK 0 ;10ihK 2 ;12ihL 0 ;10ihL 1 ;10i:::].
2.2.1 Traduction vers lemodèlefonctionnel
Latraductiondesprogrammesensystèmesdecontraintesnécessitel'obtentiond'uneformeintermédiaire appelée modèlefonctionnel.Ce modèleest constituéd'équationsoùchacuneexprimeune fonctionnalitédu programmeconsidéré(l'ensemble deséquationspourunprogrammereprésentesafonction caractéristique). L'intérêtdecemodèleestd'exprimeràplatlesrelationsentrelesdiérentesvariablesduprogrammesous laformed'unetransitionenuneétape:diérentesaectationsd'unemêmevariablesontpropagéesdansles équationspour neretenir quel'aectation naled'une variablepar rapport àunprédicat (éventuellement
9
Leproblèmeest identiqueà celui delacausalité dans les langages de otde donnéescommedans lucid-synchrone par exemplehttp ://www-spi.lip6.fr/pouze t/l ucid -syn chr one.
égalàvrai)dépendantdesexpressionsducomposantlogicielanalysé.
Pour lesbesoinsde la traductionversles systèmes de contraintes ce modèle fonctionnel est représenté par une forme équationnelle propre à l'outil fraction. Cette forme équationnelle correspond au modèle fonctionnel,résultatdel'utilisationdel'outilAGFL r,particulariséàlatraduction encontraintes.
Unetelle traductionestpossibleeneectuantdeuxtransformationsduprogrammeinitial:
les instructions d'un programme sonttraduites en une forme SSA pour n'avoir que des occurrences diérentesdesvariablesduprogramme[1,9];
les diérentes aectations des variables sont collectées à travers les fonctions de choix issues de la traduction desconditionnelles delaformeSSA.
Letableau2présente lemodèlefonctionneldel'exempledela gure2.
Cheminsfonctionnels conditionsurlesentrées Aectationsdessorties Cheminfonctionnel1 Q 0 =true J 1 :=I 0 P 0 =true L 1 :=2 K 1 :=K 0 +1 Cheminfonctionnel2 Q 0 <>true J 1 :=I 0 P 0 =true L 1 :=3 K 1 :=K 0 +1 cheminfonctionnel3 P 0 <>true J 1 :=J 0 L 1 :=L 0 K 1 :=K 0 +2
Tab.2Lesdiérentscheminsduprogrammedela gure2
2.2.2 Traduction vers laforme "contraintes"
Laforme"contraintes"de laforme équationnelleest obtenue àpartird'unetraduction desexpressions dulangage.Cette formeéquationnellepermet desedéfairedesdiérentes commandesdulangagede base. Il en résulte une série de relations entre variables exprimées simplement sous la forme de liens entre une pré-condition et diérentes aectations simultanées représentée sous laforme d'un chemin fonctionnel du programme.Uneconditionnécessairepourlatraductionverslescontraintesestnenepasavoird'occurrence del'opérateurNotet den'avoirquedesformesconjonctivesdanslesprédicatsd'équations(cettecondition permetd'obtenirdesapproximationsplus nesdesexpressions).
L'utilisationd'uneformeSSAàlabasedelatraductionnouspermetdes'assurerquedeuxvariablesportant lemêmenomsontbien liéesparunenotionavant-après.
Letableau3représenteune partiedelatraduction enterme decontraintes desexpressionsdelaforme équationnelle.Les systèmesdecontraintesde la gure2s'obtiennentparapplication desrèglesdutableau 3surlescheminsdutableau2.
2.2.3 Résolutiondes formes "contraintes"
Apartirdessystèmesdecontraintesprécédents,unalgorithmedetypearc-consistance[6,13,15]permet deréduireitérativementlessystèmesdecontraintes.
Si la composition des systèmesde contraintesissus du programme initialet dela propriété recherchéeest inconsistante alors la propriété n'est pas valide. Parcontre, l'interprétation des expressions étantréalisée demanièresupérieure (lorsdelatraductiond'un<parexemple),silarésolutionnousdonneunesolution, alorsiln'estpastoujourspossibled'a rmerquelapropriétéestvraieounon.
