Réseaux de Petri temporels : méthodes d analyse et vérification avec TINA

Transcription

1 Chapire 1 Réseaux de Peri emporels : méhodes d analyse e vérificaion avec TINA 1.1. Inroducion Parmi les echniques proposées pour spécifier e vérifier des sysèmes dans lesquels le emps apparaî comme paramère, deux son largemen uilisées : Les Auomaes Temporisés (voir le chapire 4 de ce volume, consacré à ce modèle) e les Réseaux de Peri Temporels (ou Time Peri Nes), inroduis dans [MER 74]. Les réseaux emporels son obenus depuis les réseaux de Peri en associan deux daes e à chaque ransiion. Supposons que soi devenue sensibilisée pour la dernière fois à la dae, alors ne peu êre irée avan la dae e doi l êre au plus ard à la dae, sauf si le ir d une aure ransiion a désensibilisé avan que celle-ci ne soi irée. Le ir des ransiions es de durée nulle. Les réseaux emporels exprimen naivemen des spécificaions «en délais». En explician débus e fins d acions, ils peuven aussi exprimer des spécificaions «en durées». Leur domaine d applicaion es donc large. Nous proposons dans ce chapire un panorama des méhodes d analyse disponibles pour les réseaux emporels e discuons de leur mise en œuvre. Ces méhodes, basées sur la echnique des classes d éas, on éé iniiées par [BER 83 ; 91]. Ces graphes consiuen des absracions finies du comporemen des réseaux emporels bornés. Différenes absracions on éé définies dans [BER 83 ; 01 ; 03b], préservan diverses Chapire rédigé par Bernard BERTHOMIEU e François VERNADAT.

2 ? Sysèmes Temps Réel Volume 1 classes de propriéés. Dans ce chapire, nous discuerons de plus du problème praique de la vérificaion de propriéés (model-checking) de ceraines logiques sur les graphes de classes consruis. La mise en œuvre de ces echniques nécessie des ouils logiciels, an pour la consrucion des absracions requises que pour leur vérificaion elle-même. Les exemples discués dans ce aricle on éé raiés avec les ouils de l environnemen [BER 04]. Les conceps de base des réseaux emporels son rappelés secion 1.2. Les secions 1.3 à 1.5 inroduisen les consrucions de graphes de classes, fournissan des absracions finies de l espace infini des éas des réseaux emporels. Les secions 1.3 e 1.4 présenen les consrucions préservan les propriéés des logiques emporelles basées sur une sémanique linéaire elles que ; la consrucion de la secion 1.3 assure la préservaion des seules propriéés de (races maximales e marquages), andis que celle exposée en secion 1.4 assure de plus la préservaion des éas du réseau (marquage e informaion emporelle). La secion 1.5 discue de la préservaion des propriéés des logiques à emps arborescen. La secion 1.6 discue de l analyse d échéanciers e présene une méhode permean de caracériser exacemen les daes de ir possibles des ransiions le long d une séquence finie. La boîe à ouils, permean la mise en œuvre de ces echniques, ainsi que des echniques de vérificaion discuées ensuie, es présenée en secion 1.7. Les secions suivanes son consacrées à la vérificaion (model-checking) de formules de logique emporelle linéaire sur les graphes de classes. La secion 1.8 présene la logique reenue,!, une exension de la logique, ainsi que sa mise en œuvre par le module "$#&%$' de. La secion 1.9 présene deux exemples d applicaions e leur vérificaion Les réseaux de Peri emporels Réseaux emporels Soi (*) l ensemble des inervalles réels non vides à bornes raionnelles non négaives. Pour,+ (-),. désigne sa borne inférieure e / sa borne supérieure (si es borné) ou 0 (sinon). Pour ou +21 ),. désignera l inervalle :9 ;. Définiion 1. Un réseau emporel (ou Time Peri ne, <>= en abrégé) es un uple <A@B@DCFEHG@DCIJK$@ dans lequel? <A@QR@ L O es un réseau de Peri e M NTU WVX(*) es une foncion appelée Inervalle Saique. L applicaion M N associe une inervalle emporel M NHY BZ à chaque ransiion du réseau. Les raionnels![ N\Y BZ]W.^M NHY BZ e [ NY BZ]W/^M N\Y BZ son appelés dae saique de ir au plus ô de e dae saique de ir au plus ard de, respecivemen. Un réseau emporel es représené figure 1.1.

3 a ` 2_ ` Réseaux de Peri emporels p1 2 p2 [0,3] ` 5 [4,9] ` 1 2 [0,2] ` 3 [1,3] p3 p4 p5 4 [0,2] Figure 1.1. Un réseau emporel Éas e relaion d accessibilié Définiion 2. Un éa d un réseau emporel es un couple a,] dans lequel es un marquage e M U dve(-) une foncion qui associe un inervalle emporel à chaque ransiion sensibilisée par. L éa iniial es a L ] Y L Z, où M L es la resricion de M-N aux ransiions sensibilisées par le marquage iniial L. Toue ransiion sensibilisée doi êre irée dans l inervalle de emps qui lui es associé. Ce inervalle es relaif à la dae de sensibilisaion de la ransiion. Franchir, à la dae, depuis af] es donc permis si e seulemen si : f9 CFEHG Y BZ 8 + M Y BZ 8 Yhgji:k ]l BZ Yf9 CFE\G YSi Zmnpo2/ Y M YSi ZBZDZ. L éa a\q6] Y qs@dm qhz aein depuis a par le ir de à es alors déerminé par : 1) q ] rcfehg Y BZj7CIJ-K Y BZ (comme dans les réseaux de Peri) 2) Pour chaque ransiion i sensibilisée par q : I (k) = si isk ]l e rcfehg Y BZ 9 CFE\G YSi Z alors M YQi Z Noons 6V vu^w. sinon M-N YSi Z. la relaion d accessibilié emporisée définie ci-dessus e définissons VXa q par YSx Z Y a 6VXa vu^w q Z. Un échéancier de ir es une séquence de ransiions emporisées By-zT$y {{-{b ~}zt\} ; il es réalisable depuis l éa a si les ransiions de la séquence

4 V Sysèmes Temps Réel Volume 1 ]l By {-{{D ~} son successivemen irables depuis l éa a, aux daes relaives qui leurs son associées. La séquence es appelée suppor de l échéancier. Une séquence de ransiions es irable si e seuleme si elle es le suppor d un échéancier réalisable. Noons que, dans les réseaux emporels (conrairemen aux auomaes emporisés) l écoulemen du emps ne peu qu augmener l ensemble des ransiions irables, mais en aucun cas le réduire. Si une ransiion es irable à la dae relaive (ou, de façon équivalene, immédiaemen après une aene de uniés de emps), alors elle le resera an que le emps peu s écouler. Nous ne démonrerons pas ici cee propriéé, mais il en résule que la relaion définie ci-dessus caracérise exacemen le comporemen «discre» d un TPN (préservan la bissimilarié après absracion du emps). Si l on s inéresse au comporemen emporel (capuré par la bissimulaion emporisée), on doi ajouer aux ransiions de la relaion 6V vu^w celles raduisan le seul écoulemen. du emps, c es-à-dire celles de la forme P ƒ b V plus grand que / Y M YQi ZDZ, pour oue composane M YQi Z de M ). Z (le délai n éan pas Enfin, noons que le concep d éa présené associe exacemen un inervalle emporel à chaque ransiion sensibilisée, que celle-ci soi ou non muli-sensibilisée ( es muli-sensibilisée par s il exise un enier i ˆ el que f9 i { CFEHG Y BZ ). Une inerpréaion alernaive es discuée dans [BER 01], dans laquelle un inervalle emporel es associé à chaque insance de sensibilisaion des ransiions. Cee inerpréaion sera brièvemen discuée en secion Illusraion Les éas peuven êre représenés par des paires (, ), dans lesquelles es un marquage e un ensemble de veceurs de daes appelé domaine de ir. La i-ième projecion de l espace es l inervalle de ir M Y ~Š~Z associé à la i-ième ransiion sensibilisée. Les domaines de ir seron décris par des sysèmes d inéquaions linéaires avec une variable par ransiion sensibilisée (noées comme les ransiions). L éa iniial a L ] Y L Z du réseau figure 1.1 es ainsi représené par : L : ŽA L : po y o Le ir de By depuis a L, à une dae relaive $y H, mène en ã y ] Y šy-z : y : 6 $@Œ 6œ$@Œ y : ž,o ~ FoŸ o ~ Fo ž,o œ oÿ ž,o o

