WO2010026150A2

WO2010026150A2 - Procede et systeme permettant de generer un dispositif de controle a partir de comportements redoutes specifies

Info

Publication number: WO2010026150A2
Application number: PCT/EP2009/061318
Authority: WO
Inventors: Nicolas Rapin
Original assignee: Commissariat A L'energie Atomique
Priority date: 2008-09-02
Filing date: 2009-09-02
Publication date: 2010-03-11
Also published as: FR2935500B1; EP2321728A2; FR2935500A1; WO2010026150A3

Abstract

Procédé permettant de générer automatiquement un détecteur de comportements redoutés spécifiés en logique temporelle linéaire métrique, à mémoire bornée, capable de fonctionner en ligne et pendant un temps arbitrairement long. Le procédé utilise une fenêtre temporelle pour effectuer le calcul en ligne des intervalles de validité de la formule qui spécifie le comportement redouté et élimine également en ligne les intervalles devenus non pertinents pour détecter ce comportement. Ce procédé peut être utilisé pour le débogage de modèles ou comme composant d'un système de contrôle-commande.

Description

PROCEDE ET SYSTEME PERMETTANT DE GENERER UN DISPOSITIF DE CONTROLE A PARTIR DE COMPORTEMENTS REDOUTES

SPECIFIES

L'invention concerne un procédé et un système permettant, à partir de la spécification en un langage formel d'un comportement redouté, de générer automatiquement un agent observateur, appelé moniteur, capable, en ligne, pendant une durée arbitraire et sans perte de performance, de signaler toute occurrence dudit comportement redouté spécifié lors du fonctionnement d'un système susceptible de produire ce comportement. Elle permet la génération automatique de détecteurs de comportements spécifiés en logique temporelle linéaire métrique, ayant une mémoire bornée, capable de fonctionner en ligne et pendant un temps arbitrairement long. Elle est notamment utilisée pour le contrôle et la surveillance de systèmes simulés ou encore de systèmes physiques. Elle permet aussi d'effectuer des diagnostiques en ligne de systèmes de contrôle-commande, des surveillances d'environnements en domotique ou robotique. Elle est aussi mise en œuvre pour la preuve de propriétés sur des exécutions/simulation finies. Différentes industries sont concernées par l'invention, comme : les industriels du transport, des télécoms, des services Internet, de la robotique ou encore de la domotique.

Sur le marché des équipements industriels et grand public, les demandes de performances et de fonctionnalités s'accroissent continuellement. Pour faire face à ces demandes, les industriels ont été conduits à concevoir et à produire des systèmes dits complexes, c'est-à-dire constitués d'entités de natures différentes (mécanique, électronique, informatique, etc.) fonctionnant en forte interaction. Cet accroissement de complexité des systèmes va de pair avec l'augmentation du risque d'erreurs commises lors des phases de conception et de réalisation. Or ces erreurs se répercutent bien souvent sous la forme d'anomalies de fonctionnement du produit final. Il est donc crucial, pour des raisons évidentes de sécurité des personnes, d'économie et de préservation de l'image de marque, de détecter des erreurs de conception et/ou de réalisation avant qu'un produit soit mis sur le marché. Les industriels qui produisent des systèmes complexes sont à la recherche de méthodes et d'outils permettant de minimiser le nombre d'erreurs commises lors du cycle de développement de leurs produits, que ce soit en amont lors des phases de conception ou bien en aval lors des phases de test de validation. Les méthodes formelles connues de l'art antérieur permettent, sur un périmètre limité, de remplir en partie au moins cet objectif. En général, elles proposent des langages de spécification et des structures de modélisation mathématiquement fondés, grâce auxquels, il est possible de prouver mathématiquement qu'un modèle proche de la réalisation d'un produit est conforme à la spécification de ce produit. Principalement, deux approches techniques se sont imposées à l'heure actuelle.

Tout d'abord, les techniques de preuve, basées sur les spécifications algébriques. Ces techniques, si elles permettent de traiter des fonctions complexes, algorithmiques, ne sont pas complètement automatiques. Les outils dédiés sont des assistants de preuve et la partie subtile des preuves est confiée à des experts qualifiés.

