Safety Architecture Patterns : une introduction

Transcription

1 Safety Archtecture Pattern : une ntroducton P. Beber, C. Catel, C. Kehren, C. Segun ONERA-CERT, 2 av. E. Beln, B.P. 4025, 3055 Touloue Cedex {nom}@cert.fr Janver 2004 Réumé La concepton (ou le prototypage) et l analye d archtecture de ytème complexe ont ouvent dffcle du fat de leur talle. Notre expérence de modélaton en AltaRca de plueur ytème avon nou a perm de mettre en évdence un certan nombre d aemblage de compoant ayant pour but d aurer la ûreté de l archtecture. La réutlaton de ce aemblage, rendu générque et que l on appelle Safety Archtecture Pattern (SAP), permet de mplfer ce dfférente tâche. Nou montron, ur un ytème électrque de type Arbu, comment le SAP permettent d obtenr une vue plu ynthétque du ytème et d exhber le proprété atfate par le modèle. Introducton La complexté croante de ytème rend le analye de ûreté de plu en plu coûteue et dffcle. Ce analye ont captale car elle ont pour but de montrer la atfacton de exgence de ûreté défne dan le phae prélmnare afn de valder le archtecture développée. Le prncpaux objectf de notre étude ont de propoer de méthode et l atant la modélaton et l évaluaton de l archtecture de ûreté de fonctonnement de ytème complexe an que d'exhber le proprété atfate par un ytème afn de le comparer aux exgence fxée par le document de ûreté. Pour atfare ce objectf nou propoon une approche baée ur de modèle généraux d archtecture de ytème correpondant à de élément de ûreté (e.g. redondance). L utlaton de ce modèle généraux permettra un gan de temp lor de étude prélmnare de ûreté grâce à la réutlaton de oluton mature ue du avor-fare de expert. Cette étude entre dan le cadre du projet européen ESACS (Enhanced Safety Aement for Complex Sytem) qu a pour objectf de défnr une méthodologe pour l'améloraton de méthode d analye de ûreté de ytème complexe. Cette méthodologe era fondée ur l utlaton de langage formel de modélaton (e.g. Scade, Statemate, AltaRca) dan le but de mettre au pont un envronnement partagé, baé ur de l upportant cette méthodologe et qu era valdée par on applcaton à de ca d étude. Le ca d étude en queton ont deux ytème Arbu du type A320. T d abord le ytème hydraulque que nou avon modélé lor de la premère parte du proje pu le ytème électrque dan la econde parte. La modélaton de ce ytème nou a perm de mettre en évdence un certan nombre d archtecture de ûreté récurrente de ytème en ytème. En effe on retrouve faclement dan ce dfférente archtecture de aemblage de compoan dfférent d un ytème à l autre, ma dont l unque but et d aurer la ûreté du ytème. Ce ont ce archtecture de ûreté qu ont à l orgne de SAP. Dan la premère parte de cet artcle nou préenton le SAP, leur objectf an que leur défnton nformelle. Dan la econde parte nou préenteron le dfférent l que nou avon utlé et qu vont nou permettre de formaler le concept de SAP. Enfn, nou le applqueron à un modèle de crcut électrque modélé dan le langage AltaRca et préenteron le réultat obtenu. 2 Préentaton de Safety Archtecture Pattern Comme nou l avon vu dan l ntroducton, le afety pattern d archtecture ont de abtracton du modèle réel. Afn de le décrre et de le manpuler, deux formalaton ont été développée :