5 Réseaux de Peri emporels Le ir de depuis ã y, à une dae relaive + ž@ \, mène en a ] Z : : 6 : H Y ž@ \ \Zo ~ o F \ ž,o œ>oÿ \ ž,o ~ Fo F \ Comme H peu prendre oue valeur réelle dans ž@b \, l éa a y adme une infinié de successeurs par ~ Quelques héorèmes généraux Rappelons ou d abord un résula d indécidabilié : Théorème 1. Les problèmes de l accessibilié d un marquage, d un éa, du caracère borné e du caracère vivan, son indécidables pour les <>= qƒ. Démonsraion : Il es démonré dans [JON 77] que le problème de l accessibilié d un marquage dans les <>= qƒ peu êre rédui à celui, indécidable, de l arrê d une machine à deux compeurs. Il en résule l indécidabilié des aures problèmes. Représener le foncionnemen d un réseau emporel par le graphe d accessibilié de ses éas (comme le foncionnemen d un réseau de Peri es représené par le graphe d accessibilié de ses marquages) es en général impossible : les ransiions pouvan êre irées à ou insan dans leur inervalle de ir, les éas admeen en général une infinié de successeurs par la règle de ir. Les classes d éas définies par la suie on pour bu de fournir une représenaion finie de ce ensemble infini d éas, lorsque le réseau es borné, par regroupemens de cerains ensembles d éas. Touefois, il exise deux sous-classes remarquables de réseaux emporels pour lesquels chaque éa n adme qu un nombre fini de successeurs e donc admean un graphe d éas fini lorsqu ils son bornés.? «Théorème 2. Soi un réseau emporel j HO. Si, pour oue ransiion +, MN Y BZ es non borné supérieuremen, alors son graphe des éas es isomorphe au graphe des marquages du réseau de Peri sous-jacen. Démonsraion : Par inducion. Si chaque ransiion pore un inervalle saique non borné, alors la condiion de franchissemen des ransiions se rédui à celle des réseaux de Peri (sans conraine emporelle). De plus, la règle de ir préserve le caracère non borné des inervalles.

6 Sysèmes Temps Réel Volume 1 Théorème 3. Soi un réseau emporel š@dcfehg@dcijk$@d O. Si M N associe à chaque ransiion un inervalle rédui à un seul poin, alors : (i) le graphe des éas du réseau es fini si e seulemen si le réseau es borné ; (ii) si, de plus, les inervalles saiques son ous ideniques, alors son graphe des éas es isomorphe au graphe des marquages du réseau de Peri sous-jacen.? «Démonsraion : Par inducion. (i) Par la règle de ir, si ous les inervalles son poncuels, alors un éa a, au plus, auan d éas suivans que de ransiions qu il sensibilise. De plus, la règle de ir préserve le caracère poncuel des inervalles. Pour (ii), noer que la condiion de franchissemen se rédui alors à celle des réseaux de Peri. Les héorèmes 2 e 3 permeen d inerpréer de diverses façons les réseaux de Peri comme des réseaux emporels. L inerpréaion la plus fréquene es les considérer comme des réseaux emporels don chaque ransiion pore l inervalle ž@ Graphes de classes préservan marquages e propriéés Classes d éas L ensemble des éas d un réseau emporel peu êre infini pour deux raisons : d une par parce qu un éa peu admere une infinié de successeurs, d aure par, parce qu un réseau peu admere des échéanciers de longueur infinie passan par des éas don les marquages son ous différens. Le deuxième cas sera discué secion Pour gérer le premier cas, on regroupera cerains ensembles d éas en classes d éas. Plusieurs regroupemens son possibles ; le regroupemen discué dans cee secion es celui inrodui dans [BER 83 ; 91]. Pour chaque séquence de ir irable, noons ²³ l ensemble des éas aeins depuis l éa iniial en iran des échéanciers de suppor. Pour ou ensemble ²³, définissons son marquage comme celui des éas qu il conien (ous ces éas on nécessairemen le même marquage) e son domaine de ir comme la réunion des domaines de irs des éas qu il conien. Enfin, noons ] la relaion saisfaie par deux ensembles ²µ³ e ²³H si ceux-ci on même marquage e même domaine de ir. Si deux ensembles d éas son liés par ], alors ou échéancier réalisable depuis un éa de l un de ces ensembles es réalisable depuis un éa se rouvan dans l aure ensemble. Le graphe des classes d éas de [BER 83], ou ²F, es l ensemble des ensembles d éas ² ³, pour oue séquence irable, considérés modulo la relaion ], muni de la relaion de ransiion : ²µ³ V¹ si e seulemen si ²³Hº ]. La classe iniiale es la classe d équivalence de l ensemble d éas consiué du seul éa iniial. Le ²F es obenu comme sui. Les classes d éas son représenées par des paires Z, où es un marquage e un domaine de ir décri par un sysème

7 Réseaux de Peri emporels d inéquaions linéaires»½¼ o ¾. Les variables ¼ son bijecivemen associées aux ransiions sensibilisées par. On a Z ] Y q Z si e seulemen si ] q e les domaines e q on même ensemble de soluions. Algorihme 1 (Calcul du ²F ). Pour oue séquence irable, ³ peu êre calculée comme sui. Calculer le plus pei ensemble de classes conenan À e el que, lorsque µ³ + ² e { es irable, alors YQx + ² Z Y ] ³ º ). La classe iniiale es À] Y NY BZoŸ¼ o [ N\Y BZµ5 L 9 CFE\G Y BZb; Z Si es irable e µ³p] Z, alors { es irable si e seulemen si : (i) Â9 CFEHG Y BZ ( es sensibilisée par ) e ; 8 3H¼ o ¼ Š 5 ]W k 8f9 CFEHG Y Zb; es consisan. (ii) le sysème Si { es irable, alors ³ º ] Y q Z es obenue depuis ³p] Z par : q ] CFEHG Y BZj2CTI6JK Y BZ, šq obenu comme sui : (a) Les conraines (ii) ci-dessus de irabilié de depuis ³ son ajouées à ; (b) Pour chaque i sensibilisée par q, une variable ¼ qã es inroduie, par : ¼ qã ]W¼ à 4¼, si isk ]W e rcfe\g Y BZ 9 CFEHG YQi Z,![ N\YSi Zo ¼ qã o µ[ N\YSi Z, sinon ; (c) les variables ¼ son éliminées. ³ es la classe d équivalence pour la relaion ] de l ensemble ² ³ des éas aeins en iran depuis L des échéanciers de suppor. L équivalence ] es vérifiée en mean les sysèmes représenan les domaines de ir sous forme canonique. Ces sysèmes son des sysèmes de différences, calculer leur forme canonique se ramène à un problème de plus cour chemin enre oues paires de sommes, résolu en emps polynômial en uilisan, par exemple, l algorihme de Floyd/Warshall. Remarque : deux ensembles ²³ e ²µ³H peuven êre équivalens par ] bien que de conenus différens. La noaion des classes par une paire Z, idenifie de façon canonique une classe d équivalence d ensembles d éas pour la relaion ], mais pas un ensemble d éas Illusraion A ire d illusraion, consruisons quelques classes du réseau emporel représené figure 1.1. La classe iniiale Ä L es décrie comme l éa iniial a L (voir secion 1.2.3). Le ir de By depuis Ä L condui à une classe Äy décrie comme l éa ã y. Le ir de

