Master SAR SF 5I454. Nathalie Sznajder 1 Janvier 2015

Transcription

1 Vérification de systèmes Sécurité et Fiabilité Master SAR 5I454 1 nathalie.sznajder@lip6.fr Université Pierre et Marie Curie 1. Merci Mathieu Sassolas!

2 Plan du cours 2 / 30 1 Modélisation du temps 2 Le modèle des automates formelle 3 D autres modèles 4 d automates 5 Abstraction du temps par l automate des Motivation Construction des Construction de l automate des

3 Plan du cours 3 / 30 1 Modélisation du temps 2 Le modèle des automates formelle 3 D autres modèles 4 d automates 5 Abstraction du temps par l automate des Motivation Construction des Construction de l automate des

4 Besoin de modéliser le temps Les intervalles d Allen et les logiques temporelles donnent une spécification de l ordre dans lequel s effectue les actions. «Si j ai une requête, j aurai un jour une réponse.» On veut une spécification de la durée des actions. «Si j ai une requête, j aurai une réponse dans la minute.» 4 / 30

5 : la lumière à deux modes «Si j appuie sur le bouton la lumière s allume. Si j appuie deux fois (rapidement) sur le bouton, la lumière s allume plus fort. Si je rappuie sur le bouton, la lumière s éteint.» appui appui Bright Off appui appui On 5 / 30

6 : la lumière à deux modes «Si j appuie sur le bouton la lumière s allume. Si j appuie deux fois (rapidement) sur le bouton, la lumière s allume plus fort. Si je rappuie sur le bouton, la lumière s éteint.» appui appui Bright Ambiguïté! Off appui On appui Le temps n a pas été spécifié 5 / 30

7 Le temps discret On utilise une action spéciale tick. Ici tick marque l écoulement de 1 10 secondes. On modélise l appui «rapide» par deux appuis en moins d une seconde. Bright appui appui appui Off On 0 appui appui tick tick On 1... tick On 9 tick 6 / 30 appui On 10 tick

8 Le temps discret On utilise une action spéciale tick. Ici tick marque l écoulement de 1 10 secondes. On modélise l appui «rapide» par deux appuis en moins d une seconde. Bright appui appui appui Off On 0 appui appui tick tick On 1... tick On 9 tick 6 / 30 appui La taille du modèle croît avec la finesse du temps... On 10 tick

9 Le temps continu Le temps est modélisé par R 0. Il est donc arbitrairement précis. L exécution est contrainte par des constantes (dans N). Au sein du modèle, des horloges mesurent ce temps. appui Bright x 1, appui Off appui, x := 0 On x > 1, appui 7 / 30

10 Le temps continu Le temps est modélisé par R 0. Il est donc arbitrairement précis. L exécution est contrainte par des constantes (dans N). Au sein du modèle, des horloges mesurent ce temps. appui Bright x 1, appui Off appui, x := 0 On x > 1, appui Une exécution possible de ce système : 7 / 30 Off 0,42 Off appui On 0,197 On appui Bright 2,3 Bright appui Off...

11 Plan du cours 8 / 30 1 Modélisation du temps 2 Le modèle des automates formelle 3 D autres modèles 4 d automates 5 Abstraction du temps par l automate des Motivation Construction des Construction de l automate des

12 Syntaxe [Alur & Dill, 1990] Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; 9 / 30 q 0 q 1

13 Syntaxe [Alur & Dill, 1990] Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; d un ensemble fini d horloges X = {x, y, z,...} 9 / 30 q 0 q 1

14 Syntaxe [Alur & Dill, 1990] Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; d un ensemble fini d horloges X = {x, y, z,...} d un alphabet fini Σ = {a, b, c...} ; 9 / 30 q 0 q 1

15 Syntaxe [Alur & Dill, 1990] Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; d un ensemble fini d horloges X = {x, y, z,...} d un alphabet fini Σ = {a, b, c...} ; d un ensemble de transitions dont chacune est formée : 9 / 30 q 0 q 1

16 Syntaxe [Alur & Dill, 1990] Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; d un ensemble fini d horloges X = {x, y, z,...} d un alphabet fini Σ = {a, b, c...} ; d un ensemble de transitions dont chacune est formée : d une lettre de Σ ; a 9 / 30 q 0 q 1