Expression Traductionencontraintes Remarques X =Y
X in Dom(Y) Y inDom(X)
Egalitédedeuxvariables X 6=Y
X in :Dom(Y) Y in:Dom(X)
Inégalitédedeuxvariables X Y
X in 1::Max(Y) Y inMin(X)::+1(X)
Inégalitédedeuxvariables X <Y
X in 1::(Max(Y) 1) Y in(Min(X)+1)::+1
Inégalitéstrictededeuxvariables X:=Y X inDom(Y) Aectation X:=Y+Z
X inDom(Y)+Dom(Z) Addition X:=Y-Z
X inDom(Y) Dom(Z) Soustraction X:=-Y
X in Dom(Y)
Opérationunaire
Tab.3Traductiondesexpressionsdeséquationsencontraintes
peutserameneràlierlesélémentssuivants: Val ] C Q ] S Env ] }(S) E ] Æ E Q ] Satis abilitédansS
3 Réalisation d'un prototype
Constraint
Module
Constraints
Translation
Properties
Resolution
Generic
Lattice
Generic
Environment
Generic
Semantic
Flow
Lattice
Type
Lattice
Equations
Translation
Variable
Fraction
Language
Constraint
Module Int
Constraint
Module Bool
Type
Environment
Flow
Environment
Type
Semantic
Flow
Semantic
Fig.3Lesdiérentsmodulesdel'analyseurfraction L'utilisationdulangageObjective Caml
11
etdesesmodulesapermisd'obtenirunoutilmodulaireoù il est possibled'ajouterrapidement denouveaux domainesde dé nition pourla résolution decontraintes. Leschémadela gure3présentel'architecturedesmodulesdel'analyseur.
Leprototypefraction abesoind'informations sur lesvariables présentes dans le programmeanalysé pour laphase de traduction versles contraintes. Il était intéressantde regrouperles techniques de calcul deces informationsdans unseulmodule souslaforme d'unesémantiquegénérique. Pour cela,l'utilisation desfoncteursde Objective Caml apermis dedé nirune architecturebaséesur lesvaleurspossiblesdes variables.Cesvaleurs(pouvantêtrediérentesselonl'analysedésirée)sontregroupéesdansunseulmodule treillis.
Ladé nitiond'unmodulegénéraldecontraintesfondéesurdessolveursdedomainesdiérents(Constraint module Intet constraint module Bool permet aussi une plus grande souplesse lorsde la résolution de contraintes.
3.1 Lecture et typage du programme
Lapremièrephasede latraduction verslescontraintes est delire et detyperles programmes. L'infor-mationdetypeestimportante carc'estellequi permet d'orienterlatraductionverslesdiérentsdomaines de résolution de contraintes.A partir d'un module de sémantique générique paramétré par un treillis de valeurs(voir[8])nouspouvonsévaluerlesdiérentstypesduprogrammeet calculerdel'informationsurles entrées/sortiesduprogramme.
3.1.1 Le modulede variable
LemoduleVariable_signature exprimelesopérationsnécessairesàlamanipulationdesvariablesd'un programme,sasignatureest lasuivante:
module type Variable_signature = sig
type var
val is_equal : var -> var -> bool val next_of_var : var -> var
val new_var : unit -> var ...
end
Ilestimportantdediérencierlesvariables àdroite et àgauchedesaectations,ouencoreen entréeet en sortiedeprogramme.Pourcelaladiérenceentreunevariablev etlavariablenext_of_var(v)résidedans lefaitquenext_of_var(v)désignelavaleursuivantedelavariablev
12 .
Implémentation L'implémentationdumoduleest eectuéeen dé nissantletypevarcommeuncouple (stringint).Ainsilafonctionnext_of_var (s,i)serésumeàrenvoyerlecouple(s;i+1).