8 Sysèmes Temps Réel Volume 1 Ä ] Y Z ] Y Z depuis Äy condui avec e déerminé en 3 éapes : (a) on ajoue à šy les condiions de irabilié de, exprimée par le sysème : o o œ o (b) aucune ransiion n es nouvellemen sensibilisée e les ransiion ~ $@D œå@d ~ resen sensibilisées lors du ir de ~. On ajoue donc les équaions qš ]d Š ~, pour + Æc; ; (c) on élimine les variables ~Š, ce qui condui au sysème : žpo q o Ç œq q o žpo œq o È q q oÿ žpo q o Le graphe des classes d éas du réseau figure 1.1 adme douze classes e ving-neuf ransiions, il figure dans [BER 01]. La figure 1.2 monre un aure réseau emporel, qui nous servira pour comparer différenes sores de graphes de classes, ainsi que son graphe de classes ²F Vérificaion à la volée du caracère borné Il rese à examiner les condiions sous lesquelles l ensemble des classes d éas es fini. Rappelons qu un réseau de Peri ou emporel es borné si le marquage de oue place adme une borne supérieure. L ensemble des domaines de ir d un réseau emporel éan fini [BER 83], son graphe des classes es fini si e seulemen si le réseau es borné. Cee propriéé es indécidable (voir héorème 1), mais des condiions suffisanes peuven êre éablies. Le héorème suivan en propose ceraines, de naure comporemenale, l analyse srucurelle en fourni d aures. Théorème 4. [BER 83] Un réseau emporel es borné si son ²F ne conien pas de paire de classes d éas Ä ] Z e Ä q ] Y q Z elles que : i) Ä q es accessible depuis Ä, ii) q 9 ɵ, iii) q ]Ÿ, iv) Y g Z Y q Y Z Y Zm q Y ÊZ 9 H 3CFEHG Y Í@D BZb; Z. Ë$Ì

9 Î Ï Î Î Réseaux de Peri emporels [3,5] Î [0,2] Î 1 c0 1 p1 2 c1 1 c8 2 0 p0 0 [3,5] p2 [2,3] p3 0 2 c4 c5 c2 c7 c6 p4 [5,7] p5 c3 classe Ä*ž Ä Ä- Ä* Ä* marquage 6ž@6 ž@ Æ 6@6 Æ domaine de ir Æ!o q owð ž,o ~ž,o ž,o o ž,o Ñ,o Áo ~ž,o Æ ž,o o ž Áo o Æ classe Ä-Æ Ä-Ò ÄÐ Ä*Ó domaine de ir!o µo ž,o q oÿ žpo o žáo q o žáo q o žáo Ñ,o Figure 1.2. Réseau emporel e son ÔjÕ Ö. La variable Ø es noée Ù. Les propriéés (i) à (iv) son nécessaires pour qu un réseau soi non borné, mais pas suffisanes. Ce héorème perme, par exemple, de démonrer que les réseaux des figures 1.1, 1.3 (gauche) e 1.3 (milieu) son bornés, mais il ne perme pas de démonrer que le réseau figure 1.3 (droi) es borné bien que celui-ci n admee que quaranehui classes d éas. Si l on ome (iv), on ne peu plus monrer que 1.3 (milieu) es borné, omean de plus (iii), on ne peu inférer que 1.3 (gauche) es borné. La condiion obenue se résume alors à la propriéé borné pour le réseau de Peri sous-jacen [KAR 69].

10 BÛ BÛ BÛ Sysèmes Temps Réel Volume 1 A 1 [1,1] Ú A 1 [1,1] Ú A 1 [1,1] Ú 10 3 [1,1] Ú [0,0] Ú 2 [0,0] Ú 2 [1,1] Ú Figure 1.3. Trois réseaux emporels bornés Varianes Sensibilisaions muliples Une ransiion es muli-sensibilisée par un marquage i½ Ü el que Ý9 i s il exise un enier { CFEHG Y BZ. Dans les classes du graphe de classes inrodui en secion 1.3, chaque ransiion sensibilisée es associée à une e une seule variable emporelle, qu elle soi ou non muli-sensibilisée ; les différenes daes de sensibilisaion son sysémaiquemen idenifiées avec la plus grande (la dernière) de ces daes. Dans ceraines applicaions, cee inerpréaion es limiaive e on peu vouloir considérer les différenes insances de sensibilisaions de façon disinces. Ces aspecs son abordés dans [BER 01], où plusieurs inerpréaions opéraoires de la mulisensibilisaion son disinguées. On peu, naurellemen, considérer les insances de sensibilisaion comme indépendanes, ou encore comme ordonnées selon leurs daes de créaion. Dans ous les cas, l algorihme 1 es aisémen adapé e produi des graphes de classes «avec muli-sensibilisaion». Le leceur es renvoyé à [BER 01] pour plus de précisions Préservaion des seuls marquages Il es possible de compacer encore le graphe ²F en ne mémorisan pas les classes inclues dans une classe déjà consruie. Plus précisémen, soi ³Þ] Z e ³H ] Y q Z deux classes, e ³:ß ³H si e seulemen si ] q e áàâ q. Alors, pluô que de procéder comme dans l algorihme 1, on consrui un ensemble ² de classes el que, lorsque ³ + ² e { es irable, on a YSx + ² Z Y ³Hº ß ). Inuiivemen, si une elle classe exise, ou échéancier irable depuis un éa de ³ º es aussi irable depuis un éa de, on ne rouvera donc pas de nouveaux marquages en mémorisan ³ º. Bien enendu, cee consrucion ne préserve plus les séquences de ir du graphe d éas, donc ses propriéés, mais seulemen les marquages. Elle produi ypiquemen des graphes plus compacs.