17 Syntaxe [Alur & Dill, 1990] Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; d un ensemble fini d horloges X = {x, y, z,...} d un alphabet fini Σ = {a, b, c...} ; d un ensemble de transitions dont chacune est formée : d une lettre de Σ ; d une garde g : une condition sur les horloges : x X x c (c N, {>,, =,, <}) ; x 3 a 9 / 30 q 0 q 1

18 Syntaxe [Alur & Dill, 1990] Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; d un ensemble fini d horloges X = {x, y, z,...} d un alphabet fini Σ = {a, b, c...} ; d un ensemble de transitions dont chacune est formée : d une lettre de Σ ; d une garde g : une condition sur les horloges : x X x c (c N, {>,, =,, <}) ; de remises à zéro r : x := 0, y := 0,..., parfois noté comme le sous ensemble des horloges remises à zéro : {x, y...} ; 9 / 30 x 3 a q 0 y := 0 q 1

19 Syntaxe [Alur & Dill, 1990] Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; d un ensemble fini d horloges X = {x, y, z,...} d un alphabet fini Σ = {a, b, c...} ; d un ensemble de transitions dont chacune est formée : d une lettre de Σ ; d une garde g : une condition sur les horloges : x X x c (c N, {>,, =,, <}) ; de remises à zéro r : x := 0, y := 0,..., parfois noté comme le sous ensemble des horloges remises à zéro : {x, y...} ; d invariants Inv(q) dans les états (gardes) ; 9 / 30 q 0 z < 2 x 3 a y := 0 q 1 y < 1

20 Syntaxe [Alur & Dill, 1990] Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; d un ensemble fini d horloges X = {x, y, z,...} d un alphabet fini Σ = {a, b, c...} ; d un ensemble de transitions dont chacune est formée : d une lettre de Σ ; d une garde g : une condition sur les horloges : x X x c (c N, {>,, =,, <}) ; de remises à zéro r : x := 0, y := 0,..., parfois noté comme le sous ensemble des horloges remises à zéro : {x, y...} ; d invariants Inv(q) dans les états (gardes) ; d un état initial ; 9 / 30 q 0 z < 2 x 3 a y := 0 q 1 y < 1

21 Syntaxe [Alur & Dill, 1990] 9 / 30 Un automate temporisé (TA) est formé : d un ensemble fini d états Q ; d un ensemble fini d horloges X = {x, y, z,...} d un alphabet fini Σ = {a, b, c...} ; d un ensemble de transitions dont chacune est formée : d une lettre de Σ ; d une garde g : une condition sur les horloges : x X x c (c N, {>,, =,, <}) ; de remises à zéro r : x := 0, y := 0,..., parfois noté comme le sous ensemble des horloges remises à zéro : {x, y...} ; d invariants Inv(q) dans les états (gardes) ; d un état initial ; d états finaux ; x 3 a y := 0 q 0 z < 2 q 1 y < 1

22 Sémantique Une valuation est un élément de R X 0 càd une fonction qui associe à chaque horloge sa valeur : v(x) = 1, 2, v(y) = 3, 24, v(z) = / 30

23 Sémantique Une valuation est un élément de R X 0 càd une fonction qui associe à chaque horloge sa valeur : v(x) = 1, 2, v(y) = 3, 24, v(z) = 2. Une configuration est un élément de Q R X 0 càd un état et une valuation : ( q 0 ; ( 1, 2 ; 3, 24 ; 2 )). 10 / 30

24 Sémantique Une valuation est un élément de R X 0 càd une fonction qui associe à chaque horloge sa valeur : v(x) = 1, 2, v(y) = 3, 24, v(z) = 2. Une configuration est un élément de Q R X 0 càd un état et une valuation : ( q 0 ; ( 1, 2 ; 3, 24 ; 2 )). Une valuation satisfait une garde g si pour toute horloge x X et toute contrainte x c de g, v(x) c. On note alors v g. 10 / 30

25 Sémantique (suite) Pour d R 0, v + d est la valuation x v(x) + d. 11 / 30

26 Sémantique (suite) Pour d R 0, v + d est la valuation x v(x) + d. { 0 si x r Pour r X, v[r := 0] est la valuation x v(x) si x / r. 11 / 30

27 Sémantique (suite) Pour d R 0, v + d est la valuation x v(x) + d. { 0 si x r Pour r X, v[r := 0] est la valuation x v(x) si x / r. Un TA génère un système de transition temporisé infini : La configuration initiale est (q 0, 0) : état initial, valuation nulle. 11 / 30