2 Une premère approche plu comportementale avec la créaton de SAP drectement dan le formalme AltaRca. Le comportement du compoant SAP an créé correpond à la proprété que l on ouhate vérfer. Une econde approche plu déclaratve va condérer drectement le hypothèe et le proprété vérfée en terme de formule de logque. Ce deux approche ont complémentare car dan certan ca le manque d nformaton ur le ytème ne permettra pa a modélaton détallée en AltaRca, l approche déclaratve era alor prvlégée. Ma avant te choe l et néceare de défnr le nveau d abtracton ouhaté (.e. leur contenu utle du pont de vue de la ûreté de fonctonnement). 2. Attrbut La concepton d une archtecture de ytème nécete la combnaon de plueur pattern. La conultaton d un catalogue regroupant dver type de pattern permet de mplfer cette concepton. Afn de faclter la compréhenon de la tructure d un tel catalogue de pattern l et néceare de ben déclarer chaque SAP, à l ade d attrbu afn d organer leur relaton en catégore. La clafcaton que nou avon choe npre de celle de Zmmer [Zm94]. Elle propoe tro catégore de relaton entre un pattern A et un pattern B : - A utle B dan a oluton - A et emblable à B - A peut être aocé à B Elle permet lor de la recherche d un pattern permettant la réoluton d un problème préc, de trouver la famlle de pattern propoant de oluton adaptée pour enute chor le pattern qu atfat le exgence. A partr du catalogue et de la clafcaton nou penon pouvor automater l ntancaton de SAP dan une archtecture concrète et leur détecton. Le caractértque permettant la clafcaton de SAP ont contenue dan le attrbut nformel cdeou. - L attrbut «Problème» permet de décrre le contexte dan lequel le pattern applque, le problème qu et poé - «Soluton» préce comment le pattern ré le problème poé - «Len» énumère le relaton éventuelle avec d autre SAP Attrbut nformel Problème Soluton Len avec d autre SAP Nom SAP Archtecture (compoant et nterface) Hypothèe Contexte ntal Attrbut formel Proprété AdDD aocé Fgure : Attrbut La econde parte de attrbut permet de formaler la oluton apportée par le SAP : - A : l archtecture du pattern : déclaraton de compoant et de nterface - C : le contexte ntal de compoant de l archtecture - H : le hypothèe qu ont pre. Pour la valdaton de la compoton de SAP nou avon cho de dtnguer le hypothèe reque par l envronnement H et celle dte de corp e 2

3 H c propre au SAP. L ntérêt et d explcter le exgence mportante pour la preuve et d allouer le reponablté. Cec nou permettra de mplfer la preuve globale. Enfn le contrat que remplt le pattern e tradut par : - un arbre dynamque aocé T menant à une condton de défallance (e.g. perte défntve de la foncton remple par le SAP). Cet arbre permet d exhber le cénaro qu mènent à la perte du pattern. - une ou plueur proprété globale P garante() ou le hypothèe A, ( H e, H c ) et C. 2.2 Exemple Nou allon mantenant préenter un exemple de SAP dan la formalaton déclaratve. Nou prendron comme exemple une redondance pave et uvron la «procédure» de déclaraton d un SAP défne précédemment. Ce SAP utle dan a oluton le pattern élémentare block. Nou commenceron donc par ntrodure uccnctement ce derner. La premère parte de la déclaraton concerne le attrbut nformel du pattern : - le nom du pattern élémentare et block - le pattern et élémentare par conéquent l n apporte pa de oluton drecte à une problème poé - block et élémentare et n a donc aucun len avec d autre pattern La econde parte concerne le attrbut formel : - le block poède : une entrée e, une actvaton a, une reource r et une défallance d. Il réale une foncton f (cf fgure 2). Te ce varable ont booléenne. - l hypothèe de corp du SAP et : H c : pour fonctonner, un compoant dot être actvé, poéder de la reource (e.g. pour une pompe hydraulque la reource correpondra à on almentaton électrque), avor quelque choe en entrée (e.g. du flude dan le ca de la pompe hydraulque) et ne pa être défallant. Nou pouvon mantenant préenter la redondance pave : - le nom du pattern et CoSSAP (Cold Spare SAP) - le problème poé et celu de la tolérance à la faute d une foncton - la oluton apportée et la duplcaton pave de cette foncton - CoSSAP utle block dan a oluton a r d a r d e e 2 C block block C 2 f f 2 f e C block f coap a 2 r 2 d 2 Fgure 2 : CoSSAP et Block 3

