d ia de

Alexandre Duret-Lutz

février 2009

http://www.lrde.epita.fr /~ad l/en s/m /200 9/

10fév (ADL) Introdution

17fév (AL) Diagrammesdedéision binaires (BDD)

3 mars (AL) Vériation CTL

10 mars(AH) Diagrammesdedéision hiérahiques(SDD)

17 mars(AH) TP surles SDD

24mars(ADL) Vériation LTL, automatesde Bühi

1 avril(ADL) Emptinessheks, ordre partiel

8 avril(AH) Lutteontre l'explosion ombinatoire

22 avril(ADL) Équité, automatesde Streett; introdution à Spin

29avril (AL) TP surSpin

1

Model heking,kézako?

Exemple : algorithme (foireux)d'exlusion mutuelle

2

Le temps

3

Les propositions atomiques

4

Les strutures de Kripke

Exemple lients/serveur par automates synhronisés

5

Équité

système

propriétés tests?

pas exhaustifs!

système

propriétés

modèledu système modèles des propriétés spéiation

modélisation

système

propriétés

modèledu système modèles des propriétés simulation?

pas exhaustive!

spéiation

modélisation

système

propriétés

modèledu système modèles des propriétés vériation

formelle

spéiation

modélisation

système

propriétés

modèledu système modèles des propriétés vériation

formelle

spéiation

modélisation synthèse

système

propriétés

modèledu système modèles des propriétés vériation

formelle

spéiation

modélisation synthèse

preuve de théorèmes model heking

1

Dérire lesystème sous uneformequi permette deraisonner.

2

Prouverles propriétés par dédutions logiques.

Peut être manuel, ou plusou moins automatisé.

Ilexiste des outils d'aide à l'automatisationdes preuves (p.ex. Coq)

mais rienn'est entièrement automatique.Diile d'obtenir un

ontre-exemplequand lethéorème est faux.

Lestravaux : développement de systèmesde preuves, étudedes

puissane d'expression des logiques, et.

Approhe automatique de lavériation formelle.

Vériation exhaustive de tousles omportements du modèle.

L'arnaque : lemodèledoit être susamment abstrait pourque son

explorationsoit réalisable.

Deux grandesapprohes :

ensembliste (symbolique)

automate(expliite)

Variables globales: req

P

et req

Q .

Proessus P (boule innie)

1.req

P

←

2.wait

(

=

)

3.setion ritique

4.req

P

←

Proessus Q (boule innie)

1.req

Q

←

2.wait

(

=

)

3.setion ritique

4.req

Q

←

Étatinitial : P

=

=

=

=

Propriétés à vérier :

1

Àtout moment il y a au plus un proessus en setion ritique.

2

Tout proessus demandantl'entrée ensetion ritique nit pary

entrer.

3

L'ordre des entrées dans lasetion ritiquerespete l'ordre des

demandes.

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

P

=

,

=

Q

=

,

=

P

=

,

P

=

Q

=

,

=

Àtout moment il y a au plus un proessus en setion ritique.

Tradution : dans auun état on n'a P

=

=

C'estvrai.

Pour vérier ette propriété il sut deparourir tout l'espae d'état

unefois. On n'a besoin deonnaître que l'ensemble des états, pas

leurs liens.

Tout proessus demandant l'entrée ensetion ritique nit par y

entrer.

Tradution : haque hemin débutantdans un état aessible tel que

P

=

=

=

=

C'estfaux.

L'état

P

=

,

=

Q

=

,

=

n'a auun suesseur ('est undeadlok).

Pour vérier ette propriété on a besoin de onnaître le graphe

d'aessibilité (les états seuls ne susent pas).

L'ordre des entrées dans lasetion ritique respete l'ordre des

demandes.

Tradution : haque hemin débutantdans un état aessible tel que

P

=

∧

=

=

unétat vériant P

=

C'estfaux.

Àpartir de

P

=

,

P

=

Q

=

,

=

il existe un hemin dans lequel P

=

jamais satisfait.

Mêmetype de vériationque la propriété 2.

(Lamport'77)

Sûreté Quelque hose de mauvaisne se produit pas.

Vivaité Quelque hose de bon se produira.

Équité Types partiuliers depropriétés devivaité.

Toute propriété estune onjontion d'unepropriété de sûreté et

d'unepropriété de vivaité.

(Lamport'77)

Sûreté Quelque hose de mauvaisne se produit pas.

