Logiques temporelles (chapitre 5 référence 2) INF6603 Logiques temporelles 1

Transcription

1 Logiques temporelles (chapitre 5 référence 2) INF6603 Logiques temporelles 1

2 Logiques temporelles Introduction Opérateurs temporels & quantificateurs de chemin Logiques temporelles linéaires LTL, MTL et TLTL Logiques temporelles arborescentes CTL, ITCTL et TCTL LTL et CTL comparables? Logique temporelle CTL* Quelques propriétés classiques Fair-CTL INF6603 Logiques temporelles 2

3 Introduction L étape qui suit la modélisation, dans le processus de vérification d un système, est la spécification des propriétés attendues du système. Sachant que le système a un comportement dynamique (ensemble d évolutions), il faut un formalisme qui permet d exprimer comment les propriétés doivent se succéder au cours de l évolution du système (propriétés dynamiques). Exemples de propriétés attendues : Le système n atteindra jamais des situations d interblocage. Le système est réinitialisable. Toute demande de service reçue par le système est suivie dans le futur d une réponse. INF6603 Logiques temporelles 3

4 Introduction far exit approach near reset(y) y 5 y> 2: in enter y 5 0 raise 3 z 1 approach reset(z) exit reset(z) 1 z 1 2 z =1 lower up true x 1 going up x 2 lower reset(x ) raise reset(x ) coming down x 1 down true Train Controller La barrière est fermée lorsque le train traverse la route? Pas d interblocage? Reinitialisable? INF6603 Logiques temporelles 4

5 Introduction Pour répondre à ce besoin, la logique classique a été complétée pour pouvoir exprimer ce caractère dynamique => logiques modales. Parmi les nombreuses logiques modales, les logiques temporelles sont largement utilisées dans les techniques de model-checking : les logiques temporelles linéaires propositionnelles (LTL, MTL, TLTL), les logiques temporelles arborescentes (CTL, CTL*, ITCTL, TCTL), etc. D une manière générale, les logiques temporelles utilisent : des propositions qui qualifient les états (formules combinant des propositions atomiques sur les états et des connecteurs logiques classiques comme la conjonction et la négation), des opérateurs temporels qui permettent d exprimer des propriétés sur des enchaînements d états appelés exécutions (chemins) et, éventuellement, des quantificateurs de chemin (pour chaque chemin d exécution ou il existe un chemin d exécution). INF6603 Logiques temporelles 5

6 Introduction Dans les logiques temporelles linéaires LTL (Linear Temporal Logics) et ses extensions temporisées, les quantificateurs de chemin ne sont pas permis. è LTL est proposée par A. Pnueli en 1977, dans le but de vérifier des programmes informatiques. Les logiques temporelles arborescentes CTL (Computation Tree Logic) et ses extensions temporisées imposent que tout operateur temporel soit combiné avec un quantificateur de chemin. è CTL est proposée par E. M. Clarke et A. Emerson en La logique CTL*, proposée par A. Emerson et J. Y. Halpern en 1986, n impose pas restriction. CTL* est cependant beaucoup moins utilisée que LTL et CTL ( wiki/list_of_model_checking_tools). INF6603 Logiques temporelles 6

7 Opérateurs temporels Toutes les logiques temporelles ont un ensemble d opérateurs temporels communs comme G, X, F, U, W et R qui sont interprétés sur des exécutions (des séquences d états). Considérons une séquence d états σ. L opérateur G (désigné aussi par ou encore []) permet d exprimer que tous les états de σ possèdent une propriété. G ( not Erreur) L opérateur X (désigné aussi par O) permet de spécifier qu une propriété est vérifiée à partir de l état qui suit le premier état de σ. La formule G(Transitoire => X Stable) indique que dans σ, un état Transitoire est toujours suivi d un état Stable. INF6603 Logiques temporelles 7