4 Le attrbut formel ont : - le CoSSAP et compoé de deux SAP élémentare appelé block. - c et une redondance pave par conéquen à l ntalaton, l actvaton du compoant (a ) et vrae et celle du compoant 2 (a 2 ) et faue. Nou choon d ntaler le reource et le entrée à et l n y a pa de défallance dan l état ntal. - le hypothèe de corp du SAP ont : H : chaque compoant du CoSSAP hérte du fonctonnement du pattern élémentare block c H c 2 : la foncton réalée par la redondance et toujour égale à la djoncton de foncton réalée par le deux compoant block qu le compoe H : le compoant prncpal de la redondance pave et actf l n et pa défallant c 3 H c 4 : la défallance du compoant prncpal entraîne l actvaton du compoant en redondance pave. - l hypothèe d envronnement et une hypothèe ur le reource : H : Le contrôle du compoant fat que l et actvé et non-défallant alor l reçot de la e reource - le len avec d autre SAP : CoSSAP utle block dan a oluton Sou ce hypothèe et cette archtecture le SAP garantt : - un arbre dynamque aocé T pour l événement «perte défntve du CoSSAP» - la proprété P atfate par le SAP : le SAP aure toujour a foncton lorqu l y a au plu défallance Nou préenteron la formalaton comportementale de ce SAP dan la ecton Utlaton de SAP Le prncpal objectf de pattern d archtecture et de captaler le oluton de expert dan le domane de la ûreté de fonctonnement. La réutlaton de ce oluton récurrente et mature va permettre un gan de temp en phae de concepton et d analye d archtecture de ytème. En effe le SAP poèdent de proprété pré-prouvée qu vont permettre de faclter le analye du ytème. Leur utlaton permet également d obtenr une vue ynthétque du ytème et d exhber le proprété atfate par le modèle pour une comparaon plu rapde avec le exgence contenue dan le document de ûreté. Le SAP peuvent être utlé dan le cadre de deux mon prncpale. T d abord lor de la concepton ûre d un ytème, le SAP permettent la créaton rapde de prototype drectement en foncton de exgence à tenr. Chaque SAP atfaant un enemble de proprété, le raffnement du modèle abtrat M a compoé de SAP permettra la créaton d enemble d archtecture concrète M c vérfant ce même proprété. L utlaton de SAP pour la concepton d archtecture et orentée «exgence». Modèle abtrat SAP PROPRIETES Proprété SAP 2 SAP 3 Proprété 2 SAP Proprété 3 4 raffnement raffnement Modèle concret C C 2 C 3 C 4 C 5 C 6 C 7 PROPRIETES C 8 C 9 Fgure 3 : Concepton d archtecture 4

5 La econde utlaton poble de SAP et la valdaton d archtecture. L objectf et de montrer qu une archtecture concrète vérfe ben un enemble d exgence. Une archtecture abtrate compoée de SAP et créée à partr de l archtecture concrète. Cette phae de reconnaance de pattern et pour l ntant réalée à la man, elle pourra être atée. En montrant qu l exte une relaton de raffnement entre M a et M c nou montron que le proprété atfate par M a ont également atfate par M c. Modèle concret C C 2 C 3 C 4 C 5 C 6 C 7 PROPRIETES C 8 C 9 abtracton abtracton Modèle abtrat SAP Proprété SAP 2 SAP 3 Proprété 2 SAP Proprété 3 4 PROPRIETES Fgure 4 : Valdaton d archtecture La valdaton de la ubttuton de l archtecture de ûreté par un SAP et réalée en calculant la relaton d équvalence de mulaton entre ce deux nœud. La relaton d équvalence de mulaton exprme l équvalence, baée ur la parte obervable, entre deux état d un ytème. La émantque AltaRca garantt la conervaton de la mlarté de modèle lor de la ubttuton de l archtecture de ûreté en queton par le SAP [AGPR00]. Il ufft de défnr une relaton d équvalence claque entre le événemen pu une autre concernant le varable obervable (cf bmulaton nterfacée [Po00]). Tou le modèle, abtrat et concre ont été réalé dan le formalme AltaRca. 