11 Réseaux de Peri emporels 1.4. Graphes de classes préservan éas e propriéés Comme menionné dans la secion précédene, les classes consruies par l algorihme 1 représenen des classe d équivalences d ensembles d éas, mais ne représenen pas canoniquemen les ensembles ²³ définis au paragraphe La conséquence es que le ²F ne peu pas êre uilisé pour démonrer l accessibilié ou non d un éa pariculier du T<>=. Les classes d éas fores inroduies dans cee secion coïnciden exacemen avec ces ensembles d éas ² ³, considérées ici sans aure forme d équivalence que l égalié. Le graphe des classes fores préserve les propriéés e les éas, dans un sens que nous préciserons par la suie Domaines d horloges Pour consruire le graphe des classes d éas fores (ou ²F ), il es nécessaire de représener ces ensembles d éas ² ³ de façon canonique. Une représenaion adéquae es fournie par les domaines d horloges. A ou échéancier on peu associer une foncion horloge ã comme sui : à oue ransiion sensibilisée après le ir de l échéancier, la foncion ã associe le emps écoulé depuis la dernière sensibilisaion de cee ransiion. Pour un éa donné, la foncion horloge sera aussi vue comme un veceur ã, indexé par les ransiions sensibilisées. L ensemble d éas décri par un marquage e un sysème d horloges ä ] 3\ Fã o å ; es l ensemble 3 æ Y ã ZDZ*5 ã + çhè Y äázb;, où çhè Y ä!z es l ensemble des soluions de ä, e le domaine de ir æ Y ã Z es l ensemble des soluions en ¼ du sysème : ž a oÿ¼ 4ã o è où a à ]WÁ[ N\YQi Z and è à ]lµ[ NYQi Z Noons é la relaion qui lie deux paires (marquages, sysème d horloges) lorsqu elles décriven exacemen le même ensemble d éas. En général, différens veceurs d horloges peuven décrire le même domaine de ir. Touefois, l équivalence é es aisémen éablie dans un cas pariculier : Théorème 5. [BER 03b] Soi ÄR] ] 3 Fã o å ;HZ e Ä q ] Y q ] 3 q ã q o å q ;HZ. Si oue ransiion sensibilisée par ou q a un inervalle saique borné, alors ÄRéWÄ q ssi ] q 8 çhè Y ä!z]lçhè Y ä q Z Le cas général sera évoqué plus loin, noer ouefois que, lorsqu une ransiion i es irable à oue dae au-delà de sa dae de ir au plus ô a, alors ous les veceurs d horloge don la composane i es au moins égale à a, e ne différan que par cee composane, décriven le même éa.

12 Sysèmes Temps Réel Volume Consrucion du ²F Les classes d éas fores son représenées par des paires où es un marquage e ä un domaine d horloges décri par un sysème d inéquaions Fã o å. Les variables ã son bijecivemen associées aux ransiions sensibilisées par. L équivalence é es implanée comme dans le héorème 5. Algorihme 2 (Calcul du ²F, classes fores). Une classe ê ³ calculée comme ci-dessous peu êre associée à oue séquence irable. Calculer le plus pei ensemble ² de classes conenan êfà e el que, lorsque ê ³ + ² e { es irable, alors YQx + ² Z Y félê ³Hº ). La classe iniiale es êfà] Y ã o žp5 L 9 CFEHG Y BZb; Z. Si es irable e ê ³p] alors { es irable si e seulemen si : (i) Â9 CFEHG Y BZ ( es sensibilisée par ) e, (ii) le sysème ä 8 3ž,o7&; 8 3\![ N\Y BZH>ã o po [ NY Z\>ã Š 5f9 CFEHG Y Zb; es consisan ( es une nouvelle variable). Si { es irable, alors ê ³Hº ] Y q Z es calculée depuis ê ³,] par : q ] CFEHG Y BZj2CTI6JK Y BZ, ä q obenu comme sui : (a) Une nouvelle variable es inroduie,, conraine par les condiions (ii), (b) Pour chaque sensibilisée par q, une variable ã qš es inroduie, par : ã qš ] ã Š 2, si ]W k e rcfe\g Y BZ 9 CFEHG Y Z, žpo ã qš o ž, sinon ; (c) Les variables ã e son éliminées. La variable emporaire décri les daes de ir possible de depuis les éas de la classe de dépar. Il y a un arc éiqueé enre les classes ê ³ e si e seulemen si ëéìê ³Hº. Comme les sysèmes décrivan les domaines de ir dans les classes du ²F, les sysèmes d horloges son des sysèmes de différences, l équivalence é es vérifiée en emps polynômial en mean ces sysèmes sous forme canonique. Si le réseau saisfai à la resricion inroduie dans le héorème 5 (ous les inervalles saiques son bornés), alors l ensemble des sysèmes d horloges disincs que l on peu consruire avec l algorihme 2 es fini. Si cee condiion n es pas saisfaie, alors, pour assurer la erminaison de la consrucion, on doi ajouer dans l algorihme 2 une éape (d) de relaxaion de la classe consruie. Cee éape es expliquée en déail dans [BER 03b], elle revien à noer l ensemble d éas ²³ par le plus grand ensemble d horloges décrivan ce ensemble d éas. Ce plus grand ensemble d horloges n es pas en général convexe, mais il es oujours consiué d une réunion finie d ensembles

13 Réseaux de Peri emporels convexes. En praique, la représenaion des classes e la relaion é son inchangées, mais une classe pourra avoir plusieurs classes suivanes par la même ransiion. Comparé au ²F, le ²F préserve aussi les races e races maximales du réseau e donc ses propriéés exprimables en logique, mais il perme de plus de vérifier l accessibilié d un éa. Soi ] un éa don on veu vérifier l accessibilié. Alors, on peu oujours calculer un veceur d horloges í el que, pour oue. ransiion i sensibilisée par, l on ai M YQi Z ]âm-n YSi Z í Ã. Les propriéés du ²F assuren alors que es accessible si e seulemen si il exise une classe fore Y du ²F elle que ] q e í + ä. Le ²F du réseau figure 1.2 adme onze classes e seize ransiions, il es représené figure 1.4 (gauche). Si on le compare au ²F de ce réseau, figure 1.2, on noera que les ensembles d éas ² Œº y e ² y º son disingués dans le ²F (représenés par les classes ÄP e Ä*, respecivemen), alors qu ils éaien équivalens par ] dans le ²F. Il en es de même pour les ensembles ² y º (Ä ž ) e ² L (Ä-Æ ) Varianes Comme pour le calcul du ²F (voir secion 1.3.3), on peu aisémen ajouer à l algorihme 2 la vérificaion à la volée d une condiion suffisane pour le caracère borné. Enfin, comme pour le ²F (voir secion ), comme proposé dans [BOU 04], on peu consruire une version généralemen plus compace du ²F ne préservan que les éas (mais ne préservan pas les séquences de ir). Il suffi pour celà de ne pas mémoriser une classe conenue dans une classe déjà consruie Graphes de classes préservan éas e propriéés ² Les propriéés de branchemen son celles exprimées dans les logiques emporelles à emps arborescen comme ², ou dans les logiques modales comme îsïð ou le ñ -calcul. Ni le ²F, ni le ²F, ne préserven ces formules. Considérons le réseau représené figure 1.2 avec son graphe de classes ²F. Un exemple de formule îsïð don la valeur n es pas préservée par ce graphe es òt Å Ñ \ ~ò ó, expriman que, via, il es possible d aeindre un éa depuis lequel ou ir de Ñ condui à un éa permean de irer. Cee formule es vraie sur le ²F, mais fausse sur le graphe des éas du réseau : en effe, après avoir iré l échéancier Y zfæ{ Ñ zf ÅZ, les ransiions q e son oues deux sensibilisées, mais seule q es irable, à la dae 0. En l absence de ransiions silencieuses, les propriéés de branchemen son capurées par la noion de bissimulaion ; ou graphe de classes bissimilaire au graphe