8 Opérateurs temporels L opérateur F (désigné aussi par ou encore <>) permet d énoncer qu un état de σ satisfait forcément une propriété. p1 => F p2 indique que si le premier état de σ possède la propriété p1 alors un état de σ satisfait forcément la propriété p2. Si on veut exprimer que cette propriété est vraie pour tous les états de σ, il faut la précéder de l opérateur G : G(p1 imply F p2). L opérateur U permet d énoncer qu une propriété est vérifiée tant qu une autre ne l est pas. p1 U p2 énonce que le premier état et les suivants dans σ satisfont p1, tant qu on ne rencontre pas un état qui satisfait p2. La formule G(p1 U p2) signifie que la propriété p1 U p2 est vraie pour tous les états de σ. INF6603 Logiques temporelles 8

9 Opérateurs temporels L opérateur W (Weak-until) permet d énoncer qu une propriété est toujours vérifiée à moins qu une autre propriété soit vérifiée. p1 W p2 énonce que le premier état et ses suivants dans σ satisfont p1, sauf si on rencontre un état qui satisfait p2. p1 W p2 = G p1 ( p1 U p2 ) L opérateur R (Release) permet d énoncer qu une propriété est toujours vérifiée sauf à partir du moment où un état qui satisfait les deux propriétés est atteint. p1 R p2 énonce que p2 est toujours vérifiée, sauf si p1 est vérifiée. p2 doit être aussi vérifiée lorsque p1 est vérifiée pour la première fois. p1 R p2 = G p2 ( p2 U (p1 p2)) INF6603 Logiques temporelles 9

10 Opérateurs temporels p et q sont des propositions atomiques Gp p p p p p p p G(p imply Xq) p q p q G(p imply Fq) p q p q (puq) p p p p q (pwq) = Gp or puq Ou bien (prq) = Gq or qu(q and p) Ou bien p p p p p p p p p p p q q q q q q q q q q q q q,p INF6603 Logiques temporelles 10

11 Opérateurs temporels Relations entre les opérateurs temporels : F p1 = true U p1 G p1 = not F not p1 p1 W p2 = G p1 or (p1 U p2) p1 R p2 = p2 W (p2 and p1) = G p2 or (p2 U (p2 and p1)) Les opérateurs temporels peuvent s exprimer en fonction des opérateurs de base U et X (X et U sont donc les opérateurs minimaux). Il existe aussi les opérateurs temporels qui font référence au passé d un état courant (peu d intérêt du point de vue pratique) : G!", F!", X!", U!",W!" et R!". INF6603 Logiques temporelles 11

12 Opérateurs temporels Exemple 1 : G(erreur => (alarme U halt)) G(erreur => X(alarme U halt)) G(erreur => F(alarme U halt)) G (not alarme U erreur) G (not alarme W erreur) = (G not alarme) (not alarme U erreur) G ( erreur R not alarme) = (G not alarme) (not alarme U (not alarme erreur)) è La sémantique de chaque opérateur temporel (ou encore formule temporelle) définit l ensemble des mots infinis (séquences infinies de propriétés) acceptés par l opérateur (ou la formule temporelle) è Langage. INF6603 Logiques temporelles 12

13 Opérateurs temporels Exercice 1 : Exprimez en utilisant les opérateurs temporels chacun des énoncés suivants : p est toujours faux. q est inévitablement accessible. p est faux avant q, si q est inévitablement accessible. p est toujours faux après q, si q est inévitablement accessible. Exercice 2 : Représentez au moyen d un automate les successions infinies de propriétés p et q, exprimées par chacune des formules LTL suivantes : 1) G p 2) p => X q 3) p => XF q 4) p and XF q 5) p U q 6) p W q Les formules (p => XF q) et (p and XF q) sont elles équivalentes? Deux formules sont équivalentes ssi elles engendrent le même langage. INF6603 Logiques temporelles 13

14 Quantificateurs de chemin Les logiques temporelles arborescentes ont d autres opérateurs destinés à exprimer l aspect arborescent des propriétés. Ces opérateurs appelés quantificateurs de chemins, sont désignés par A et E. Le quantificateur A permet d énoncer qu une propriété est vérifiée par toutes les séquences d états de l arbre d exécution débutant à l état courant. Le quantificateur E permet de spécifier qu une propriété est vérifiée par au moins une séquence partant de l état courant de l arbre. AG p EG p p p p p p p p p p p p p p INF6603 Logiques temporelles 14