À tout moment il n'y a qu'un proessus en setion

ritique.

Vivaité Quelque hose de bon se produira.

Tout proessus demandant l'entrée ensetion ritique

nit par y entrer.

Équité Types partiuliers depropriétés devivaité.

L'ordre des entrées dans la setion ritique respete

l'ordredes demandes.

Toute propriété estune onjontion d'unepropriété de sûreté et

d'unepropriété de vivaité.

Ations Une étape estune ation.

Un omportement est une séquene d'ations.

États Une étape estune paire

h

,

i

Un omportement est une séquene s

1

→

→

→ . . .

d'états.

Ations/États Une étape estun triplet

h

, α,

i

états,

α

Un omportement est une séquene s

1

α

→

→ ^α

→ ^α

. . .

d'états et d'ations.

Lesomportementspeuvent êtrenis ouinnis.

L'état nald'un omportement ni peut être appelé deadlok

selon qu'onl'aime oupas.

Certains omportements innis (qu'on n'aime pasnon plus) sontdit

divergents (livelok).

Mahine à états

Un ensemble d'états

Q

Q

transition

R ⊆ Q × Q

Mahine à ations/états

Un ensemble d'états

Q

Q

T

relation detransition

R ⊆ Q × T × Q

Mahine à états

Un ensemble d'états

Q

Q

transition

R ⊆ Q × Q

Détermininiste si

|Q

| =

∀(

,

) ∈ R, ∀(

^′ ,

^′ ) ∈ R,

=

^′ ⇐⇒

=

^′

Mahine à ations/états

Un ensemble d'états

Q

Q

T

relation detransition

R ⊆ Q × T × Q

Détermininiste si

|Q

| =

∀(

, α,

) ∈ R, ∀(

^′ , α ^′ ,

^′ ) ∈ R,

=

^′ ⇐⇒ (α,

) = (α ^′ ,

^′ )

Mahine à états

Un ensemble d'états

Q

Q

transition

R ⊆ Q × Q

Détermininiste si

|Q

| =

∀(

,

) ∈ R, ∀(

^′ ,

^′ ) ∈ R,

=

^′ ⇐⇒

=

^′

Mahine à ations/états

Un ensemble d'états

Q

Q

T

relation detransition

R ⊆ Q × T × Q

Détermininiste si

|Q

| =

∀(

, α,

) ∈ R, ∀(

^′ , α ^′ ,

^′ ) ∈ R,

=

^′ ⇐⇒ (α,

) = (α ^′ ,

^′ )

Q

T

R

Onpeut ajouter des onditions(de terminaison, d'aeptation,

d'équité,...) pour ltrer les omportements générés.

P.ex. :états terminauxpourn'avoir quedes omportementsnis.

Automates

Automateslassiques

Automatesàpile

Mahinesde Mealy

Mahinesde Moore

Mahinesde Turing (àune ou plusieursbandes)

Automatesde Bühi, de Streett,de Rabin, de Muller...

Automatesellulaires

Ordinateurs de vonNeumann

Algorithmes

GrammairesBNF

Algèbres de proessus

...

main() { int f = 1;

for (int i = 1; i <= 7; ++i) f = i * f;

std::out << f << std::endl;

}

main() { int f = 1;

for (int i = 7; 1 < i; --i) f = i * f;

std::out << f << std::endl;

}

int fat(int i)

{ return (i == 1)? 1 : i * fat(i-1); }

main() { std::out << fat(7) << std::endl; }

Quelest le programme leplus diérent des autres?

Commentdérire es programmes par une mahine à états?

Ilfaut hoisir e qui onstitue un pas d'exéution...

Est-que f = i * f représente 1, 2,3 pas ou plus?

Quelest le programme leplus diérent des autres?

Dupointde vuedes séquenesde multipliationeetuées :1 et

3sontidentiques.

2ne donne le mêmerésultatque pare que* est ommutatif.

Commentdérire es programmes par une mahine à états?

Ilfaut hoisir e qui onstitue un pas d'exéution...

Est-que f = i * f représente 1, 2,3 pas ou plus?

Tout dépenddu niveau d'abstration auquel on se plae.

Des erreurs dans lesprogrammes onurrents peuvent apparaître

sil'on onsidère que f = i * f représente 1 pas alors qu'il se

déompose enréalité enplusieurs.