14 Sysèmes Temps Réel Volume 1 c0 c0 c1 1 c8 c1 1 c11 1 c8 ô c4 c9 c10 c5 c4 c9 c10 2 c c2 2 c7 c6 c2 2 c7 c6 c3 c3 classe Ä-ž Ä Ä- Ä* marquage ž@6 ž@ Æ domaine d horloges žpo q o ž Æ,o ~ž,o Æ žpo µo ž žpo ~ž,o ž Æ,o o Æ žpo o ž classe Ä* Ä-Æ Ä*Ò ÄÐ Æ >@Œ 6 6!@Œ 6 >@Œ Æ domaine d horloges žpo Ñ Áo ž žpo o ž Æ,o q o Ð žpo o po q o Æ classe Ä-Ó Ä* Ä ž 6 domaine d horlogespo q oÿæ žpo Ñ Áo žpo µo žpò q o Æ žpo Ñ Áo žpo q o Ð žpo Ñ,o ž classe Ä ž Ä Å marquage 6 domaine d horloges žpo µo žpo q o Æ,ò q owð žpo Ñ Áo ž Figure 1.4. ÔjÔjÕ Ö e õaôjõ Ö du réseau figure 1.2. La variable ö Ø es noée Ù.

15 Réseaux de Peri emporels des éas (annoaions emporelles omises) préserve oues ses propriéés de branchemen. Une première consrucion pour un el graphe de classes a éé proposée dans [YON 98], pour la sous-classe des <>= q dans lesquels les inervalles saiques des ransiions son bornés supérieuremen. Une spécialisaion de cee consrucion, ne préservan que les formules de la logique øt², es proposée dans [PEN 01]. Pluô que ces consrucions, nous rappellerons celle de [BER 03b], qui s applique à ou <>= e produi généralemen des graphes plus compacs. La echnique «sandard» de calcul de bissimulaion es celle du «raffinemen minimal de pariion» inroduie dans [PAI 87]. Soi V une relaion binaire sur un ensemble fini ù. Pour ou ðàúù, soi û y ] 3 5 YSxcü + Z Y V ü Zb;. Une pariion < de ù es sable si, pour oue paire Y de blocs de <, soi ø½àÿýšû y soi ø7þ ýšû y ]ˆÿ (ø sera die sable par rappor à ý ). Calculer une bissimulaion depuis une pariion iniiale < d éas, es calculer un raffinemen sable ä de < [KAN 90]. Un algorihme es le suivan [PAI 87] : Iniialemen : ä½]l< an que : il exise + ä els que ÿ à ø7þ ý û k y à ø k faire : replacer ø par ø yr]wø7þ ý û y e ø ]WøW ý û y dans Q Nore conexe es sensiblemen différen de celui supposé ci-dessus, car nos ensembles d éas ne son pas finis, mais la méhode peu êre adapée. Suivan [YON 98], appelons aomique une classe sable par rappor à oues ses classes suivanes, c esà-dire don chaque éa a un successeur dans chacune de ses classes suivanes. Les classes fores du ²F son adéquaes comme pariion iniiale (conrairemen aux classes du ²F, l équivalence ] ne préservan pas l aomicié). Touefois, le fai que ce ensemble soi un recouvremen pluô qu une pariion, implique que le résula final sera généralemen non minimal en nombre de blocs, e non unique. Le graphe des classes d éas aomiques (ou øt²f ) sera obenu par raffinemen du graphe des classes fores (²F ). La echnique de pariion des classes es expliquée en déail dans [BER 03b]. Inuiivemen, pour chaque ransiion du graphe couran, on calcule depuis la classe desinaion Ä q l ensemble des (horloges possibles des) éas ayan un successeur dans Ä q. L inersecion de ce ensemble avec celui capuré par la classe source Ä défini une pariion de Ä. Les classes aomiques son considérées modulo l équivalence é, comme les classes fores. Si un inervalle saique au moins es non borné, alors le øt²f doi êre consrui en prenan comme recouvremen iniial le ²F «relaxé» (voir secion 1.4.2). Par exemple, le øt²f du réseau figure 1.2 adme douze classes e dix-neuf ransiions, il es représené figure 1.4. La seule classe non aomique de son ²F, Ä ž, a d abord éé pariionnée en Ä žåq e une classe équivalene par é à Ä-Æ. La classe Ä*Ó du ²F es alors devenue non aomique, e a à son our éé pariionnée en Ä*Ó q e Ä $. Il peu êre vérifié sur le øt ²F îsïð exemple ò - Ñ \ hò ó. qu il préserve la valeur de vérié de nore formule

16 L Ã Sysèmes Temps Réel Volume Calculs d échéanciers Sysèmes d échéanciers Pour chaque séquence irable, les daes possible de franchissemen des ransiions le long de son liées par un sysème d inéquaions linéaires <F oþ ; la -ième composane du veceur décri les daes de ir possible pour la -ième ransiion de. Pour calculer ces sysèmes, on peu procéder comme pour le calcul des classes d éas fores par l algorihme 2, mais en n éliminan pas les variables auxiliaires. Cee méhode es exprimée par l algorihme 3 ci-après. Algorihme 3 (Calcul des échéanciers relaif à une séquence de ir ). Noons Š le préfixe de la séquence de longueur e Š la -ième ransiion de. Š On calcule par la méhode ci-dessous une suie de paires, pour p+ 3\ž@{-{-{-@ i ;, consiuées d un marquage e d un sysème d inéquaions de la forme < Y 5 ã Z o½. Š Inuiivemen, si ] Z, alors es le marquage aein après le ir de Š, le sysème caracérise simulanémen les daes de ir possibles des ransiions le long de Š, e les valeurs d horloges pour les ransiions sensibilisées par. Le sysème recherché es celui obenu en éliminan les variables d horloge ã dans le sysème d inéquaions de la dernière paire calculée,. ] Y o ž 5 L 9 CFEHG Y BZb; Z. Cee paire a la forme Iniialemen, requise, bien qu aucune variable «de chemin» n apparaisse dans le sysème d inéquaions. Soi ] Š e Š ] Z. Si Š es irable, alors Š { l es si e seulemen si : (i) Â9 CFEHG Y BZ ( es sensibilisée par ) e, (ii) le sysème 8 3ž,o ; 8 3\![ N\Y BZH>ã es consisan ( es une nouvelle variable «de chemin»). o po µ[ NY Z\>ã Š 5f9 CFEHG Y Zb; La paire Š ) y ] Y q Z es obenue comme sui depuis la paire Š ] rz : q ] CFEHG Y BZj2CTI6JK Y BZ, q obenu par : (a) Une nouvelle variable es inroduie,, conraine comme en (ii) ci-dessus ; es inroduie, par : (b) Pour chaque sensibilisée par q, une variable ã q ã q ]Ÿã 2, si ]W k e rcfe\g Y BZ 9 CFEHG Y &Z, žpo ã q o ž, sinon ; (c) Les variables ã son éliminées. La mise en œuvre exace de l algorihme 3 ne sera pas déaillée ici. Plusieurs opimisaions son essenielles pour de bonnes performances sur de longues séquences. En