15 Logiques temporelles linéaires : LTL Les formules LTL sont construites récursivement en utilisant les règles suivantes : Une proposition atomique pa (incluant true et false) est une formule LTL qui s interprète directement sur un état; Si p1 et p2 sont deux formules LTL alors p1 and p2, not p1, Xp1, p1 U p2 sont des formules LTL. Le model-checking LTL traite les chemins d exécution sans considérer les dépendances possibles entre ces chemins. Il se ramène à vérifier si l intersection de deux langages est vide ou non. Ces langages définissent respectivement les exécutions du modèle à vérifier (système de transitions) et les exécutions indésirables (négation d une propriété LTL). INF6603 Logiques temporelles 15

16 Logiques temporelles linéaires : LTL Soient p est une propriété LTL et σ une séquence d états. On désigne par : σ la longueur de σ, σ(i), pour 0 i< σ, le (i+1) ième état de la séquence, σ i le suffixe de σ commençant à l état σ(i), et σ = p la satisfiabilité de la propriété p par σ. INF6603 Logiques temporelles 16

17 Logiques temporelles linéaires : LTL Les règles suivantes montrent comment vérifier par induction si une formule LTL est satisfaite pour le chemin d exécution σ : σ = pa ssi l état σ(0) satisfait la proposition atomique pa σ = p1 and p2 ssi σ = p1 et σ = p2 σ = not p ssi σ = p est faux σ = X p ssi σ > 1 et σ 1 = p σ = p1 U p2 ssi il existe j dans [0, σ [, (σ j = p2) et pour tout k de [0,j[, σ k = p1 où pa est une proposition atomique, p1 et p2 sont deux propriétés LTL. INF6603 Logiques temporelles 17

18 Logiques temporelles linéaires : LTL σ = F p ssi il existe j dans [0, σ [, σ j = p σ = G p ssi pour tout j dans [0, σ [, σ j = p Remarques : F p = true U p (= au sens de équivalent à) G p = not F not p not X p = X not p Un système de transitions T satisfait une propriété LTL p (T = p) ssi toutes les séquences d états de T satisfont p. INF6603 Logiques temporelles 18

19 Logiques temporelles linéaires : LTL Remarque : LTL ne fait pas de distinction entre les deux systèmes de transitions suivants car ils ont les mêmes séquences de propriétés : (p1 p1 p2) et (p1 p1 not p2) p1 q0 p1 q0 p1 q1 q1 p1 p1 F p2? p1 U p2? p1 W p2? p2 p1 p2 p1 INF6603 Logiques temporelles 19

20 Logiques temporelles linéaires : LTL Exercice 3 : Considérez le système de transitions T suivant : p1 so s1 p2 p2 s2 s3 Est-ce que T = (p1 or p2) U p3? Est-ce que T = X (p2 W p3)? Est-ce que T = p1 and X (p2 and X F p3)? Est-ce que T = F G p3? Est-ce que T = G F p3? p3 INF6603 Logiques temporelles 20

21 Logiques temporelles linéaires : LTL Exercice 4 : Supposez que 2 processus P1 et P2 ont chacun 4 états principaux : out (en traitement local), req (demande d accès en section critique), wait (en attente d autorisation d accès à la section critique) et in (en section critique). Initialement, les processus sont à l état out et y=1. out req y=y+1 y==1, y=y-1 y==0 in y==1, y=y-1 wait INF6603 Logiques temporelles 21

22 Logiques temporelles linéaires : LTL Exercice 4 (suite) : Exprimez au moyen de la logique temporelle LTL les propriétés suivantes : 1. Les deux processus ne peuvent être en section critique en même temps. 2. Tout processus en attente d autorisation d accès à la section critique finit par l obtenir. 3. Que signifie la propriété LTL : (y==0) => (P1.in P2.in)? 4. Que signifie la propriété LTL : G((y==0) => (P1.in P2.in))? 5. Que signifie la propriété LTL : (GF P1.in) (GF P2.in)? 6. Que signifie la propriété LTL : (GF P1.req => GF P1.in) (GF P2.req => GF P2.in)? 7. Que signifie la propriété LTL : FG P1.wait)? GF et FG sont désignés par F et G. INF6603 Logiques temporelles 22