28 Sémantique (suite) Pour d R 0, v + d est la valuation x v(x) + d. { 0 si x r Pour r X, v[r := 0] est la valuation x v(x) si x / r. Un TA génère un système de transition temporisé infini : La configuration initiale est (q 0, 0) : état initial, valuation nulle. Partant d une configuration (q, v), deux types de transition : 11 / 30

29 Sémantique (suite) Pour d R 0, v + d est la valuation x v(x) + d. { 0 si x r Pour r X, v[r := 0] est la valuation x v(x) si x / r. Un TA génère un système de transition temporisé infini : La configuration initiale est (q 0, 0) : état initial, valuation nulle. Partant d une configuration (q, v), deux types de transition : écoulement du temps : Pour d R 0, si v + d Inv(q) alors (q, v) d (q, v + d). 11 / 30

30 Sémantique (suite) Pour d R 0, v + d est la valuation x v(x) + d. { 0 si x r Pour r X, v[r := 0] est la valuation x v(x) si x / r. Un TA génère un système de transition temporisé infini : La configuration initiale est (q 0, 0) : état initial, valuation nulle. Partant d une configuration (q, v), deux types de transition : écoulement du temps : Pour d R 0, si v + d Inv(q) alors (q, v) d (q, v + d). transition discrète : Si q g,a,r q, v g et v[r := 0] Inv(q ), alors (q, v) a (q, v[r := 0]). 11 / 30

31 Sémantique (suite) Une exécution est un chemin dans le système de transition temporisé où alternent les pas de temps et les transitions discrètes. 12 / 30

32 Sémantique (suite) Une exécution est un chemin dans le système de transition temporisé où alternent les pas de temps et les transitions discrètes. (q 0 ; (0 ; 0)) 1,2 (q 0 ; (1, 2 ; 1, 2)) b (q 1 ; (0 ; 1, 2)) 0,37 (q 1 ; (0, 37 ; 1, 57)) a (q 1 ; (0 ; 1, 57)) / 30 x 2 b y 1 a x := 0 x := 0 q q 1 0 x 2

33 Sémantique (suite) Une exécution est un chemin dans le système de transition temporisé où alternent les pas de temps et les transitions discrètes. (q 0 ; (0 ; 0)) 1,2 (q 0 ; (1, 2 ; 1, 2)) b (q 1 ; (0 ; 1, 2)) 0,37 (q 1 ; (0, 37 ; 1, 57)) a (q 1 ; (0 ; 1, 57))... Une exécution génère un mot temporisé : une suite d actions couplées avec l instant auquel elle se produisent. (b ; 1, 2)(a ; 1, 57) / 30 x 2 b y 1 a x := 0 x := 0 q q 1 0 x 2

34 : un système de webmail L automate temporisé t = 600 d 13 / 30 idle t = 15 d t 3 b l t := 0 t = 15 d t = 15 d passwd 1 t 15 b t := 0 passwd 2 t 15 t 3 b t := 0 passwd 3 t 15 g t := 0 t 3 g t := 0 a t := 0 auth t 600 t 3 g t := 0 l = login entré, g = mot de passe correct, b = mot de passe incorrect, a = actions diverses, d = déconnexion.

35 : un système de webmail Une exécution Un premier essai de mot de passe infructueux, puis une action, avant d être déconnecté par timeout : (idle ; 0) 2,71 (idle ; 2, 71) l (passwd 1 ; 0) 12,34 (passwd 1 ; 12, 34)... b (passwd 2 ; 0) 5,73 (passwd 2 ; 5, 73) g (auth ; 0) 215,21... (auth ; 215, 21) a (auth ; 0) 600 (auth ; 600) d (idle ; 600) Le mot temporisé généré par cette exécution : (l ; 2, 71)(b ; 15, 05)(g ; 20, 78)(a ; 235, 99)(d ; 835, 99) 14 / 30

36 Plan du cours 15 / 30 1 Modélisation du temps 2 Le modèle des automates formelle 3 D autres modèles 4 d automates 5 Abstraction du temps par l automate des Motivation Construction des Construction de l automate des

37 Extensions possibles Les automates sont limités : Toutes les horloges ont la même vitesse. N autorise que des comparaisons simples et les remises à zéro. Modélise le temps, mais n est pas adaptable à la modélisation d autres modèles continus. 16 / 30