Pour traduirele C orretement en mahinea états on a besoin

d'unesémantique opérationnelle du langage qui prenne aussien

ompte le modèle demémoire de lamahine.

q

0

q

1

q

2

q

3

α β

γ δ

ε

q

0

q

1

q

2

q

3

α β

γ δ

ε

q

0

q

1 q

2

q

3 q

3 q

0

q

1 q

2

q

3 q

3 q

0

α β

γ δ ε

α β

γ δ ε

α β

q

0

q

1

q

2

q

3

α β

γ δ

ε

q

0

q

1 q

2

q

3 q

3 q

0

q

1 q

2

q

3 q

3 q

0

α β

γ δ ε

α β

γ δ ε

α β

q

0

q

1

q

3

α γ

q

0

q

2

q

3

β δ

q

0

q

2

q

0

q

1

q

3

β ε α γ

q

0

q

2

q

0

q

2

q

3

β ε β δ

q

0

q

2

q

0

q

2

q

0

β ε β ε

· · ·

α

β

α

γ

α

β γ

Enlogiquearboresente, les deux arbresi-dessus sontgénéréspardeux

mahinesàétatsdiérentes. Enlogiquelinéaire, les omportements des

deuxmahinesne permettentpas de distinguerles mahines.(Ce problème

ne seposeque sil'ondéide de ne pas distinguerles états.)

α β

α

γ

Variables propositionelles valuées enfontions des propriétés

(observées) du système.

SiAP

= {

,

}

(observés) orrespondantaux minterms surAP : p

∧

∧ ¬

¬

∧

¬

∧ ¬

Variables propositionelles valuées enfontions des propriétés

(observées) du système.

SiAP

= {

,

}

(observés) orrespondantaux minterms surAP : p

∧

∧ ¬

¬

∧

¬

∧ ¬

2

AP

= {{

,

}, {

}, {

}, ∅}

Ilexiste une bijetionentre 2 AP

et l'ensemble des minterms sur AP :

{

,

} ↔

∧

{

} ↔

∧ ¬

¯

{

} ↔ ¬

∧

¯

∅ ↔ ¬

∧ ¬

¯ ¯

Ilexiste une relationentre 2 2

AP

et l'ensemble des formules

propositionnelles surAP. (Est-e une bijetion?)

SiAP

= {

,

,

}

AP

représentent les

formules suivantes?

¬

a

∨ ¬

a

∧ (

↔

)

SiAP

= {

,

,

}

AP

représentent les

formules suivantes?

¬

{{

,

}, {

}, {

}, ∅}

a

∨ ¬

{{

,

,

}, {

,

}, {

,

}, {

}, {

}, ∅}

a

∧ (

↔

)

{{

,

,

}, {

}}

Des mahinesà étatétiquetées par des valuations detoutes les

variables propositionelles.

Unestruture de Kripke estun quintuplet K

= h

, Q,

, δ,

i

AP estune ensemble ni depropositionsatomiques,

Q

q

0

∈ Q

δ : Q 7→

^Q

état,

l

: Q 7→

propositions atomiques satisfaites dans un état.

1 2 s

r

Client C

1

2 3

r

1

s

1

r

2

s

2

Serveur S

− ×

a

d

Canal B

Règles de synhronisationpourle système

h

,

,

,

,

,

,

i

(

) h

i

(

) h

i (

) h

i (

) h

i (

) h

, . , . , d , .

i (

) h

i (

) h

i (

) h

, . , a , . , .

i

Si unlient envoie unerequête, reevra-t-il forément une réponse?

111

− − −−

211

− − ×−

121

− − −×

212

− − −−

221

− − ××

123

− − −−

211

× − −−

222

− − −×

223

− − ×−

121

− × −−

221

× − −×

221

− × ×−

223

× − −−

222

− × −−

221

× × −−

q0

q1 q2

q3 q4 q5

q

6

q

7

q

8

q

9

q

10

q

11

q

12

q

13

q14

Onsouhaite exprimerdes propriétés onernant lesenvois et

réeptions demessages. AP

= {

,

,

,

}

r

1

:une réponse est en hemin entre le serveur et le premier

lient

r

2

: uneréponse estenhemin entreleserveur et leseondlient

d

1

:une requête (d pourdemande) est enhemin entre le

premier lient et leserveur

d

2

:une requête estenhemin entreleseond lient etleserveur

Commenttraduire Si un lient envoieune requête, il reevra

forément uneréponse ave es propositions atomiques?