23 Logiques temporelles linéaires : LTL Exercice 5 : problème des philosophes Exprimez en LTL la propriété d absence de l interblocage des 5 philosophes. Stick 0 Stick 1 P 1 P 2 Stick 2 Chaque philosophe a 4 états : pense, faim, attend (détient une fourchette) et mange (détient deux fourchettes). P 0 P 3 Stick 4 P 4 Stick 3 INF6603 Logiques temporelles 23

24 Logiques temporelles linéaires : MTL Soit I un intervalle de la forme [a,b], [a,b[, ]a,b], ]a,b[, [a, [ ou ]a, [, où a et b sont des entiers. MTL (Metric Temporal Logic) étend LTL en associant un intervalle de temps à chaque opérateur temporel : Une proposition atomique est une formule MTL ; Si p1 et p2 sont deux formules MTL alors p1 and p2, not p1, X I p2, p1 U I p2 sont des formules MTL. MITL est une sous classe de MTL qui n accepte pas les intervalles singuliers (composés d un seul élément). INF6603 Logiques temporelles 24

25 Logiques temporelles linéaires : MTL G [a,b] p p p p p 0 a b G(p imply F [a,b] q) p q p q 0 dans [a,b] dans [a,b] (pu [a,b] q) p p p p q dans [a,b] INF6603 Logiques temporelles 25

26 Logiques temporelles linéaires : TLTL TLTL étend LTL en associant à chaque opérateur temporel un opérateur de comparaison (<, >,, ) et une constante entière. Exemples : X c p est équivalent à X [0,c] p p1 U >c p2 est équivalent à p1 U ]c, [ p2. TLTL est une sous classe de MITL qui offre une technique de modelchecking plus efficace. INF6603 Logiques temporelles 26

27 Logiques temporelles arborescentes : CTL Les formules CTL sont construites récursivement en utilisant les règles suivantes : Une proposition atomique est une formule CTL et Si p1 et p2 sont deux formules CTL alors p1 p2, not p1, AX p1, EX p1, p1 AU p2 et p1 EU p2 sont des formules CTL. Les formules p1 => p2, AG p1, EG p1, AF p1 et EF p1 sont considérées comme des abréviations de formules CTL. EF p = true EU p AF p = true AU p AG p = not EF not p EG p = not AF not p INF6603 Logiques temporelles 27

28 Logiques temporelles arborescentes : CTL INF6603 Logiques temporelles 28

29 Logiques temporelles arborescentes : CTL Les formules CTL expriment comment les propriétés doivent se succéder le long des arbres d exécution en tenant compte des branchements de chaque état. Elles sont interprétées sur les états d un système de transitions représentant le comportement du système à vérifier. CTL model-checker est efficace (par rapport à LTL) car il permet une interprétation sur des états au lieu d une interprétation sur des séquences. Considérons un système de transitions T, un état courant q de T, p une formule CTL et la fonction Σ qui associe, à chaque état de T, l ensemble des chemins de cet état dans T. INF6603 Logiques temporelles 29

30 Logiques temporelles arborescentes : CTL La relation de satisfaction q = p est définie par induction sur p de la manière suivante : q = pa ssi l état q satisfait la proposition atomique pa q = p1 and p2 ssi q = p1 et q = p2 q = not p ssi q = p est faux q = AX p ssi pour tout chemin σ de Σ(q), σ(1) = p q = EX p ssi il existe un chemin σ de Σ(q), σ(1) = p q = p1 AU p2 ssi pour tout chemin σ de Σ(q), il existe j dans [0, σ [ tel que (σ(j) = p2) et pour tout k de [0,j[, σ(k) = p1. q = p1 EU p2 ssi il existe un chemin σ de Σ(q), il existe j dans [0, σ ] tel que (σ(j) = p2) et pour tout k de [0,j[, σ(k) = p1. Où pa est une proposition atomique, p1 et p2 sont deux formules CTL. T = p ssi l état initial q0 de T satisfait p (q0 = p). INF6603 Logiques temporelles 30