3.1.2 Le modulede langage
Lemodule delangageparamétréparlemodule devariable(voir gure3) représentelelangagede base de notreapplication. Ce module est importé partouslescomposantsdel'analyseuret par lesmodules de traduction. Le type le plus important de ce module est le typeexpr car c'est celui qui est la base de la traductionencontraintes.Letypeexprpermetaussidedé nirdespropriétéssouslaformedeprédicatssur lesvariablesduprogramme(c'estnotrelangagedepropriété).
module type Language_fraction = sig
module V : Variable_signature type commands =
Skip
| Affect of (V.var * expr)
| Seq of (commands * commands) | While of (expr * commands) 12
| Ifthenelse_c of (expr * commands * commands) and expr =
Const of values | Ident of V.var
| Add of (expr * expr) | Sub of (expr * expr) | Equal of (expr * expr) | Inf of (expr * expr) | Or of (expr * expr) ...
and values = Int of int | Bool of bool
val fraction_true : expr val fraction_false : expr
val equationnal_simplification : expr -> expr val normalize_expr_not : expr -> expr
val commands_to_equations : commands -> (expr * ((V.var * expr) list)) list ...
Implémentation Le codage du module de langage est classique pourun langage destyleimpératif.La fonction commands_to_equationsimplémente la technique de traduction par l'intermédiaire d'une forme SSAdesprogrammesverslaformeéquationnelle.
3.1.3 Lemodulede sémantique générique
Le module de sémantique générique est basé sur une sémantique standard de type opérationnelle du langage de base [16]. Le typage du programme et la détermination du ux des variables s'eectuent par l'intermédiaire de ce module paramétré par un module treillis de valeurs et un module d'environnement abstrait.
L'évaluationduprogrammepouruntreillisdonnéest uneinterprétationabstraitesimpledesexpressionset descommandesdulangage[7, 8,17].
Le module générique des treillis Le module des treillisreprésente lesopérationsélémentaires surles éléments que nous voulons calculer. Il faut poser la traduction des valeurs de bases du langage dans le treillisdesvaleurs(ouencoreécrirelafonctiond'abstraction ),et donnerdeux fonctionsis_true_of_lat etis_false_of_latpourl'évaluationdesconditionnellesetdesboucles.L'intérêtdecesdeuxfonctionsest depouvoirvaliderounonunprédicat.Lorsquecelui-ciestindéterminablealorsnousutilisonslestechniques devaleurssupérieuresdansletreillispourgarantirlavaliditédesrésultats.
module type Lattice_algebra_signature = sig
module L : Language_fraction type lat
val bot : unit -> lat (* bottom value *) val top : unit -> lat (* top value *) val eq : lat->lat->bool (* egality test on lattice elements *) val leq : lat->lat->bool (* order function on lattice *) val lat_upper : lat -> lat -> lat (* upper bound *)
val val_of_constant : L.values -> lat
Bot
Top
Int
Bool
In Out
In
Out
Top
Bot
Init
Fig.4Letreillisdestypeset du otdedonnées
val lat_Add : lat -> lat -> lat val lat_Sub : lat -> lat -> lat val lat_Equal : lat -> lat -> lat ...
end
Le treillis des signes Le treillis des signes présenté dans la gure 4 permet de typer les variables présentes danslesexpressionset lescommandes.
Implémentation Voici unextraitdumodule implémentantletreillisdestypes.Lafonctiondevaleur supérieureutiliseletreillisdonnéàla gure4,lesopérationsarithmétiques etlogiquess'écrivent naturelle-mentselonletypededonnéeattendu.
module Lattice_algebra_signature_type (Lang : Language_fraction) : (Lattice_algebra_signature with module L = Lang) = struct
...
type lat = Bot | Int | Bool | Top let val_of_constant c = match c with Lang.Int _ -> Int | Lang.Bool _ -> Bool let lat_Add l1 l2 = match (l1,l2) with (Int,Int) -> Int | (Bot,Int) -> Int | (Int,Bot) -> Int | (Bot,Bot) -> Bot | (_,_) -> Top ... end
Letreillisdesentrées/sorties Lesentréesetsortiessontutiliséespourvéri erle uxentrediérentes parties deprogramme. L'ajoutd'unenotionde procédurepermet d'utiliser le ux pourlierlesvaleursdes variablesauxentréesdesprocédures:lesvariablessontnomméeset ilfautalorsmettreàjourlesnomsdes variablespourlaprocédureconsidérée.
pro-desavaleurenentrée.In_Outcorrespondàunevariablelueetécritedanslecorpsduprogramme.Initest unevaleurutiliséelorsque lavariableest simplementaectéedanslecorpsd'unprogramme.