3. Formalaton 3. Le langage AltaRca AltaRca et un langage formel adapté à la ûreté de fonctonnement créé par le Laboratore Bordela de Recherche en Informatque (LaBRI). Sa émantque et a yntaxe clarement défne lu permettent d être couplé à dfférent l de fablté et de valdaton comme Arala, Moca-RP ou encore de model-checkng comme Mec ou SMV. De plu, a capacté à réaler de modèle compotonnel et hérarchque lu permet de modéler de ytème complexe, clae à laquelle appartent le ytème électrque que nou avon modélé de part on grand nombre de reconfguraton poble. Enfn, AltaRca et un langage à la fo formel et graphque grâce à l ateler OCAS (Outl de Concepton et d Analye Sytème) développé par Daault Avaton. Comme précé précédemmen AltaRca hérarche le compoant condéré comme de nœud (node). Chaque compoant peut être décrt comme un automate à contrante A [Rau02], [PR99]. Il exte plueur varante d automate à contrante. Nou condéreron celle mplantée dan l l de Daault (au appelé automate de mode). Défnton : Sot V S, F un enemble fn de varable cndé en 3 catégore n, F Un automate à contrante et un 9 - uplet D et un enemble fn de contante appelé domane, ont de ou - enemble de A = D, S, F, F, dom, Σ, δ, σ, I S, F deux à deux djont. Le varable de appelée repectvement varable d' éta de fux d' entrée et de flux de orte, V n, F n : S, F n, F ont 5

6 dom: V 2 telle que v V, dom( v) et un enemble fn d' événement δ et une foncton partelle appelée tranton : dom( S) dom( F σ et une foncton totale appelée aerton : dom( S) dom( F Σ D I et une foncton partelle qu décrt le condton ntale. I σ. n n ) Σ dom( S) ) dom( F Chaque compoant poède donc un nombre fn de varable nterne dte d'état (tate), dont le valeur ont locale et olée de l'envronnement dan lequel elle e trouven et également un nombre fn de varable de flux (flow) qu font le len entre le compoant et on envronnement. Trè ouvent ce deux type de varable ont lé. Un pont mportant d'altarca et que le valeur de varable ont toujour dcrète ma peuvent être nfne. On y trouve également tro type de contante : le contante entère, énumérée et booléenne. Exemple : etat_yteme S, dom(etat_ytème) = {ok,pa_ok} varable de flux : entree F n Le relaton de dépendance entre l état du compoant et la valeur de e flux ont déclaré dan le aerton (aert). Il exte quatre forme poble d aerton : l égalté mple, le f-then-ele et le cae. Exemple 2 : Sot l aerton : «le ytème fonctonne alor la varable e prend comme valeur entree_capteur, non 0». La yntaxe AltaRca équvalente et la uvante : (f etat_yteme = ok then e = entree_capteur ele e = 0) ou encore : e = cae {etat_yteme = ok : entree_capteur ele 0} Le tranton de l automate à contrante ont de la forme: g e. La garde g, qu peut contenr l état nterne courant an que le valeur de varable de flux, défnt la confguraton dan laquelle la tranton peut être réalée l événement evt e produt. L effet e modfe la valeur de état la garde et vérfée et l événement e produt. Exemple 3 : Sot panne un événement. Sot la tranton : «le ytème fonctonne et qu une panne e produ le ytème ne fonctonne plu». La yntaxe AltaRca équvalente et : evt etat_yteme = ok - panne -> etat_yteme := pa_ok Enfn, nou défnon un état global w du ytème à l ntant de la manère uvante : Défnton 2 : w = v,... n n,... n m,... p,... e ytème avec : n - n = S, m = F, p = F, q = Σ e q ) et un état global du - v x, x [,..., n, n,..., nm,,..., p ] repréente une valeur de dom(x) aocée à chaque x V à l ntant. On notera également w ( x) = v x - v e bool ndque l événement e et préent à l ntant Le valeur fxée par le w dovent atfare le aerton,.e. - w = v,... n n,... n m,... p,... e eq 6