17 Réseaux de Peri emporels pariculier, ces sysèmes son ypiquemen srucurés en sous-sysèmes indépendans, propriéé qu il es inéressan d exploier. Alernaivemen, pluô que par l algorihme ci-dessus, les sysèmes d échéanciers peuven êre reconsruis depuis la séquence de classes d éas ou de classes fores (sans relaxaion) consruies pour la séquence. Ces sysèmes permeen de résoudre cerains problèmes «quaniaifs» concernan les échéanciers, noammen celui de l échéancier le plus rapide, ou le plus len, de suppor donné, ou l exisence d échéanciers de suppor donné saisfaisan des condiions pariculières impliquan les délais de ir. Les sysèmes <F o½ produis pour par l algorihme 3 on une srucure pariculière : chaque inéquaion a l une des formes suivanes, dans lesquelles e son des consanes enières e M es un inervalle d eniers de 5 ;. Noer que les variables impliquées dans les sommes concernen nécessairemen des ransiions conigües de la séquence de ir suppor : o7 o ö Š Y HŠSZ Š Y \Š~Zµo Ë Ë Délais (daes relaives) e daes (absolues) Les sysèmes consruis par l algorihme 3 caracérisen des daes relaives de ir (des délais). Il es possible de reformuler ce algorihme afin de produire des sysèmes en «daes absolues» de ir, pluô que relaives. Dans ce cas, on inroduira une variable supplémenaire,, qui représene la dae d iniialisaion du réseau. La dae absolue de ir de la -ième ransiion de es la dae iniiale augmené des daes relaives de ir des premières ransiions de. On passe donc aisémen d un sysème «en délais» (HŠ ) à un sysème «en daes» (Š ), ou inversemen, par la ransformaion suivane (oues les variables éan non négaives) : ŠÊŠ û yr]ÿhš (en posan L ] ) Noer que, appliquée à un sysème «en délais», e compe enu de la forme générale de ces sysèmes, cee ransformaion produi un sysème de différences Illusraion A ire d exemple, ou échéancier de suppor { Ñ &{ { q dans le réseau figure 1.2 a la forme zt L { Ñ ÅzT$y{ BzT { q zt, les variables HŠ saisfaisan les inéquaions suivanes :

18 Sysèmes Temps Réel Volume 1,o ytoÿæ,o y2 o Ð ž,o oÿ ÆÁo y2 2 owð Áo \ Fo ÆÁo y 2H µ2\ 4\œ>oWÐ ž,o œ Exprimé en daes, pluô qu en délais, on obiendrai le sysème suivan, dans lequel es la dae d iniialisaion du réseau, e Š la dae à laquelle es irée la -ième ransiion de :,o ya oÿæ,o owð ž,o ytoÿ ÆÁo owð Áo o ÆÁo œ owð ž,o œ 1.7. Mise en œuvre, l environnemen (TIme Peri Ne Analyzer) 1 es un environnemen logiciel permean l édiion e l analyse de réseaux de Peri e réseaux emporels. Les différens ouils consiuan l environnemen peuven êre uilisés de façon combinée ou indépendane. Ces ouils incluen : (NeDraw) : es un ouil d édiion de réseaux emporels e d auomaes, sous forme graphique ou exuelle. Aussi, il inègre un simulaeur «pas à pas» (graphique ou exuel) pour les réseaux emporels e perme d invoquer les ouils ci-dessous sans sorir de l édieur. ' : ce ouil consrui des représenaion de l espace d éas d un réseau de Peri, emporel ou non. Aux consrucions classiques (graphe de marquages, arbre de couverure), ' ajoue la consrucion d espaces d éas absrais, basés sur les echniques d ordre pariel, préservan ceraines classes de propriéés, comme l absence de blocage, les propriéés de ceraines logiques, ou les équivalences de es ; ces faciliés son décries dans [BER 04]. Pour les réseaux emporels, ' propose oues les consrucions de graphes de classes discuées dans ce chapire. Tous ces graphes peuven êre produis dans divers formas : «en clair» (à bu pédagogique), dans un forma d échange compac à desinaion des aures ouils de l environnemen, ou bien dans. hp://

19 Réseaux de Peri emporels les formas accepés par cerains vérificaeurs de modèles exernes, comme ïðá² [ARN 94] pour la vérificaion de formules du ñ -calcul, ou les ouils ²Fø š< [FER 96] pour noammen la vérificaion de préordres ou d équivalences de comporemens. Dans oues ces consrucions ' peu vérifier à la volée ceraines propriéés «générales» elles que le caracère borné (condiion souven nécessaire pour une implanaion ulérieure e souven requise pour envisager d aures vérificaions), la présence de blocage - suivan le cas il sera aendu (oujours le cas pour un calcul qui doi en pariculier erminer) ou non désiré (souven le cas pour les sysèmes réacifs) - la pseudo-vivacie qui perme de rechercher le «code mor» (ransiion jamais acivée) ou encore la vivacié qui perme de s assurer qu une ransiion (ou une configuraion du sysème) es aeignable à parir de ou éa du comporemen du sysème. % $ : ce ouil perme le calcul de sysèmes d échéanciers comme expliqué secion 1.6. Il produi à la demande le sysème comple d échéanciers, ou une soluion de ce sysème, en délais ou daes, mis ou non sous forme canonique. "H'H' : il s agi d un ouil d analyse srucurelle, non décri ici, calculan des ensembles généraeurs de flos ou semiflos, sur les places e/ou ransiions. "$#&%$' : nn plus des propriéés générales vérifiées par ', il es le plus souven indispensable de pouvoir garanir des propriéés spécifiques relaives au sysème modélisé. L ouil "$#c%$' es un vérificaeur de modèle (model-checker) pour les formules d une exension de la logique emporelle Á (Sae/Even ) de [CHA 04]. Il opère sur les absracions d espaces d éa produies par ', ou, à ravers un ouil de conversion, sur des graphes produis par d aures ouils els que les ouils ²Fø š< [FER 96]. La mise en œuvre de ce vérificaeur sera déaillée dans le paragraphe , c' : il s agi d ouils de conversion de formas de réseaux ( ) e de sysèmes de ransiions (c' ). Ces différens ouils peuven coopérer au ravers de fichiers dans des formas d échange documenés. Une capure d écran d une session es reproduie figure 1.5, avec un réseau emporel en cours d édiion, un résula exuel de consrucion de graphe de classes e une représenaion graphique de ce graphe La vérificaion de formules dans Dans cee secion, nous nous focalisons sur la vérificaion de propriéés spécifiques e présenons les echniques e ouils mis à disposiion dans pour réaliser cee âche. La vérificaion de propriéés spécifiques nécessie en premier lieu un langage formel permean d énoncer les propriéés que l on cherche à vérifier, nous uiliserons pour cela une variane de la logique emporelle à emps linéaire,

20 Sysèmes Temps Réel Volume 1 Figure 1.5. Capure d écran d une session "! #. ensuie une absracion du comporemen du réseau préservan les formules de cee logique (les consrucions ²F e ²F de ' son adéquaes) e enfin un ouil (le module "$#&%$' ) qui perme de conrôler la saisfacion des propriéés formellemen énoncées sur la représenaion produie du comporemen du réseau La logique emporelle T La logique T éend le calcul proposiionnel en permean l expression de propriéés spécifiques sur les séquences d exécuion d un sysème. 4 T es une variane de récemmen inroduie [CHA 04], qui perme de raier de façon homogène des proposiions d éas e des proposiions de ransiions. Les modèles pour