38 Extensions possibles 16 / 30 Les automates sont limités : Toutes les horloges ont la même vitesse. N autorise que des comparaisons simples et les remises à zéro. Modélise le temps, mais n est pas adaptable à la modélisation d autres modèles continus. On peut enrichir la définition des automates : en considérant des gardes plus complexes : n i=1 a ix i + b 0, en considérant des mises à jour au lieu de simples remises à zéro : x := n i=1 a ix i + b en considérant des variables dont l évolution est plus générale que les horloges. On définit les automates hybrides (HA) [Henzinger, 1996] : Les horloges sont remplacées par des variables. Dans chaque état, chaque variable varie linéairement : ẋ = 1 2. Les comparaisons peuvent faire intervenir des combinaisons linéaires de variables : x + 2y 3. Les mise à jour peuvent aussi être plus complexes : x := y 1 3.

39 d automate hybride : un chauffe-eau Un chauffe-eau est soit allumé soit éteint. La température de l eau est modélisée par la variable t. Elle croît de 15 C par minute lorsque le chauffe-eau est allumé (ṫ = 15), et décroît de 2 C par minute lorsque le chauffe-eau est éteint (ṫ = 2). Initialement, l eau est à 20 C, et elle doit être maintenue entre 80 et 100 C. t > 80, heatoff t := 20 on ṫ = 15 off ṫ = 2 t < / 30 t < 100, heaton

40 Comparaison des différents modèles Les automates hybrides sont plus expressifs : on peut modéliser plein de choses avec. On va jouer avec en TD et en TME avec HyTech. Par contre il est plus difficile (voire impossible) de vérifier des choses sur les automates hybrides. La vérification est possible sur les automates. En particulier le problème d accessibilité est décidable sur les TA mais pas sur les HA. 18 / 30

41 Plan du cours 19 / 30 1 Modélisation du temps 2 Le modèle des automates formelle 3 D autres modèles 4 d automates 5 Abstraction du temps par l automate des Motivation Construction des Construction de l automate des

42 Besoin de modélisation modulaire Des parties plus petites sont plus facilement modélisables par l homme. Modélisation de différentes parties par différents acteurs. Vérification plus simple de chaque modèle. Un processus de modélisation itératif. 20 / 30

43 Intuition Synchronisation sur certaines actions Les autres actions sont indépendantes les unes des autres Les horloges restent indépendentes 21 / 30

44 Si A 1 = Q 1, q i 1, Σ 1, X 1, 1, Inv 1 et A 2 = Q 2, q i 2, Σ 2, X 2, 2, Inv 2 sont des automates avec X 1 X 2 =, la synchronisation de A 1 et A 2 est l automate temporisé A 1 A 2 = Q, q i, Σ, X,, Inv où Q = Q 1 Q 2 q i = (q i 1, q i 2) Σ = Σ 1 Σ 2 X = X 1 X 2 Supposons que (q 1, g 1, a 1, r 1, q 1) 1 et (q 2, g 2, a 2, r 2, q 2) 2. si a 1 = a 2 = a Σ 1 Σ 2, on se synchronise : ((q 1, q 2), g 1 g 2, a, r 1 r 2, (q 1, q 2)) si a 1 Σ 1 \ Σ 2, seul A 1 évolue : ((q 1, q 2), g 1, a 1, r 1, (q 1, q 2)) si a 2 Σ 2 \ Σ 1, seul A 2 évolue : ((q 1, q 2), g 2, a 2, r 2, (q 1, q 2)) (q 1, q 2 ) Q 1 Q 2, Inv(q 1, q 2 ) = Inv 1 (q 1 ) Inv 2 (q 2 ) 22 / 30

45 originaux x = 1 2, c, x := 0 x 3, a, x := 0 A : p 2 p 0 p 1 x 3, b, x := 0 x = 1, c, x := 0 y 1, d, y := 0 y 2, c, y := 0 B : q 2 q 0 q 1 y 2, c, y := 0 y 1, d, y := 0 23 / 30 Synchronisation sur c.