31 Logiques temporelles arborescentes : CTL Exercice 6 : Considérez le modèle de l exercice 4. Exprimez au moyen de la logique temporelle CTL chacune des propriétés suivantes : 1. Les deux processus ne peuvent être en section critique en même temps. 2. Tout processus en attente d autorisation d accès à la section critique finit par l obtenir. INF6603 Logiques temporelles 31

32 Logiques temporelles arborescentes : ITCTL Soit I un intervalle de la forme [a,b], [a,b[, ]a,b], ]a,b[, [a, [ ou ]a, [ (a et b sont des entiers). ITCTL étend CTL en associant un intervalle de temps à chaque opérateur temporel: Une proposition atomique est une formule ITCTL et Si p1 et p2 sont deux formules ITCTL alors p1 and p2, not p1, AX I p2, EX I p2, p1 AU I p2 et p1 EU I p2 sont des formules ITCTL. Exemple : AG ( p1 => AF I p2 ) Un model-checker plus efficace si chaque intervalle est de la forme [0,b], [0,b[, [a, [ ou ]a, [. Cet intervalle peut être représenté par un opérateur de comparaison et une constante entière. INF6603 Logiques temporelles 32

33 Logiques temporelles arborescentes : TCTL TCTL est une extension de CTL qui permet de définir explicitement des horloges et des contraintes sur ces horloges. Les formules TCTL sont construites à partir de propositions atomiques qui incluent des contraintes sur les horloges, de l opérateur d initialisation d horloge noté z. (où z est une horloge) et des opérateurs temporels de base AU et EU. L opérateur z. sert à introduire une horloge auxiliaire z qui permet de mesurer le temps écoulé à partir de la date de son initialisation. Dans la formule z. p, les occurrences de z dans p sont liées par l opérateur z. L horloge de z doit être différente de celles qui figurent dans le modèle à vérifier. INF6603 Logiques temporelles 33

34 Logiques temporelles arborescentes : TCTL Considérons un système de transitions T d un système temps réel, p une formule TCTL, un état courant q=(s,v) de T et la fonction Σ qui associe, à chaque état de T, l ensemble des chemins de cet état dans T. La relation de satisfaction q = p est définie par induction sur p comme suit : q = pa ssi s satisfait la proposition atomique pa (pas d horloges). q = x c ssi la valuation des horloges v satisfait x c q = x y c ssi la valuation des horloges v satisfait x y c q = p1 and p2 ssi q = p1 et q = p2 q = not p ssi q = p est faux q = z. p ssi q [z :=0] = p q = p1 AU p2 ssi pour tout chemin σ de Σ(q), il existe σ1, σ2, q tels que σ= σ1.q.σ2, q = p2 et pour tout q de σ1, q = p1. q = p1 EU p2 ssi il existe un chemin σ de Σ(q), il existe σ1, σ2, q tels que σ= σ1.q.σ2, q = p2 et pour tout q de σ1, q = p1. où c est une constante entière, x et y sont des horloges, p1 et p2 sont deux propriétés TCTL. INF6603 Logiques temporelles 34

35 Logiques temporelles arborescentes : Cas d UPPAAL Le langage de spécification de propriétés est un sous ensemble de TCTL Prop ::= A[] Expression E<> Expression E[] Expression A<> Expression Expression --> Expression Où Expression est une expression booléenne sur les variables (discrètes et horloges) et les locations des automates temporisés. A[] est équivalent à AG A<> est équivalent à AF E[] est équivalent à EG E<> est équivalent à EF p --> q est équivalent à A[] (p imply A<> q). INF6603 Logiques temporelles 35