7 σ ( v,...,... ) = v,... n n nm Défnton 3 : Nou appelon trace (notée t) d un automate A une équence, fne ou non, d état globaux du ytème ( t = wow..., wn,...) compatble avec le condton ntale et la foncton de tranton δ de A,.e. - w 0 = v0,...0 v v v v v n 0n,..., 0n, m 0,..., 0, p 0,..., e 0 eq et : p - ( v,...,... ) = v v I 0 p 0 0 n 0n 0nm 0,..., - N, w = v,... n n,... n m,... p,... e et e q w + = v+, n n,... n m,... p,... e alor : eq e k Σ tel que δ v,... ( ) n n,... n m,... e,... = = v ek eq, n Donc dan l état w, l événement e k et préent donc d aprè δ la tranton et franchable et l effet et obervé dan w Logque Temporelle Lnéare (LTL) Une fo le modèle réalé en utlant le formalme AltaRca, l et ouhatable de le valder en vérfant que certane proprété ont atfate. Ce proprété pourront être du type : - te demande d arrêt d un réacteur dot fnr par être atfate Cette proprété trate de l apect dynamque du ytème que nou avon modélé. LTL [MP92], fragment de CTL * et logque de pécfcaton du model-checker SMV (Symbolc Model Verfer) [Ml99], permet de manpuler aément ce type de proprété dynamque. La yntaxe formelle de LTL et défne de la manère uvante : φ ψ :: = P P... (propoton atomque, dan notre ca elle ont de la forme v = c V,c D), 2 φ φ ψ φ ψ... (combnateur booléen) et Xφ Fφ Gφ φuψ (combnateur temporel) Nou nterpréton le formule de LTL ur le trace d un automate A. Dan notre cadre, une formule de LTL nterprète dan un état d une trace t. La émantque de LTL et alor la uvante : = v = c v V, c D, w ( v) = c = φ l n' et pa vra que = φ = φ ψ = φ et = ψ = Xφ < t et + = φ = Fφ j / j t et j = φ = Gφ j / j t, on a j = φ = φuψ j, j t / j = ψ et k / k < j, on a k = φ 7

8 3.3 BDMP : de arbre dynamque Un de no objectf étant de mplfer le analye de ûreté de ytème complexe, nou ouhaton aocer aux SAP un arbre de défallance dan le but de contrure l arbre global du ytème de manère compotonnelle. Cec ne rentrant pa dan le cadre de cet artcle, nou nou contenteron de préenter le formalme que nou avon retenu. L mpoblté d exploter de modèle dynamque par le arbre de défallance tatque et la trop grande généralté de modèle dynamque comme le réeaux de Pétr ont poué à développer un nouveau formalme combnant le avantage de ce deux technque t en ayant une puance de modélaton plu mportante. Ce nouveau formalme appelé Boolean logc Drven Markov Procee [Bou02] et baé ur l attrbuton d une nouvelle émantque aux porte utlée dan le arbre claque et en ajant un nouveau len appelé «gâchette» qu permet d ntrodure la noton d ordre d occurrence de défallance. Le BDMP poèdent de proprété mathématque ntéreante qu leur permettent une réducton mportante de la combnatore en ntroduant la noton d événement dt «pertnent» (e.g. ou une porte OU un eul événement et condéré comme pertnen une fo réalé le autre ne eront pa traté). De plu cette approche permet une analye qualtatve du ytème étudé en calculant le équence le plu probable d événement menant à un événement redé. On peut noter qu un BDMP an gâchette et équvalent à un arbre de défallance claque. 