46 x 3, b, x := 0 p 2, q 1 y 1, d, y := 0 x 3, a, x := 0 p 0, q 1 x = 1 2 y 2 c x := 0 y := 0 p 2, q 0 y 1, d, y := 0 p 1, q 1 x = 1 y 2 c x := 0 y := 0 y 1, d, y := 0 x 3, a, x := 0 p 0, q 0 x 3, b, x := 0 y 1, d, y := 0 x = 1 2 y 2 c x := 0 y := 0 y 1, d, y := 0 p 1, q 0 x = 1 y 2 c x := 0 y := 0 p 0, q 2 x 3, b, x := 0 y 1, d, y := 0 p 1, q 2 x 3, a, x := 0 24 / 30 p 2, q 2

47 Plan du cours Motivation Les L automate des 25 / 30 1 Modélisation du temps 2 Le modèle des automates formelle 3 D autres modèles 4 d automates 5 Abstraction du temps par l automate des Motivation Construction des Construction de l automate des

48 Accessibilité Motivation Les L automate des 26 / 30 Théorème ([Alur et Dill, 1990]) L accessibilité d un état de contrôle est décidable pour les automates. Procédure de décision. Donnée : un automate temporisé A = (X, Q, q 0,, Inv), avec domaine de temps R 0 et un état de contrôle q f T A = (S, s 0, E) système de transition infini associé à A configurations : (q, v) q Q, v R X 0 quotient K A automate des de A états : (q, [v]) q Q, [v] classe d équivalence pour une relation sur R X 0 Construction d un automate non temporisé K A tel que : A a une exécution qui atteint K A a une exécution qui atteint (q f, v f ) (q f, [v f ]).

49 Construction d une relation quotient Motivation Les L automate des (Équivalence des ) La relation que l on veut construire a les propriétés suivantes : Pour deux valuations équivalentes v v 1. si une transition d action q g,a,r q est possible depuis v, alors la même transition est possible depuis v et les valuations obtenues v[r 0] et v [r 0] sont équivalentes, 2. si une transition de délai d est possible depuis v, alors une transition de délai d est possible depuis v et les valuations obtenues v + d et v + d sont équivalentes. 27 / 30

50 Construction d une relation quotient Motivation Les L automate des 27 / 30 (Équivalence des ) La relation que l on veut construire a les propriétés suivantes : Pour deux valuations équivalentes v v 1. si une transition d action q g,a,r q est possible depuis v, alors la même transition est possible depuis v et les valuations obtenues v[r 0] et v [r 0] sont équivalentes, 2. si une transition de délai d est possible depuis v, alors une transition de délai d est possible depuis v et les valuations obtenues v + d et v + d sont équivalentes. Remarque Pour la première condition, il suffit de considérer les contraintes x k, pour les horloges de X et les constantes 0 k m, où m est la plus grande constante apparaissant dans les contraintes de A.

51 Vue géométrique (avec deux horloges x et y, pour m = 2) y 2 1 Motivation Les L automate des x 28 / 30

52 Vue géométrique (avec deux horloges x et y, pour m = 2) y 2 Motivation Les L automate des x Compatibilité de valuations équivalentes avec les contraintes x, y k. 28 / 30

53 Vue géométrique (avec deux horloges x et y, pour m = 2) y 2 Motivation Les L automate des x Compatibilité de valuations équivalentes avec les contraintes x, y k. 28 / 30

54 Vue géométrique (avec deux horloges x et y, pour m = 2) y 2 Motivation Les L automate des x Compatibilité de valuations équivalentes avec les contraintes x, y k. 28 / 30

55 Vue géométrique (avec deux horloges x et y, pour m = 2) y 2 Motivation Les L automate des 28 / x Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

56 Vue géométrique (avec deux horloges x et y, pour m = 2) y 2 Motivation Les L automate des 28 / x Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

57 Vue géométrique Motivation Les L automate des 28 / 30 (avec deux horloges x et y, pour m = 2) y 2 1 R Région R définie par : I x =]0; 1[, I y =]1; 2[, frac(x) > frac(y) x Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

58 Vue géométrique Motivation Les L automate des 28 / 30 (avec deux horloges x et y, pour m = 2) y 2 1 R Région R définie par : I x =]0; 1[, I y =]1; 2[, frac(x) > frac(y). Successeur direct de R pour le temps : I x = [1; 1], I y =]1; 2[ x Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

59 Vue géométrique Motivation Les L automate des 28 / 30 (avec deux horloges x et y, pour m = 2) y 2 1 R Région R définie par : I x =]0; 1[, I y =]1; 2[, frac(x) > frac(y). Successeur direct de R pour le temps : I x = [1; 1], I y =]1; 2[. Successeurs de R pour le temps x Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