Le module générique d'environnements A partirde ladé nition d'untreillisde valeurs,unenotion génériqued'environnementest dé nie.Elleassocie auxvariablesdesvaleursdutreillisparamètre.
module type Env_algebra_signature = sig
module V : Variable_signature
module Lat : Lattice_algebra_signature type env
val empty : unit -> env
val env_get : env -> V.var -> Lat.lat
val env_put : env -> V.var -> Lat.lat -> env val upper_env_put : env -> V.var -> Lat.lat -> env val upper_env : env -> env -> env
... end
Implémentation Uneliste(V.var * Lat.lat) listpermetd'utiliserlesfonctionsd'associationdu lan-gageObjectiveCaml.Onremarqueraquelafonctionupper_envpermetdefusionnerdeuxenvironnements parapplicationdel'opérateursupérieurdansletreillisdesvaleurslat.
L'environnementde otetdetypes'obtiennentenutilisantlemoduledetreillisdes ots,lemoduledetype etlemodule d'environnementgénériqued'environnement.
Le modulede sémantiquegénérique Le module desémantiquegénériqueseparamètrepartrois mo-dules : unmodule de langage Lang, un treillisde valeursLatticeet unenvironnement Env associantdes variables du langage Lang aux valeurs du treillis Lattice. A partirde la dé nition du langage, et d'une sémantiquedetypeopérationnelle[16],lesprogrammessontévaluésenutilisantlesopérationsdé niesdans letreillisLat.Lasignaturedumoduledesémantiquegénériqueestlasuivante:
module type Generic_forward_semantic_signature = sig
module Lang : Language_fraction
module Lattice : (Lattice_algebra_signature with module L = Lang) module Env : (Env_algebra_signature with module V = Lang.V
and module Lat = Lattice)
val generic_forward_expr : Env.env -> Lang.expr -> (Lattice.lat * Env.env) val generic_forward_commands : Lang.commands -> Env.env -> Env.env
end
Implémentation L'implémentationdumoduleestbaséesurunesémantiquestandarddulangage.La dé nitiondesfonctionsis_true_of_latetis_false_of_latdutreillisdesvaleursetlafonctionupper_env du module d'environnement permettentde s'assurer que lesrésultats obtenus sont valides quelle que soit l'évaluationduprogramme.
3.1.4 Formeéquationnelledu programme
Laformeéquationnelleduprogrammeestobtenueendeuxphasesderéécrituredescommandesdebase. Lafonctiondetraductionestprésentedanslemoduledelangagea ndenepasexporterlastructureinterne descommandes.
module type Language_fraction_equation_signature = sig
module Var : Variable_signature
module Lang : (Language_fraction with module V = Var) type recursive_affectation
and fraction_path
and fraction_path_program = fraction_path list val name_of_path : fraction_path -> string val precond_of_path : fraction_path -> Lang.expr
val affects_list_of_path : fraction_path -> (Var.var * Lang.expr) list val path_of_commands : Lang.commands -> fraction_path_program val normalize_path : fraction_path -> fraction_path_program
val normalized_path_of_program_path : fraction_path_program -> fraction_path_program ...
La forme équationnelle des programmes doit respecter certaines propriétés. Par exemple les expressions ne doivent pas contenir de construction not. Pour cela une série de règles de réécriture est utilisée pour normaliserlesexpressions(c'estlafonctionnormalize_expr_notdumoduledelangage[8]).
Letermechemin(path) désigneunefonctionnalitéduprogramme(c'estunebranchedel'arbre d'exécu-tiondu programme).Ilpeutexister desbranchesnon accessibles,pour celaune fonction denormalisation normalize_pathpermet deretirercesbranches(leprédicatest évaluépartiellement).
3.1.5 Traduction vers laforme "contraintes"
Apartirdelaformenormaleéquationnelle,unmodule detraductionverslessystèmesdecontraintesest dé ni.Ce module est basé surlatraduction d'une expressionarithmétiqueou logiquedulangage de base. L'utilisationd'uneformeatomiqueX inD decontraintes[6]permetd'exprimerdeséquationssouslaforme d'unecollectionde contraintes.Letableau 3présente desrèglesde traductiond'expressionsensystème de contraintes.