L'autre type de technique plus connue sous l'abréviation anglo-saxonne « model-checking » est totalement automatique, mais présente comme inconvénient d'être limitée au traitement d'une classe de modèles simples, orientés flot de contrôle (sans algorithmes). De surcroît, les modèles analysés par la technique de « model-checking » doivent être limités en taille. A défaut, les outils consomment des ressources en espace mémoire et temps de calcul inaccessibles en pratique.

Par ailleurs, les méthodes formelles proposent également des techniques de test qui automatisent la génération de tests à partir de modèles exécutables. Mais souvent, les tests ne répondent pas nécessairement aux objectifs intuitifs de l'utilisateur. Ces tests n'aident donc pas l'utilisateur à accroître sa confiance dans la correction du système qu'il a réalisé. Face à ces difficultés les techniques dites de monitoring permettent d'apporter des réponses pertinentes. Ces techniques sont qualifiées de techniques « boîte noire » en ce sens qu'elles ignorent la structure interne d'un système, pour ne s'intéresser qu'à ses productions observables. L'avantage de telles techniques est qu'elles peuvent être mises en œuvre quel que soit le système puisque sa complexité intrinsèque n'est pas prise en compte. En revanche ce sont des techniques de falsification : elles peuvent apporter la preuve qu'un système ne satisfait pas une exigence, mais non que le système satisfera toujours une exigence. Le monitoring au sens le plus général consiste à observer un système, un processus, en vue de détecter un événement plus ou moins complexe. Le monitoring formel se présente quant à lui comme une technique permettant de générer automatiquement des moniteurs à partir de spécifications en langages formels de comportements redoutés. Schématiquement un outil de monitoring formel est donc un outil qui accepte en entrée une expression spécifiant un comportement redouté et produit en sortie un moniteur capable de détecter l'occurrence du comportement redouté. Dans l'art antérieur il existe principalement deux approches de monitoring formel connues du Demandeur.

Une première approche est due à Prasanna Thati et Grigore Rosu. Cette approche est décrite dans l'article intitulé « Monitoring Algorithms For Metric Temporal Logic Spécifications ». Cette approche propose de générer un moniteur pouvant fonctionner en ligne, à partir d'une logique métrique linéaire. Le procédé de Thati et Rosu est basé sur la réécriture et l'évaluation dynamique de formules et engendre de fait plusieurs limitations. Le principe de cette approche consiste à exploiter l'expression même du problème du monitoring à savoir « est-ce qu'un comportement observé satisfait Φ » où Φ est une formule qui spécifie un comportement redouté. Problème que l'on peut noter plus brièvement : C /= Φ ?

(Lire : est-ce que le comportement observé C valide Φ ?) Avant d'avoir observé le système, le problème se pose donc comme suit :

0/= Φ ? où 0 dénote le comportement vide Le procédé de Thati et Rosu fonctionne ainsi : il maintient l'expression du problème de la satisfaction à mesure que les observations arrivent, en tenant compte de celles-ci. Si, à un certain stade, le problème du monitoring s'exprime sous la forme « C /= Φ_n ? » et qu'une nouvelle observation o est disponible, il calcule Φ_n+i, une nouvelle formule, telle que l'on ait : C /= Φ_n « C.0 /=Φ_n+1 où Co est le comportement défini comme le comportement C suivi de l'observation o. Par transitivité :

0\= φ <£=> ... £=> C /= Φ_n <=> C.O /= Φ_n+1 Le principe consiste donc à réécrire l'expression du comportement redouté en fonction des événements déjà observés du système, tout en maintenant la problématique initiale, à savoir « 0 I= Φ ? ». Ce que les auteurs « appellent résoudre le passé et dériver le futur ». Pour ne pas stocker la trace d'exécution (afin que le moniteur garde une mémoire bornée), il est nécessaire de maintenir en permanence une table de vérité de toutes les formules qui peuvent potentiellement apparaître lors du procédé de réécriture. De la sorte, il est possible de calculer la valeur de vérité de la formule principale en utilisant les valeurs contenues dans la table. Mais, pour que le moniteur ait une mémoire bornée, il faut que cette table soit finie et par conséquent que l'ensemble des sous-formules pouvant apparaître soit lui-même fini. Or ceci n'est possible que si les pas d'exécution permis sont en nombre finis et connus à l'avance. Ainsi ce procédé présente notamment les inconvénients suivants :