3.4 Retour ur l exemple de la redondance pave Nou allon mantenant revenr ur l exemple préenté dan la ecton 2 en formalant le hypothèe. Nou préenteron t d abord le SAP dan a formalaton déclaratve, pu comportementale. Nou ne revendron pa ur la parte de la déclaraton concernant le attrbut nformel du pattern. - l hypothèe de corp du pattern élémentare block et : H c : la foncton et réalée l entrée du compoan on actvaton et a reource ont vrae et l n et pa défallan cec e tradut par la formule LTL uvante : H c : G e ( a r d f ) - le hypothèe de corp du CoSSAP ont : H : le CoSSAP hérté de l hypothèe du block : c H c 2 : la orte du SAP et toujour égale à la djoncton de orte de deux block qu le compoe, cec e tradut en LTL par la formule : c 3 H c : G e ( a r d f ) H c 4 : la défallance du compoant entraîne l actvaton du compoant 2 - l hypothèe d envronnement et une hypothèe ur le reource : l actvaton et la nondéfallance mplque toujour la reource. - le len avec d autre SAP : CoSSAP utle block dan a oluton. Sou ce hypothèe et cette archtecture le SAP garantt que : - l arbre dynamque T aocé avec le formalme de BDMP et le uvant : ( f f f ) H c : G 2 2 H : la non-défallance du compoant mplque l actvaton du compoant H c 3 H c 4 H e : G ( d a ) : G d ( Xa ) 2 ( d r ) : G a 8

9 G g(g ) = 2 g(g 2 ) = G 2 G 3 g(g 3 ) = d a e r d 2 a 2 e 2 r 2 Fgure 5 : BDMP du CoSSAP * - la proprété atfate par le SAP : le SAP aure toujour a foncton lorqu l y a au plu défallance : ( ( d d )) G( f Xf ) P : G 2 Nou avon utlé le capacté du model-checker SMV pour démontrer : H,..., H, H e P. Dan la formalaton comportementale, le SAP et décrt ou la forme d un équpement AltaRca. Pour notre exemple, nou ne condèreron qu un block élémentare faant parte de la redondance pave. Dan le code c-deou, nou retrouvon la tructure claque d un nœud AltaRca avec e tranton et e aerton. Le block élémentare poède un état nterne qu prend comme valeur ok ou nok; l pae dan l état nok l e trouvat précédemment dan l état ok et ou l apparton de l événement fal_evt. Le aerton permettent d attrbuer une valeur aux flux de orte put en foncton de l état courant tate et de varable de flux d entrée comme npu e, r ou a. Dan cet exemple, nou pouvon dentfer l aerton f e and a and r and not(d) avec la formule de logque e a r d précédente an que le flux de orte f avec f. node block flow a : bool : n; r : bool : n; d : bool : local; e : bool : n; f : bool : ; up_nput_fal : bool : n; up_put_fal : bool : ; down_nput_fal : bool : n; down_put_fal : bool : ; tatu : bool : ; tate falure_propagaton : {fwd,bwd,fwd_bwd,none}; tate : {ok,nok}; event fal_evupdate; tran (tate = ok) - fal_evt -> tate := nok; (tate = ok) and (up_nput_fal or down_nput_fal) - update -> tate := nok; aert c c5 * g et une foncton qu défnt le type de la porte. Le porte d un arbre de défallance cohérent peuvent te e ramener à de porte k/n, par ute g et une applcaton de l enemble de porte G dan N * avec g() = le paramètre k de la porte. 9

10 d = (tate = nok), (f e and a and r and not(d) then f = true, ele f = fale), up_put_fal = (cae { ((tate_ = nok) and not(falure_propagaton = fwd) : true, ele fale}), down_put_fal = (cae { ((tate_ = nok) and not(falure_propagaton = bwd) : true, ele fale}), tatu = (tate = ok); nt falure_propagaton := fwd, tate := ok, edon A cette archtecture AltaRca retent à ajer l enemble de hypothèe externe H e et de proprété P précédemment décrte. Ce formule LTL pourront également être ntrodute ou forme d automate. 