21 ?? V? Réseaux de Peri emporels la logique son des srucures de Kripke éiqueées (ou $ Þ ), aussi appelées sysèmes de ransiions de Kripke (ou ). Définiion 3. Srucure de Kripke éiqueée Un uple %'&)(Þ], un ensemble fini d T@,PO consiué de : M Ê '-, un sous-ensemble d éas iniiaux, øt<, un ensemble fini de proposiions aomiques d éas, * : 4V¹ /.10, un éiqueage des éas par des ensembles de proposiions, ˆà 32:, un ensemble fini de ransiions,, un ensemble fini d événemens, ou acions,, : WV¹ 4, un éiqueage des ransiions par des ensembles d événemens. On écrira 65 V87 lorsque 7$Z + 7a\ 9, 7$ZBZF]. Un chemin, ou exécuion, d une %:&;( es une suie infinie < ] O alernan éas e ransiions elle que g Š Š + ra\ Š>="? Š ) y. La paire Y Š Z sera appelée éape. Classiquemen, la relaion d accessibilié es supposée oale (ou éa adme un successeur). On Y %'&)(Z l ensemble de ous les chemins ayan leur origine dans l un des éas + M Ê. Enfin, pour un chemin < ] yh@ O, < Š désigne le suffixe du chemin < commençan à l éa Š. Définiion 4. L µ6 es définie sur les ensembles ø<wa\ A d une %'&)(. dénoe une variable de øt< e une variable de. Les formules æ de son définies par la grammaire suivane : æ UƒU ]r :5 5CBæW5\æD:æŸ5:E æÿ5fÿæÿ5hgsæÿ5\æ2ùlæ Leur sémanique es définie inducivemen comme sui : %'&)(75]âæ ssi <45]ˆæ pour ou chemin < Y %'&)(Z <r5]2 ssi + * Y Hy Z (où Hy es le premier éa de < ) <r5] ssi +, Y y Z (où y es la première ransiion de < ) <r5]6bæ ssi ç <45]ˆæ <r5]iexæ ssi < 5]ˆæ <r5]ifÿæ ssi g < Š 5]ˆæ <r5]6gsæ ssi x < Š 5]âæ <r5]ˆæ yµùlæ ssi x < Š 5]âæ e g 9 5]âæ y

22 Sysèmes Temps Réel Volume 1 Exemple 1 Quelques formules de : (Pour ou chemin) < P vraie au dépar du chemin (pour l éape iniiale), Ef< P vraie dans l éape suivane, F < P vraie ou le long du chemin, G:< P vraie une fois au moins le long du chemin, <lùwä Q sera vraie dans le fuur e P es vraie jusqu à ce insan, P vraie infinimen souven, F G:< F Y <½mKG ä!z Q «répond» à P Préservaion des propriéés par les consrucions de ' Les graphes de classes décris dans les secions 1.3 à 1.5 préserven ous les marquages e races maximales du graphe des éas, e donc la valeur de vérié de oues les formules de >. Les srucures de Kripke associées à ces graphes son consiuées de ces graphes, don les nœuds (éas de la srucure de Kripke) son éiqueés par les marquages (inerpréés comme les propriéés d éas saisfaies) e les arcs par les ransiions irées (inerpréées comme les propriéés de ransiions saisfaies). Les inervalles emporels saiques associés aux ransiions d un réseau emporel n éan pas nécessairemen bornés, il es possible que l on puisse résider indéfinimen dans cerains éas, sans qu une «boucle» sur les classes conenan ces éas ne maérialise dans le graphe de classes ce emps d aene arbiraire ; cee informaion figure ouefois dans l informaion emporelle capurée par les classes. L uilisaeur a le choix, à la généraion du graphe de classes ou à son chargemen dans le vérificaeur, de prendre ou non en compe ces emps d aene arbiraires. S ils son pris en compe, une boucle sur les éas d aene sera ajouée dans la srucure de Kripke, ainsi qu une propriéé spécifique div (pour divergence emporelle). D aure par, la relaion d accessibilié dans les srucures de Kripke éan supposée oale, on ajouera au graphe obenu une boucle sur ous les nœuds n ayan aucun suivan, ainsi qu une propriéé spécifique (dead) "$#&%$' : le vérificaeur de Technique de vérificaion Dans cee secion, nous décrivons les principales foncionnaliés du module " #&%$', le model-checker pour la logique pr L de la boîe à ouils. "$#&%$' perme de vérifier la saisfacion d une propriéé T sur une srucure de Kripke obenue comme indiqué ci-dessus depuis un graphe de classes. La vérificaion compore deux phases :

23 Réseaux de Peri emporels 1) consruire un auomae de Büchi accepan les mos qui ne saisfon pas la formule à vérifier ; cee phase es réalisée de façon ransparene pour l uilisaeur en invoquan le logiciel %$'%L M développé au LIAFA par Paul Gasin e Denis Oddoux[GAS 01] ; 2) consruire la composiion de la srucure de Kripke obenue depuis le graphe des classes e de l auomae de Büchi, e rechercher à la volée une composane foremen connexe conenan un éa accepan de l auomae de Büchi. Si aucune elle composane n es rouvée, alors la formule es saisfaie, sinon elle défini un conre-exemple. En cas de non-saisfacion d une formule, "$#&%$' peu fournir une séquence conreexemple en clair ou sous un forma exploiable par le simulaeur de, afin de pouvoir l explorer pas à pas. Noons que, dans le cas d un modèle emporisé, il fau au préalable associer à cee exécuion un échéancier emporel. Celui-ci sera calculé de façon ransparene par le module % décri en secion 1.6. Dans cerains cas - noammen pour les sysèmes emporisés - la séquence conreexemple d une formule peu êre rès longue e donc difficilemen exploiable par l uilisaeur. Afin d en facilier l exploiaion, "$#c%$' peu aussi produire des conreexemples sous forme compacée (symbolique). Le conre-exemple es alors présené comme une suie de séquences, chacune imprimée comme une seule ransiion, ne maérialisan que les changemens d éas «esseniels» pour la compréhension du problème (les changemens d éas de l auomae de Büchi) La logique de "$#&% ' Les srucures de Kripke éiqueées que nous manipulons ici son obenues à parir d un réseau de Peri. Dans ce conexe, øt< correspond à l ensemble < des places du réseau e à l ensemble de ses ransiions. Noons que l inerpréaion des formules r (void définiion 4) confond deux éas dès lors que, dans ces deux éas, les mêmes places son marquées, indépendammen du nombre de marques dans les places marquées. Si cee approche es exace dans le cas d un réseau sauf (pour lequel chaque place es bornée par 1), elle implique dans le cas général une pere d informaion significaive. Afin de conserver l informaion de muliplicié de marques exprimée par les marquages, " #&%$' ravaille sur des srucures de Kripke enrichies, basées sur des muliensembles de propriéés aomiques pluô que des ensembles. La seule différence avec la définiion 3 es le remplacemen des applicaions * e, par des applicaions * q e, q qui associen à chaque éa de un muli-ensemble consrui sur øt< (c es-à-dire une applicaion de ø<onvqp R, ou encore un marquage, dans nore conexe) e à chaque ransiion de un muli-ensemble consrui sur, respecivemen. Cee dernière possibilié, pour les ransiions, n es pas exploiée dans les exemples que nous présenerons ici, mais elle es uile pour l analyse des consrucions à base de pas couvrans aussi fournies par ' (non discuées ici).