• La logique de spécification ne supporte que des intervalles dont les bornes sont des entiers naturels, • Les pas d'exécution permis pour le système doivent être en nombre finis et connus à l'avance. Dans l'article précité, les pas d'exécution permis sont des entiers naturels (ainsi que l'indiquent les définitions de F⁺(Φ) et F^"(Φ)), • Enfin, l'algorithme est très consommateur de temps puisque la complexité estimée est de l'ordre de m³2^3m où m est le nombre total de sous-formules obtenues à partir de la formule principale (l'ordre de grandeur de m par rapport à la formule principale n'étant quant à lui pas donné dans l'article). Une deuxième approche connue du Demandeur est décrite dans le document intitulé « Monitoring Temporal Properties of Continuous Signais » de Oded Maler et Dejan Nickovic. Le moniteur d'Oded Maler et Dejan Nickovic se base sur le calcul des intervalles de validité d'une formule. Pour une formule donnée, et un comportement donné, le procédé de Maler et Nickovic calcule un ensemble d'intervalles de temps qui dénotent les dates où la formule est vraie et en dehors desquels la formule est fausse. Le calcul est fait d'abord pour les formules de base (propositions) puis pour les formules plus complexes. Pour cela, les auteurs définissent une correspondance entre les opérateurs de la logique de spécification et les opérations classiques sur les ensembles d'intervalles (intersection, union ...). Par exemple, en connaissant les intervalles de validité de deux formules Φi et Φ₂, il est possible de déduire qu'un intervalle / est dans l'ensemble des intervalles de validité de la formule Φi Λ Φ₂ si et seulement s'il existe un intervalle j de Φi et un intervalle k de Φ₂ tels que i = j n k. Cette technique permet le calcul des intervalles pour une logique temporelle qui supporte des intervalles dont les bornes ne sont plus limitées aux entiers et l'analyse d'exécutions dont le pas est libre. Outre le fait qu'il n'existe pas d'opérateurs sur le passé dans la logique présentée, l'approche souffre d'un défaut essentiel, indiqué par les auteurs. Le moniteur d'Oded Maler et Dejan Nickovic travaille hors ligne, sur une exécution enregistrée. Ceci représente une limitation importante car, sur un temps d'exécution long, le stockage de l'exécution peut ne pas être praticable (système autonome, embarqué ...). Ceci limite donc les temps de surveillance et de fait aussi les applications. Définitions

Dans la suite de la description, certains termes seront utilisés pour mieux comprendre et définir l'objet de l'invention, certaines définitions sont données ci-dessous. Notion de processus

Le comportement d'un modèle de système ou d'un système physique est représenté par l'évolution dans le temps d'un certain nombre de variables caractéristiques. Par exemple le comportement d'un corps, en physique des solides, est caractérisé par l'évolution de ses variables caractéristiques que sont sa position, sa vitesse, son accélération, son moment cinétique, etc. Proposition. A l'égard d'un système le terme « proposition » désigne toute expression faisant référence aux variables caractéristiques du système et pouvant être vraie ou fausse. Par exemple « la vitesse du corps k vaut 10 m/s », « la vitesse du corps k est strictement positive », sont des propositions classiques en physique des solides. Mathématiquement, ces propositions seraient notées « v_k == 10 », « v_k > 0 ». Nous voyons que ces expressions peuvent être vraies ou fausses. Par exemple, si la vitesse observée du corps k est de 5m/s, alors la proposition « v_k == 10 » est fausse puisque « 5 == 10 » est fausse. Dans la suite le terme proposition désigne toute expression langagière, portant sur les variables caractéristiques d'un système, pouvant être soit vraie, soit fausse. Instantané.

Intuitivement un instantané donne la valeur booléenne des propositions définies pour un système à une certaine. Plus formellement on parlera d'instantané relativement à un ensemble A de propositions pour désigner tout couple (v,t) composé d'une valuation v des propositions de A et d'une date t (où t est élément de l'ensemble des réels R). Par valuation des proposition de A nous entendons toute application de A dans {0,1}, c'est-à- dire un élément de {0,1 }^A. Par convention, si v G {0,1 }^A est une valuation et p une proposition de A, si v(p) = 0 (resp. v(p) = 1 ) on dira que p est fausse (resp. vraie) selon v. L'ensemble de tous les instantanés relativement à A, que l'on notera U, est donc {0,1 }^A x R. Par commodité, si I est l'instantané (v, t) relativement à A et que p est une proposition de A, on notera l.p la valeur que I donne à p, soit v(p) et l.t la date portée par I, soit t.