4 Exemple d applcaton ur un modèle de ytème électrque (A320) 4. Préentaton du ca d étude Le modèle du ytème électrque que nou avon réalé content envron 70 compoant : ource, contacteur, djoncteur, tranfo-redreeur, onduleur, barre d almentaton etc. Cette archtecture et compoée de 2 ource électrque prncpale (une ource par réacteur) et d une ource de ecour. Le deux ource prncpale ont en redondance actve, cette redondance étant elle-même en redondance pave avec la ource de ecour. L almentaton de barre électrque e fat à l ade de tro lgne de dtrbuton ndépendante nommée de, de2 et e. On dtngue également le barre «normale», dont la perte n et pa condérée comme catatrophque, de barre dte «eentelle» qu almentent le compoant crtque. 4.2 Utlaton de SAP En prenant comme exemple d utlaton de SAP la valdaton d une archtecture, nou avon ubttué le archtecture de ûreté du modèle électrque avec le pattern d archtecture correpondant. Comme précé dan la ecton 4., le couple de ource prncpale forme une redondance pave, la génératon électrque globale étant quand à elle une combnaon de SAP (combnaon de redondance actve et de redondance pave). La econde archtecture de ûreté que nou avon ubttuée concerne la dtrbuton électrque qu et trplquée. Prenon l exemple de la redondance pave conttuée par le deux ource prncpale. Avant de procéder à la ubttuton de cet élément d archtecture l et mpératf de vérfer la valdté de hypothèe du SAP ur l archtecture réelle et par conéquent d dentfer le varable du pattern avec celle de l archtecture réelle. Dan ce ca préc on dentfera la varable d du CoSSAP avec la djoncton de la défallance de la premère ource prncpale et la défallance du contacteur qu lu et aocé. L archtecture de ûreté du modèle concret et enute tradute en SMV, à l ade de la paerelle Alta2mv réalée à l ONERA, afn de vérfer que le hypothèe d envronnement et de corp ont tenue. S elle le on nou procédon au remplacement du morceau d archtecture teté par le SAP correpondant. Dan le ca contrare, un autre SAP dot être utlé. Cette procédure et enute recondute juqu à ubttuton de te le archtecture de ûreté du ytème. Le réultat et préenté ur la fgure c-deou. 0

11 Modèle concret Modèle SAP PROPRIETES PROPRIETES Fgure 6 :Modèle concret / modèle abtrat On peut noter que le barre de dtrbuton du modèle SAP de la fgure 6 auraent pu être remplacée par de block élémentare. Noton également la talle rédute du modèle réultant de cette ubttuton qu permettra d accélérer l analye (d autant que certane proprété ont déjà vérfée). 4.3 Performance Ce tet de performance a été réalé ur un enemble de proprété formalant quelque exgence. Nou ne préenteron c que le exgence concernant la perte de barre électrque. Le exgence concernant le barre électrque peuvent être mplfée comme ut : - La perte d une barre électrque dot être cauée par au mon une défallance - La perte de deux barre dot être cauée par au mon deux défallance Pour pouvor vérfer ce exgence un nœud jouant le rôle d obervateur an qu un compteur de défallance ont été ajé dan chacun de modèle AltaRca afn de teter la tenon en orte de barre électrque. Le orte de l obervateur ont le uvante : - bu_bar_ok et vrae lorque te le barre «normale» fournent de la tenon - ESS_bar_ok et vrae te le barre «eentelle» fournent de la tenon - DCde_DCde2_ok et vrae lorque la barre de courant contnu tuée ur la lgne de ou la barre de courant contnu tuée ur de2 fournt de la tenon - DCde_DCe_ok et vrae lorque la barre de courant contnu tuée ur la lgne de ou la barre de courant contnu tuée ur la lgne e fournt de la tenon - DCde2_DCe_ok et vrae lorque la barre de courant contnu tuée ur la lgne de2 ou la barre de courant contnu tuée ur la lgne e fournt de la tenon Idem pour le barre de courant alternatf : - ACde_ACde2_ok - ACde_ACe_ok - ACde2_ACe_ok Le exgence précédente ont été tradute en Logque Temporelle Lnéare. Celle concernant la perte d une barre ont été tradute de la façon uvante :