36 Logiques temporelles arborescentes : Cas d UPPAAL Algorithme d exclusion mutuelle de Fischer Considérons un système qui met en œuvre l algorithme d exclusion mutuelle de Fischer (cas de 4 processus P1, P2, P3, P4). Le code de chaque processus Pi est : begin repeat await id =0; repeat id :=i ; await ( (waitingtime > k and id =i) or (id =0)); until (id =i) critical_section() ; id :=0 ; forever ; end. Pour assurer l exclusion mutuelle, les processus partagent une variable globale id qui joue le rôle d un «laissez-passer». INF6603 Logiques temporelles 36

37 Logiques temporelles arborescentes : Cas d UPPAAL Algorithme d exclusion mutuelle de Fischer La figure suivante montre la description, sous forme d automates temporisés, de ce système (outil UPPAAL). Chaque processus Pi a sa propre horloge Pi.x. Les horloges évoluent de manière uniforme avec le temps mais chacune d elles peut être individuellement remise à 0. INF6603 Logiques temporelles 37

38 Logiques temporelles arborescentes : Cas d UPPAAL Algorithme d exclusion mutuelle de Fischer Propriétés à vérifier : Il ne peut y avoir plus d un processus en section critique. Pas de blocage Si un processus atteint l état req, il atteindra forcément l état wait. Si un processus demande d entrer en section critique (état req), il y parviendra inévitablement dans le futur. Il est possible qu un processus ne demande jamais d entrer en section critique. INF6603 Logiques temporelles 38

39 Logiques temporelles arborescentes : Cas d UPPAAL INF6603 Logiques temporelles 39

40 Exercice 7 : Exprimez au moyen de la logique CTL à la UPPAAL, les propriétés suivantes : 1. Les processus peuvent tous se retrouver en attente d entrée en section critique. 2. Si tous les processus sont en attente d entrée en section critique (wait) alors la valeur de id est forcément différente de Si la valeur de id est à 0 alors aucun processus n est en section critique. INF6603 Logiques temporelles 40

41 LTL et CTL sont-elles comparables? Théorème : Soient Φ une formule CTL et φ une formule LTL obtenue à partir de Φ en éliminant tous les quantificateurs de chemin. Φ φ ou Φ n a pas d équivalent en LTL. AF(p and AX p) est-elle équivalente à F (p and X p)? LTL et CTL sont incomparables : - F G p n est pas équivalente à AF AG p - F G p n a pas d équivalent dans CTL. - AF AG p n a pas d équivalent dans LTL. CTL* englobe LTL et CTL. q3 a p q1 a INF6603 Logiques temporelles 41 b p q0 b a not p p q4 b not p a a p q2 q5

42 Logique temporelle CTL* La logique CTL* permet d utiliser tous les opérateurs temporels et quantificateurs de chemin définis précédemment. Les formules CTL* sont construites récursivement en utilisant les règles suivantes : Une proposition atomique (incluant true et false) est une formule CTL* qui s interprète directement sur un état, et Si p1 et p2 sont deux formules CTL* alors p1 p2, not p1, X p1, p1 U p2, A p1 et E p1 sont des formules CTL*. INF6603 Logiques temporelles 42

43 Logique temporelle CTL* Considérons un système de transitions T et une propriété CTL* p. La relation de satisfaction σ = p est définie par induction sur p de la manière suivante : σ = pa ssi l état σ(0) satisfait la proposition atomique pa σ = p1 and p2 ssi σ = p1 et σ = p2 σ = not p ssi σ = p est faux σ = X p ssi σ >1 et σ 1 = p σ = p1 U p2 ssi il existe j dans [0, σ [ tel que (σ j = p2) et pour tout k de [1,j[, σ k = p1. σ = A p ssi pour tout chemin σ de Σ(σ(0)), σ = p σ = E p ssi il existe un chemin σ de Σ(σ(0)), σ = p Où pa est une proposition atomique, p1 et p2 sont deux formules CTL*. INF6603 Logiques temporelles 43