Par exemple ({p₀ |→ 1 , pi \→ 1 , P2 \→ 0}, 1 .3465) est un instantané relativement à A = {p₀, pi , p₂J- Un tel instantané peut se lire : à la date 1 .3465, les propositions p₀ et pi sont vraies, p₂ est fausse.

D'après les notations introduites, nous avons donc Lp₀ = 1 et l.t = 1 .3465.

Processus.

Dans le contexte de la présente invention le terme processus est utilisé relativement à un ensemble A de propositions pour désigner toute suite indicée par les entiers naturels d'instantanés relatifs à A. Mathématiquement un processus est donc une application de S dans I_A où S c N, est un segment initial de N (pour tout i G S, si i>0 alors i -1 e S). Le premier instantané portera une date que nous appellerons T_origine. Dans les exemples nous choisirons souvent 0 comme la valeur pour T_origine. En tant que suite d'instantanés, un processus est donc intuitivement une sorte de « film » du fonctionnement du système. Intervalles

Dans la suite il sera question d'intervalles dans l'ensemble des nombres réels noté R. Pour noter un intervalle deux notations seront utilisées : 1 . la notation usuelle telle: ]4.32, 6.21 ]

2. la notation sous forme de quadruplet (I, Ib, ub, u) où:

2.1 . Ib : borne inférieure

2.2. ub : borne supérieure

2.3. 1 et u sont éléments de {0,1 }. Ils dénotent l'ouverture ou la fermeture de l'intervalle sur les bornes Ib et ub. Si I vaut 0 l'intervalle est ouvert sur sa borne inférieure Ib, fermé si I vaut 1. Idem pour u qui spécifie l'ouverture/fermeture sur la borné supérieure ub

Par exemple le quadruplet (0, 4.32, 6.21 , 1) représente le même intervalle que celui noté] 4.32, 6.21].

Si i est un intervalle alors i.l, i.lb, i.ub et i.u dénotent les paramètres ci-dessus mentionnés. Donc, par exemple, si i est ] 4.32, 6.21] alors :

• i.lb est 4.32

• i.ub est 6.21 • i.u est 1

• i.l est 0

SM et j sont deux intervalles, nous dirons que i est strictement inférieur à j et nous noterons i < j si : • leur intersection est vide ( i n j = 0 ) et

• i.ub ≤ j. Ib.

Si i est un intervalle alors :

• L'intervalle noté i] , appelé fermé à droite de i, est (i.l, i.lb, i.ub, 1 ) ou bien encore, de façon équivalente : i u [i.ub, i.ub].

• L'intervalle noté [i, appelé fermé à gauche de i, est (1 , i.lb, i.ub, i.u) ou bien encore, de façon équivalente : [i.lb, i.lb] u i.

Pour qu'un intervalle i soit bien formé il faut soit que i.lb < i.ub soit que cet intervalle soit de la forme [x,x] où x est un réel. Quand un intervalle n'est pas bien formé il est supposé être l'intervalle vide (on dira aussi « Nil »).

Si i et j sont deux intervalles nous dirons que : • i chevauche j à gauche si i n j ≠ 0 et que (i n j).lb = j.lb (autrement dit i couvre j et le dépasse dans le passé). Exemple [0,4[ chevauche [2,5] à gauche car [0,4[ n [2,5] = [2,4[ ≠ 0 et [2,4[.Ib = [2,5]. Ib = 2.

• i chevauche j à droite si i n j ≠ 0 et que i n j.ub = j.ub (autrement dit i couvre j et le dépasse dans le futur).

• i jouxte j à gauche si i.ub = j.lb et i.u + j.l = 1. Exemples : [0,1 [ jouxte [1 ,2] à gauche ; [0,3] jouxte ]3,8] à gauche.