12 - G (upto_0_falure) G bu_bar_ok - G (upto_0_falure) G ESS_bar_ok La traducton de exgence qu concernent la perte de deux barre et : - G (upto falure) G F (ACde_ACde2_ok) - G (upto falure) G F (ACde_ACe_ok) - G (upto falure) G F (ACde2_ACe_ok - G (upto falure) G F (DCde_DCde2_ok) - G (upto falure) G F (DCde_DCe_ok) - G (upto falure) G F (DCde2_DCe_ok) L utlaton de l opérateur temporel F (fnally) et mpoée par le temp de reconfguraton néceare en ca de défallance d un compoant du ytème. Le réultat obtenu pour la vérfcaton de ce proprété avec l l SMV ont le uvant : Modèle concret Modèle SAP # Proprété TU NBA TU NBA ACde_ACe_ok, , ACde_ACde2_ok, , ACde2_ACe_ok, , DCde_DCe_ok, , DCde_DCde2_ok, , DCde2_DCe_ok, , ESS_bar_ok 0, , bu_bar_ok 0, , NBA TU Modèle concret Modèle SAP Modèle concret Modèle SAP TU : Temp Utlateur (en econde) ; NBA : Nœud Bdd Alloué Tableau : Performance 5 Concluon Comme nou venon de le vor, le ntérêt de SAP ont nombreux. Il permetten entre autre, de préenter une vue ynthétque de l archtecture du ytème. Sur notre exemple de crcut électrque l utlaton de SAP a entraîné une réducton de prè de 80% du nombre de compoant utlé. Le réultat de cet allègement (préenté dan le tableau c-deu) montrent qu re une von plu clare et fonctonnelle du ytème l permettent un gan de temp grâce à une réducton de la talle de BDD manpulé. Il permettent la vérfcaton de la tenue de exgence de ûreté ot en créant Ce performance ont unquement baé ur le modèle du ytème électrque et ne ont pa, par conéquen généralable. 2

13 drectement le modèle à l ade de SAP, ot en réalant la reconnaance de SAP dan un modèle extant. De plu l facltent la créaton rapde de nouvelle archtecture et favorent an le prototypage et donc la concepton d archtecture ûre. Il et mportant de noter l achèvement du vérfcateur de modèle AltaRca MecV [Vn03] développé au LaBRI et qu remplacera SMV dan no futur travaux. MecV va nou permettre de valder la ubttuton de l archtecture de ûreté par le SAP correpondant en calculant drectement leur relaton de mulaton. En effe le langage de pécfcaton propoé par MecV (µ-calcul de Park) et beaucoup plu expref que le logque temporelle comme LTL. Nou ouhaton déorma approfondr la formalaton de SAP, pu conttuer une bblothèque afn de pouvor ater leur reconnaance au en d un ytème. 6 Bblographe [APGR00] A. ARNOLD, G. POINT, A. GRIFFAULT, A. RAUZY The AltaRca formalm for decrbng concurrent ytem. Fundamenta Informatcae n 40, p09-24, 2000 [Bou02] M. BOUISSOU Boolean logc Drven Markov Procee : a powerful new formalm for pecfyng and olvng very large Markov model Probabltc Safety Aement and Management PSAM6, Puerto Rco, [Ml99] K.L. MacMILLAN The SMV language. Rapport nterne Cadence Berkeley Lab, 999 [MP92] Z. MANNA, A. PNUELI The temporal logc of reactve and concurrent ytem. Sprnger- Verlag, New-York, 992, ISBN [Po00] G. POINT Contrbuton à l unfcaton de méthode formelle et de la ûreté de fonctonnement. Thèe de l Unverté de Bordeaux I, 2000 [PR99] G. POINT, A. RAUZY AltaRca: contrant automata a a decrpton language. Journal Européen de Sytème Automaté n 33, p , [Rau02] A. RAUZY Mode automata and ther complaton nto fault tree. Relablty Engneerng and Sytem Safety, 2002 [Vn03] A. VINCENT Concepton et réalaton d un vérfcateur de modèle AltaRca. Thèe de l Unverté de Bordeaux I, 2003 [Zm94] W. ZIMMER Relatonhp between degn pattern