24 ? W? X X?? X? y X?? X Sysèmes Temps Réel Volume 1 A ce enrichissemen des srucures de Kripke correspond un enrichissemen du langage des formules afin d exploier au mieux l informaion qu elles coniennen. Pour cela, on va subsiuer au calcul proposiionnel (bi-valué par {rue,false}), un calcul proposiionnel muli-valué e éendre le langage d inerrogaion de "$#c%$' avec des opéraeurs logico-arihméiques. Pour + ø<, +, Ä + P R, les formules æ, proposiions e expressions arihméiques a de "$#c%$' obéissen à la grammaire suivane : æ U U ] 5HBæŸ5HæD æw5:e æ 5HFŸæW5CGÞæŸ5Hæ4ùlæ U U ]Wa>5aSÁa Y S ; Z a U U ]2 5 5ÄT5aT,a Y T + 3 Á@->@ Ž&@VUc;HZ Pour ou chemin <, l inerpréaion W CX Y <ÍZ d une proposiion e la valeur enière aho Y <ÍZ d une expression son définies comme sui : y S Wva Y <ÍZ ] aho Y <ÍZ Y <ÍZ ] W Y <ÍZYSZW Y Ä-O Y <ÍZ ] O Y <ÍZ ] * q Y Z Y ÊZ, où s es le premier éa de <@ O Y <ÍZ ], q Y BZ Y Z, où es la première ransiion de <@ ahy[t,a O Y <ÍZ ] ã y*o Y <ÍZYT a O Y ¼ÊZ { La sémanique des formules es définie comme pour >T (voir la définiion 4), sauf pour les règles relaives à e, remplacées par : <r5]la ssi WŒa Y <ÍZP{ Enfin, " #&%$' perme la déclaraion d opéraeurs dérivés ainsi que la redéclaraion des opéraeurs exisans ; un pei nombre de commandes son aussi fournies pour conrôler l impression des résulas ou encore permere l uilisaion de bibliohèques de formules. Nous renvoyons le leceur au manuel de l ouil "$#c%$' pour plus de déails. Exemple 2 Quelques formules de "$#&%$' concernan le réseau figure ou chemin commence par e L Y ÅZ 9, F Y R T Æ>]â ÅZ un invarian de marquage linéaire, F Y RŽÍ 6 TŽÍ Æ>]lž Z un invarian de marquage non linéaire, S [ 7 êr ]\F Y mkg]7$z déclare l opéraeur «répond à», noé R, ê ÑÆ «répond à» ÑÆ.

25 Réseaux de Peri emporels 1.9. Quelques exemples d uilisaion de "$#c%$' John e Fred Énoncé Ce exemple [DEC 91] es empruné au domaine de l inelligence arificielle e à la problémaique de saisfacion de conraines. L énoncé es le suivan : John se rend à son ravail en uilisan sa voiure (la durée de son raje es alors de 30 à 40 minues) ou le bus (au moins 60 minues). Fred se rend à son ravail en uilisan sa voiure (durée 20 à 30 minues) ou un sysème de covoiurage (40 à 50 minues). Aujourd hui John a quié son domicile enre 7h10 e 7h20, Fred es arrivé à son ravail enre 8h00 e 8h10. De plus John es arrivé 10 à 20 minues après que Fred ai quié sa maison. Il s agi de répondre à rois quesions : 1) Les conraines emporelles figuran dans ce scénario son-elles consisanes? 2) Es-il possible que Fred ai pris le bus e John uilisé le covoiurage? 3) Dans quelle plage horaire Fred a pu parir? La modélisaion du problème en réseau emporel es donnée figure 1.6. Les paries non grisées corresponden aux comporemens respecifs habiuels de John e de Fred. La parie grisée spécifie deux «observaeurs» mis en place pour prendre en compe les conraines emporelles spécifiques au scénario considéré. Sur la composane cenrale son représenées les conraines absolues : heure de dépar de John, heure d arrivée de Fred. La conraine relaive sipulan que «John es arrivé enre 10 e 20 minues après que Fred ai quié sa maison» es représenée par un second observaeur qui complèe le réseau de Fred en déclenchan un «chronomère» après que Fred ai quié sa maison Les conraines emporelles figuran dans ce scénario son-elles consisanes? Le graphe de classes de ce réseau, calculé par l algorihme 1 exécué par ', adme 3676 classes e 7578 ransiions. Comme ce graphe es sans circui, il suffi de s assurer de l exisence d une exécuion permean à John e Fred de ravailler e saisfaisan les conraines exprimées, auremen di saisfaisan la formule ¼ y suivane : ¼ y ]^G Y Åç_ _èqah[ 8 Ð_ ž _Ð_ ž Z John es pari enre 7h10 e 7h20 8 G Y [ ah` _ \ ba a 8 Ó_žÅž _Ó/_ žcz Fred es arrivé enre 8h e 8h10 8 G Y Åç_ _ \ ca a 8 ž _ $ž Z John arrive 10 à 20 minues après le 8 G Y Åç_ _¾Tç i S å>8 [ ah` _¾ç i å Z dépar de Fred

26 Sysèmes Temps Réel Volume 1 john_a_home Observer fred_a_home 1 [430,430] e o1 d fred_has_lef f 6 john_lef 7h10_7h20 fred_lef [0,0] e 2 [0,0] e 7 [10,10] e o2 d 15 g [10,10] e 8 [0,0] e 9 [0,0] e jcar jbus 7h20_8h00 10_20 fcpool fcar [30,40] e jc [60,ω[ h jb [40,40] e o3 d 17 [10,10] e fp [40,50] e fc [20,30] e john_arrives 8h00_8h10 fred_arrives [0,0] e 3 [10,10] e o4 d 0 [0,0] e john_working fred_working Figure 1.6. Modélisaion en réseau emporel de John e Fred. Comme T évalue les propriéés sur oues les exécuions possibles, on considère la formule B¼ y e on la soume à "$#c%$'. La réponse es négaive : oues les exécuions ne saisfon pas B¼ y, donc l une au moins saisfai sa négaion (¼ y ). " #&%$' fourni simulanémen un conre-exemple de B¼ y, c es-à-dire une séquence démonran que le scénario es consisan. Dans le conre-exemple fourni, John a uilisé sa voiure e Fred le covoiurage. L ouil % discué en secion 1.6 perme de rouver un échéancier, ou ous, ayan cee séquence pour suppor. La séquence exhibée es la suivane : v '1w v x v 'w v x v 'L v x v '{ v x "H'$'#ji:kmlM"$#/n#/jo#/p Å'qprqHs#u rcqp Å'qprHs# "H'$'#ywzkmlM"$#/n#/jo#/p Å'qprqHs#u rcqpc% #ö ' "H'$'#ywH{ /}~ko/#p $'qprqhs# r pc% #oå' rawcip rqli "H'$'#ywH ƒ:ko/#p $'qprqhs# q$ \ rawhip/ rqli "H'$'#ywH /}~ko/#pr"/pc% #/ö ' o/#pc%å#ö 'jq /6 rawhip/ rqli