• i jouxte j à droite si j jouxte i à gauche. Exemple :] 8,9] jouxte [4,8] à droite car [4,8] jouxte ]8,9] à gauche.

L'opérateur Θ :

Soit i un intervalle et [a,b] un intervalle fermé sur chacune de ses bornes. Alors l'opération i θ [a,b] est définie et son résultat est (i.l, i.lb + a, i.ub + b, i.u). Exemples : • [5,8[ Θ [1 ,2] = [6,10[

• [5,8[ Θ [-3,-2] = [2,6[

Liste de validité

Une liste de validité est une liste dont les éléments sont des intervalles bien formés de l'ensemble des réels R, tous disjoints, rangés dans l'ordre croissant (chronologique). La notation (h, i₂, ..., in) sera utilisée pour désigner une liste de validité contenant les intervalles H , i₂, ... i_n- L'ordre chronologique signifie que si i_k et i_k+1 sont deux intervalles consécutifs d'une liste de validité nous avons toujours ik < ik₊i- Par exemple : ([0, 2.43 [, [3.27, 5.04] ) est une liste de validité qui contient deux intervalles, [0, 2.43[ et [3.27, 5.04]. Ils sont bien rangés dans l'ordre croissant ou chronologique.

Pour mettre en évidence le premier ou le dernier élément d'une liste de validité nous utiliserons les notations : • (i I L) pour dénoter une liste dont le premier élément est i. L est aussi une liste de validité (celle des éléments qui suivent i dans (i ] L)). L peut éventuellement être vide.

• (L I i) pour dénoter une liste dont le dernier élément est i. L est aussi une liste de validité (celle des éléments qui précèdent i dans (L | i)). L peut éventuellement être vide.

Il sera exposé par la suite qu'une liste de validité est par destination attachée à une expression et permet de définir, sur une plage temporelle donnée, les dates où cette expression est vraie et les dates où elle est fausse, en se conformant à la convention suivante : les dates qui sont à l'intérieur des intervalles de la liste de validité sont les dates où l'expression est vraie ; en dehors de ces intervalles l'expression est fausse.

Adjonction d'un intervalle dans une liste de validité. Le résultat de cette opération est une liste de validité. Nous distinguons entre adjonction à gauche et adjonction à droite. Néanmoins, pour chacune, si L est une liste de validité vide, l'adjonction dans L d'un intervalle i est la liste (i).

Adjonction à gauche de l'intervalle i à la liste de validité ( j | L): • si i est vide alors le résultat est la liste vide.

• Si i < j alors le résultat est (i | (j | L)). Autrement dit on ajoute i en tête de ( j | L).

• si i jouxte ou chevauche j à gauche, alors le résultat est ((U, i.lb, j.ub, j.u) | L). Autrement dit on étend le premier élément j dans le passé jusqu'à la borne inférieure de i.

• Dans tout autre cas le résultat est L elle-même. Adjonction à droite de l'intervalle i à (L | j) est :

• si i est vide alors le résultat est la liste vide.

• Si j < i alors le résultat est ((L | j) | i). Autrement dit on ajoute i en fin de (L | j). • si i jouxte ou chevauche j à droite, alors le résultat est (L | (j.l, j.lb, i.ub, Lu)). Autrement dit on étend le dernier élément j dans le futur jusqu'à la borne supérieure de i.

• Dans tout autre cas le résultat est L elle-même.

Raccordements de listes de validité

Raccordement à droite. Soient (L1 | j) et (i | L2) deux listes de validité. Le raccordement de (i | L2) à droite de (L1 | j) a pour résultat :

• si j < i alors ((L1 | j) , (i | L₂) ). Autrement la liste (i | L2) est placée à la fin de (L1 | j)

• si i jouxte ou chevauche j à droite alors (M, L2) où M est le résultat de l'adjonction à droite de i à (L1 | j)

• (L1 | j) dans les autres cas

Exemple de raccordement à droite. Soit L= ([1 ,2[) et L' = ([2,3[, [8,12[). Le raccordement à droite de L' à L est la liste : ([1 ,3[, [8,12[). Ce résultat est du au fait que [2,3[ jouxte [1 ,2[ à droite.

Raccordement à gauche. Le raccordement d'une liste de validité L' à gauche d'une liste de validité L est le résultat du raccordement de L à la droite de L'.