Ilest possibled'ajouterdesvariablesauxexpressionsa ndefaciliterlatraduction.Ainsil'expression(X+ 2)=(Y +3)peutseréécrireenU =(X+2);V =(Y +3);U =V.Cetteopérationestsemblableàunemise enformecode 3adresses desexpressions[1].
Lasignaturedumoduledetraductionutiliselemoduled'équationetlemodulederésolutiondecontraintes. module type Language_fraction_constraint =
sig
module Eqn : Language_fraction_equation_signature
module Const_module : (Constraint_signature_module with module Lang = Eqn.Lan g)
type fraction_store_path
and fraction_store_program = fraction_store_path list
val store_path_of_name_store : string -> Const_module.store -> fraction_store_path val store_of_store_path : fraction_store_path -> Const_module.store
val name_of_store_path : fraction_store_path -> string val store_of_path : Eqn.fraction_path -> Const_module.store ...
end
Apartirdestypesdesexpressions(obtenusàpartirdumoduledetypage),lessystèmesdecontraintessont générésparutilisationdelafonctiondetraductionprésentedanslemoduledecontraintes.
3.1.6 Le modulede contraintes
Le module de contraintes permet de regrouper dans une seule construction diérentes techniques de résolutionsurdesdomainesdiérents.Lasignaturedumoduledecontrainteestlasuivante:
sig
module Lang : Language_fraction
module Const_int : (Constraint_signature_type_int with module Var_int = Lang .V and module Lang_int = Lang)
module Const_bool : (Constraint_signature_type_bool with module Var_bool = La ng.V and module Lang_bool = Lang)
type contr type range type tdef type store ...
val store_from_int : Lang.expr -> store val store_from_bool : Lang.expr -> store ...
val tell : contr -> store -> store val fusionne : store -> store -> store val elim_store : store -> bool
... end
Implémentation L'implémentation du module de contraintes s'eectue en diérenciantles typesde contraintesutiliséseninternedanslemodule.Lorsdelarésolutionoulorsdelatraductionl'informationde typesurlescontraintespermet d'appelerlafonctioncorrespondantaudomainedé niparletype.
3.2 Conclusion sur l'implémentation du prototype
L'implémentation du prototype a été facilitée par l'utilisation des lexers et parsers fournis avec Ob-jective Caml.Le prototypefractionobtenu permetl'analyse deprogrammesimpératifsécritsdansun langageprochedulangagepascal.D'autresanalysesontétédé niesàpartirdumoduledesémantique géné-rique(commel'analyseparintervalles)etdiérentestechniquesderésolutiondecontraintesontétéutilisées parimplémentationdemodulesspéci quesderésolution.
Untravailencoursestd'augmenterlapuissanced'expressiondulangagedebasepourintégrerdes construc-tions"procédures"et"fonctions"ainsiqued'ajouterdestypesénuméréssurlesvariablesdesprogrammes.
4 Conclusion
Nousavonsprésentéuneméthodedevalidationdepropriétésparutilisationdetechniquesliéesàla réso-lutiondecontraintes.Cettetechniqueal'avantagedeseservirdelapuissancederésolutiondesalgorithmes de contraintes,et peut parl'intermédiaire d'unmodule contraintess'interfaceravecdes outilsexistantsde résolutiondecontraintes.
L'utilisationdulangageObjective Camlapermisdedé nirrapidementunearchitecturecompilateur de notre outil de véri cation depropriétés parcontraintes. La facilité pour les langages de lafamille ML de traiterlesstructures dedonnéesdé nies récursivementest unatout essentielpourl'implémentationdu prototype.Deplusl'utilisationdesmodulesdulangageapermisdeparamétrerlarésolutionetlatraduction desexpressionsverslessystèmesdecontraintes.
Laformeéquationnellepeutêtreétenduelorsquelelangagedebasecontientdesprocéduresoufonctions. Le programme est alors décomposé en diérents sous-programmes sur lesquels s'applique latechnique de traductionparcontraintes.Cettedécomposition permet deréduirelatailledelaformeéquationnelle(ilest plussimpledetraiterdeuxcheminssuivisdedeuxcheminsquequatrecheminssimultanément).