44 Quelques propriétés classiques : a) Propriétés de sûreté ou invariance Les propriétés de sûreté ont pour but de spécifier que quelque chose de mauvais ne se produira jamais. L invariance spécifie qu une bonne propriété est satisfaite par tous les états du système. LTL : CTL : G p AG p Pour l algorithme de Fischer, la propriété qui exprime qu à tout moment, il ne peut y avoir plus d un processus en section critique est une propriété de sûreté. INF6603 Logiques temporelles 44

45 Quelques propriétés classiques : b) Propriétés de vivacité (liveness) Une propriété de vivacité énonce que, sous certaines conditions, quelque chose finira par avoir lieu. Par exemple, toute demande doit être traitée un jour : LTL : G (p1 imply F p2 ) CTL : AG (p1 imply AF p2) Un exemple caractéristique de propriétés temps réel est la réponse bornée : un état qui satisfait p1 est toujours suivi, dans le futur, par un état qui satisfait p2 avant c unités de temps. Cette propriété s exprime en TCTL par : AG(p1 imply z.af(p2 and z<c)) Pour l algorithme de Fischer, la réponse bornée à la requête d accès à la section critique s exprime comme suit (cas du processus P1) : AG( P1.wait imply z.af(p1.cs and z<c)) Il est aussi possible d utiliser les horloges du modèle : AG( P1.wait imply AF(P1.cs and P1.x<c)) Inévitabilité bornée : La formule z. AF(p and z<c) permet d exprimer que la propriété p doit être satisfaite avant c unités de temps. INF6603 Logiques temporelles 45

46 Quelques propriétés classiques : c) Propriétés d accessibilité Ces propriétés ont pour but de déterminer si une situation est accessible ou non. LTL : not G not p un état qui satisfait p est accessible CTL ou TCTL : EF p z. EF (p and z c) AG (p1 => EF p2) AG (p1 => z. EF p2 and z c ) AG( P1.wait => EF P1.cs) INF6603 Logiques temporelles 46

47 Quelques propriétés classiques : d) Propriétés d absence de blocage Cette propriété énonce qu à partir de tout état, le système pourra toujours évoluer par des transitions (actions) discrètes. LTL : G(X true) CTL : AG(EX true) UPPAAL : A[] not deadlock Il est toujours possible de sortir d une location AG (p1 imply EX true) AG ( z. EF (z>0)) Pas de blocage du temps (no timelock) INF6603 Logiques temporelles 47

48 Quelques propriétés classiques : d) Propriétés d équité Cette propriété permet de spécifier que quelque chose de bon se produit infiniment souvent. LTL : GF p ou encore GFp1 => GF p2 CTL : non exprimable p se produit infiniment souvent Si p1 se produit infiniment souvent alors p2 aussi se produit infiniment souvent L hypothèse d équité est parfois nécessaire dans des systèmes composés. Elle permet de ne pas considérer certains chemins d exécution non réalisables. è Fair CTL pour considérer uniquement les chemins d exécutions équitables «fair» (qui passent infiniment souvent par certains états). INF6603 Logiques temporelles 48

49 Fair CTL Les contraintes d équité d un système de transitions sont généralement exprimées par un ensemble d ensembles d états du système de transitions : Q 1,..., Q n Q Chemin équitable (fair) est un chemin qui passe infiniment souvent par chaque ensemble Q i, i=1,n. Les états équitables (fair) sont les états des chemins équitables. a c e l 1 l 2 l 3 l 4 b d La séquence d états (l 1 l 2 ) est une séquence faisable du modèle. Pour Q 1 = {l 1 }, Q 2 = {l 2 }, Q 3 ={l 3 } et Q 4 ={l 4 }, la séquence (l 1 l 2 ) n est pas «fair». INF6603 Logiques temporelles 49

50 Fair CTL Soient A p et E p deux formules CTL. (Fair CTL): A p A( (F p 1... F p n ) => p) (Fair CTL): E p E ( F p 1... F p n p) où p i, pour i =1,n, est une proposition atomique vraie uniquement pour les états de Q i et F = GF. è Model-checker SMV. INF6603 Logiques temporelles 50