Notion de langage formel, d'expression et de hauteur d'une expression formelle

Les méthodes formelles, comme les mathématiques dont elles sont issues, ont coutume de définir ce que l'on appelle des langages formels. Pour définir un langage formel on procède ainsi. On définit d'abord les expressions de base, qui sont insécables, autrement dit les mots. Puis on donne des règles de construction pour obtenir des expressions plus complexes, l'ensemble de ces règles formant une grammaire. Par exemple, les « mathématiques de l'écolier » reposent implicitement sur un langage formel. Les mots de base sont composés des nombres entiers comme « 3 », « 4 », « 10 » et de symboles tels que « + », « - ». Une règle de grammaire s'énonce par exemple ainsi : si « a » et « b » sont des expressions bien formées alors « a + b » est aussi une expression bien formée. Ainsi « 3 + 4 + 10» est un mot bien formé car « 3 + 4 » et « 10 » sont des expressions bien formées; en revanche « + 3 ++ 8 » n'est pas une expression licite. On peut ensuite attribuer une hauteur à une expression formelle. C'est-à-dire que nous pouvons définir une application H des expressions vers les entiers naturels de sorte que si Φ est une expression, h(Φ) soit la hauteur de Φ. Par exemple, pour reprendre l'exemple précédent, h peut être définie de la sorte :

• h(Φ) vaut 0 si Φ est un mot de base • h(Φ₁ + Φ₂) = sup( h(Φ₁), h(Φ₂) ) + 1

Selon cette définition il vient que h("3+4+10") = 2.

L'objet de la présente invention concerne un procédé et un système permettant de remédier au moins aux imperfections des méthodes précitées. L'invention concerne notamment un procédé permettant de générer automatiquement, à partir de la spécification formelle d'un comportement redouté écrite en logique temporelle linéaire métrique, un agent automatique, appelé moniteur, à mémoire bornée, capable d'analyser « en ligne » la simulation d'un modèle de système ou le fonctionnement d'un système physique afin d'y détecter l'occurrence du comportement redouté spécifié. Le procédé peut donc être utilisé dans les phases de conception pour analyser un modèle, ou dans les phases de test pour analyser le fonctionnement du système réalisé. Synthétiquement la présente invention repose sur l'utilisation d'un langage formel permettant de spécifier des comportements redoutés et d'un procédé permettant de transformer n'importe quelle expression de ce langage en un moniteur performant, fonctionnant en ligne, sans limite de durée. L'objet de la présente invention concerne un procédé permettant de générer un détecteur de comportements redoutés spécifiés en logique temporelle linéaire métrique d'un système dont le comportement est à surveiller caractérisé en ce qu'il comporte au moins les étapes suivantes mises en œuvre par un processeur (étapes sur lesquelles nous reviendrons largement dans la suite de la description) :

• définir des variables caractéristiques du système à surveiller,

• définir un certain nombre de propositions Jp₁, ..., p_n} sur ces variables, • allouer en mémoire du détecteur un espace suffisant pour mémoriser un instantané relatif à ces propositions c'est-à-dire allouer une variable réelle notée l.t et n variables booléennes pour chaque proposition de {pi, ..., p_n}. Si p_k est une proposition, l.p_k dénote la variable booléenne associée à p_k, • définir une formule principale Φ, construite sur lesdites propositions {p-i, ..., p_n} traduisant un comportement redouté en utilisant un langage composé d'opérateurs logiques et d'opérateurs temporels portant sur le futur et le passé et dont la grammaire BNF est la suivante : φ ::= p | -i φ | ⁽pi Λ φ₂ | φi v φ₂ | F_[a,b] φ | ψi U_[a,b] ψ2 I ψi S_[a,bj (p₂ | ψi S_[a,>] φ2 | P[a,b] Φ I P[a,>] φ | ( φ )

OÙ p G (P₁ , ... , p_n}

• définir la date de début d'observation : T_origine,

• choisir une option sur la certitude initiale des formules (dont il dépend que l'on accepte ou non que la validité des formules soit définie antérieurement à T_origine),

• pour chaque sous-formule Ψ de Φ (y compris Φ elle-même), créer une variable notée Ψ.LV de type liste d'intervalles, et lïnitialiser à vide,