Onsouhaite exprimerdes propriétés onernant lesenvois et

réeptions demessages. AP

= {

,

,

,

}

r

1

:une réponse est en hemin entre le serveur et le premier

lient

r

2

: uneréponse estenhemin entreleserveur et leseondlient

d

1

:une requête (d pourdemande) est enhemin entre le

premier lient et leserveur

d

2

:une requête estenhemin entreleseond lient etleserveur

Commenttraduire Si un lient envoieune requête, il reevra

forément uneréponse ave es propositions atomiques?

Pour tout i

∈ {

,

}

alorsdans tousses futurs

possibles il possèdeun suesseur qui vérie r

i .

¯

¯

¯

d

1

¯

d

2

¯

r1

¯

d1

¯

d2

¯

r1

¯

¯

d1d2

¯

r

1

¯

¯

d

1

¯

d

2

¯

¯

1 d

2

¯

¯

¯

d

1

¯

d

2

r1

¯

¯

d1

¯

d2

¯

r1

¯

¯

d1d2

¯

r1

¯

d1

¯

d2

¯

r1r2

¯

d1

¯

d2

r1

¯

¯

d

1 d

2

¯

r1r2

d

1

¯

d

2

r

1

¯

¯

d1

¯

d2

¯

r

1 r

2

¯

d1

¯

d2

r1r2

¯

d

1

¯

d

2 q0

q

1

q

2

q3 q4 q5

q6 q7 q8 q9

q

10

q

11

q12 q13

q14

Pour tout i

∈ {

,

}

possibles il possèdeun suesseur qui vérie r

i .

Onherhe un ontre-exemple, 'est-à-dire un hemin inni qui passe

pard

i

sans jamais passer par r

i

. Par symétrie onpeut se limiter à

i

=

Pour tout i

∈ {

,

}

possibles il possèdeun suesseur qui vérie r

i .

Onherhe un ontre-exemple, 'est-à-dire un hemin inni qui passe

pard

i

sans jamais passer par r

i

. Par symétrie onpeut se limiter à

i

=

Antiipons sur lesprohains ours... Le hemin qu'on voudrait

reonnaîtrepeut être reonnu par l'automate:

⊤

d

1

∧ ¬

¬

q

C

q

D

Oùles hemins reonnus doivent passer inniment souvent pardes

transitions .

q0

,

q1

,

q2

,

q3

,

,

q5

,

q6

,

,

q8

,

q9

,

q10

,

,

q12

,

,

q14

,

q0

,

q1

,

,

q3

,

q4

,

,

q6

,

q7

,

,

q9

,

q10

,

,

q12

,

,

q14

,

Surle produit on peut alors herher unyle étiqueté par et

aessible depuisl'état initial. C'est l'emptiness hek dans

l'approhe automate du model heking.

Autreapprohe omplètement diérente (symbolique) :

Ononstruit l'ensemble E

1

des états dela struture deKripke

qui vérient

¬

Ononstruit l'ensemble E

′

2

des états dela struture deKripke

quisont aessibleà partir deE

1

.On negardequeE

2

=

^′ ∩

Ononstruit l'ensemble E

′

3

des états dela struture deKripke

quisont aessibleà partir deE

2

.On negardequeE

3

=

^′ ∩

Onrépète jusqu'àe que E

n

=

−

= ∅

SiE

n

=

−

6= ∅

l'étatinitial (e qu'onpeut tester aussipar point xe), ona

trouvéun ontre-exemple.

Peut désigner deux hoses :

Unepropriété que l'onveut vérier

L'ordredesentréesdanslasetion ritiquerespetel'ordredes

demandes.

Unepropriété que l'onveut supposer pour ltrer les

omportements (onparle d'hypothèse d'équité)

Lesheduler est équitable:unproessusprêtàtravailler

travailleraaprès untempsd'attenteni... On doit ignorerles

omportement dumodèleoùça n'est pasle as.

Impartialité (unonditional fairness) Tous les proessus s'exéutent

un nombre innide fois.

Justie(weakfairness) Tout proessus qui peuttoujours s'exéuter à

partir d'unmoment s'exéutera inniment souvent.

Compassion(strong fairness) Tout proessus qui peut s'exéuter

inniment souvents'exéutera innimentsouvent.

q

0

q

1

q

a

q

b

A B

q

0

,

q

1

,

q

0

,

q

1

,

A

⊗

q

0

q

1

q

a

q

b

A B

q

0

,

q

1

,

q

0

,

q

1

,

A

⊗