Latraductiondescontraintesn'aétéeectuéepourl'instantquepourunsousensembledulangagedebase necontenantpasdeconstruction(while). Unepistede rechercheestd'utiliser lestechniques semblablesà
ensortiedeboucle.Celapeutmodi erlestechniquesdecontraintesparajoutd'uneconstructionpoint xesur larésolutiondecontraintes.L'implémentationduprototypedevraalorsintégrercesdiérentesmodi cations parajoutdeconstructionsdanslelangagedeséquationsetlorsdelaphasederésolutiondecontraintes.
L'analyseuraétéutilisépourvaliderlespropriétésd'unrégulateurdevitesse[2].L'apportdescontraintes permetaussidemieuxcaractériserlesdiérentesopérationsréaliséesdansunsystèmelogicielparrapportà uneinterprétationparintervalledesdomainesdevaleurs.
L'intégrationde techniquesde contraintes dansl'outil RCSPL r permettraainsiune modélisation ne des composantslogiciels.L'apportdel'outilfractionestaussidedonneruneformenormaliséedesprogrammes, facilitantainsiletravaillorsdesanalysesdesûretédulogiciel.
Références
[1] Aho,A.,Sethi,R.,Ullman,JCompilersPrinciples,techniquesandtools.Addison-WesleyPublishing Compagny,Inc, 1986.
[2] Joanne M.Atlee and John Gannon, State-Based Model Checking of Event-Driven System Require-ment.IEEETransactiononSoftwareEngineering,1993.
[3] P. Ayrault T. Hardin M. Guesdon Méthodologie de développement d'un outil d'évaluation de la sûretédulogiciel en langageOCaml,JFLA2000.
[4] B.LeTrungM-C.Monégier duSorbier ,B.Soubiès, O.Elsensohn,Logiciels de sécurité,Veille technologique,1995.
[5] Frédéric. Benhamou, William J. Older,Applying Interval Arithmetic to Real, Integer, and Boolean Constraints, ournalofLogicProgramming,Volume32,1997.
[6] PhilippeCodognetandDanielDiaz,CompilingConstraintsinclp(FD).J.LogicProgramming,1996. [7] PatrickCousotandRadhiaCousot,Staticdeterminationofdynamic propertiesofprograms.
Procee-dingsoftheSecondInternationalSymposium onProgramming,1976.
[8] Patrick Cousot,The Calculational Design of aGeneric Abstract Interpreter. M. Broyand R. Stein-brüggen(eds.),CalculationalSystemDesignNATOASISeriesF.Amsterdam:IOSPress,1999. [9] RonCytron Jeanne Ferrante BarryK. Rosen MarkN. Wegman and F.Kenneth Zadeck,An e cient
methodofcomputingstaticsingleassignmentform.16thACMSymposiumonPrinciplesofProgramming Languages,1989.
[10] B.A.DaveyandH.A.Priestley,IntroductiontoLatticesandOrder.CambridgeMathematical Text-books,Cambridgeuniversitypress,1990.
[11] GiorgioDelzanno,AndreasPodelskiModel Checking inCLP.TACAS1999.
[12] Arnaud Gotlieb, Bernard Botella, Michel Rueher, Automatic Test Data Generation using ConstraintSolving Techniques.InternationalSymposiumonSoftwareTestingandAnalysis,1998. [13] JoxanJaffar andMichaelMaher,ConstraintLogic Programming: ASurvey.Journal ofLogic
Pro-gramming,1994.
[14] Xavier Leroy, The Objective Caml system (release 3.00) Documentation and user's manual. http ://caml.inria.fr/ocaml/htmlman2000.
[15] AlanK.Mackworth,ConsistencyinNetworksof Relations.Arti cialIntelligence,1977. [16] G.D. Plotkin,A structural approachtooperational semantics.AarhusUniversity,1981.
[17] DavidA.Schmidt,AbstractInterpretationofSmall-StepSemantics.5thLOMAPSWorkshopon Ana-lysisandVeri cationof Multiple-AgentLanguages,LNCS1192,1997.
[18] PierreWeiset XavierLeroy,Le langageCaml(2 e