60 Vue géométrique Motivation Les L automate des 28 / 30 (avec deux horloges x et y, pour m = 2) y 2 1 R Région R définie par : I x =]0; 1[, I y =]1; 2[, frac(x) > frac(y). Successeur direct de R pour le temps : I x = [1; 1], I y =]1; 2[. Successeurs de R pour le temps x Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

61 Vue géométrique Motivation Les L automate des 28 / 30 (avec deux horloges x et y, pour m = 2) y 2 1 R Région R définie par : I x =]0; 1[, I y =]1; 2[, frac(x) > frac(y). Successeur direct de R pour le temps : I x = [1; 1], I y =]1; 2[. Successeurs de R pour le temps x Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

62 Vue géométrique Motivation Les L automate des 28 / 30 (avec deux horloges x et y, pour m = 2) y 2 1 R Région R définie par : I x =]0; 1[, I y =]1; 2[, frac(x) > frac(y). Successeur direct de R pour le temps : I x = [1; 1], I y =]1; 2[. Successeurs de R pour le temps x Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

63 Vue géométrique Motivation Les L automate des 28 / 30 (avec deux horloges x et y, pour m = 2) y 2 1 R Région R définie par : I x =]0; 1[, I y =]1; 2[, frac(x) > frac(y). Successeur direct de R pour le temps : I x = [1; 1], I y =]1; 2[. Successeurs de R pour le temps x Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

64 Vue géométrique Motivation Les L automate des 28 / 30 (avec deux horloges x et y, pour m = 2) y 2 1 R Région R définie par : I x =]0; 1[, I y =]1; 2[, frac(x) > frac(y). Successeur direct de R pour le temps : I x = [1; 1], I y =]1; 2[. Successeurs de R pour le temps Successeur de R pour une action ayant une mise à zéro y := 0 : x I x =]0; 1[, I y = [0; 0] Compatibilité de valuations équivalentes avec les contraintes x, y k. Compatibilité de valuations équivalentes avec l écoulement du temps.

65 Construction de l automate Motivation Les L automate des Automate des K A pour l automate temporisé A = (X, Q, q 0,, Inv), avec constante maximale m, quotient R X 0 / noté R X,m. états Q R X,M transitions : (q, R) a (q, R ) s il existe une transition q g,a,r q de A, R région telle que R successeur de R, avec R = g et R = R [r 0] 29 / 30

66 Construction de l automate Motivation Les L automate des Automate des K A pour l automate temporisé A = (X, Q, q 0,, Inv), avec constante maximale m, quotient R X 0 / noté R X,m. états Q R X,M transitions : (q, R) a (q, R ) s il existe une transition q g,a,r q de A, R région telle que R successeur de R, avec R = g et R = R [r 0] Remarque La taille de R X,m est en O ( X! m X ), à multiplier par Q. 29 / 30

67 Construction des configurations accessibles q 0 x 1 x 1, a, y := 0 q 1 x 1 x 1, y = 0, b q 2 Motivation Les L automate des y 1 30 / x

68 Construction des configurations accessibles q 0 x 1 x 1, a, y := 0 q 1 x 1 x 1, y = 0, b q 2 q 0 Motivation Les L automate des y 1 30 / x

69 Construction des configurations accessibles q 0 x 1 x 1, a, y := 0 q 1 x 1 x 1, y = 0, b q 2 q 0 Motivation Les L automate des q 0 y 1 q 0 30 / x

70 Construction des configurations accessibles q 0 x 1 x 1, a, y := 0 q 1 x 1 x 1, y = 0, b q 2 q 0 a q 1 Motivation Les L automate des q 0 a q 1 y 1 q 0 a q 1 30 / x

71 Construction des configurations accessibles q 0 x 1 x 1, a, y := 0 q 1 x 1 x 1, y = 0, b q 2 q 0 a q 1 q 1 Motivation Les L automate des q 0 a q 1 q 1 y 1 q 0 a q 1 b q 2 30 / x

72 Construction des configurations accessibles q 0 x 1 x 1, a, y := 0 q 1 x 1 x 1, y = 0, b q 2 q 0 a q 1 q 1 q 1 Motivation Les L automate des q 0 a q 1 q 1 q 1 y 1 30 / 30 q 0 a q 1 b q x