• pour toute sous-formule Ψ de Φ (y compris Φ elle-même) créer une variable booléenne Ψ.val, et lïnitialiser à 0, • pour toute sous-formule Ψ de Φ (y compris Φ elle-même) créer une variable de type réel notée Ψ.rel_cert, appelée certitude relative de Ψ, et lui assigner la valeur Cert(Ψ) où Cert est la fonction caractérisée comme suit: o Cert(φ) = 0 si φ est une proposition de {pi , ... , p_n} o Cert(-iφ) = Cert(φ) o Cert(φi Λ φ₂) = sup (Cert(φi), Cert(φ₂)) o Cert(φi v φ₂) = sup (Cert(φi), Cert(φ₂)) o Cert(F_[a,bi φ) = Cert(φ) + b o Cert(φi U[a,b] 92) = sup (Cert(φi), Cert(φ₂) ) + b o Cert(P[a,b] φ) = Cert(φ) - a o Cert (P_[a,_>] φ) = Cert(φ) - a o Cert(φi S[_a,b] 92 ) = sup (Cert(φi), Cert(φ₂) - a) o Cert(φi S[a,_>] Φ₂ ) = sup (Cert(φi), Cert(φ₂) - a) pour chaque sous-formule Ψ de Φ (y compris Φ elle-même) définir une variable réelle notée Ψ.abs_cert destinée à stocker la certitude absolue de Ψ. Selon l'option choisie pour la certitude initiale des formules, pour chaque Ψ sous-formule de Φ, sa variable Ψ.abs_cert associée est initialisée à :

• Option 1 : T_origine - Ψ.rel_cert - Option 2 : sup(T_origine, T_origine - Ψ.rel_cert)

• pour chaque sous-formule Ψ de Φ (y compris Φ elle-même) créer une variable notée Ψ.w de type intervalle, appelée fenêtre de continuation de Ψ.w et l'initialiser à vide,

• de façon régulière ou périodique faire l'acquisition de la valeur des variables caractéristiques du système observé et mémoriser la date de cette acquisition,

• en fonction des valeurs des variables caractéristiques issues de l'acquisition réalisée à l'étape précédente, évaluer la valeur booléenne des propositions et rafraîchir l'instantané I c'est-à-dire assigner la valeur booléenne de p à l.p pour chaque p s {p-i , ..., p_n} et assigner la date d'acquisition mémorisée à 1.1.

• pour chaque rafraîchissement de l'instantané I tel que réalisé à l'étape précédente, réaliser pour chaque sous-formule Ψ de Φ (y compris Φ elle-même), et selon un ordre qui soit tel que toute formule soit traitée après ses sous-formules directes, le calcul dit « de continuation » suivant : o Actualiser sa fenêtre de continuation Ψ.w :

• Si Ψ.w est vide : « Si (l.t - Ψ.rel_cert) > Ψ.abs_cert alors Ψ.w devient : [Ψ.abs_cert, l.t - Ψ.rel_cert] puis affecter à Ψ.abs_cert la valeur (l.t - Ψ.rel_cert)

• Si (l.t - Ψ.rel_cert) < Ψ.abs_cert alors Ψ.w reste l'intervalle vide et Ψ.abs_cert reste inchangée » Si Ψ.w n'est pas vide alors :

• Ψ.w devient :] Ψ.abs_cert, l.t - Ψ.rel_cert]

• Affecter à Ψ.abs_cert la valeur (l.t - Ψ.rel_cert) o Si Ψ est purement booléenne appliquer l'algorithme de continuation dédié aux formules purement booléennes qui se caractérise ainsi :

• calculer I.Ψ (valeur dans {0,1 } que l'instantané I donne à Ψ) selon la définition inductive suivante:

• si Ψ est une proposition p alors I.Ψ = l.p

• !.(-.¥!) = l - (I.Ψi) • I .(Ψ₁ Λ Ψ₂) = I .ΨI ^* I.Ψ₂

• 1.0P₁ v Ψ₂)= (1.^P₁ + I.Ψ₂) - (I.Ψi ^* I.Ψ₂)

- Si I.Ψ = 0 et Ψ.val = 1 créer l'intervalle [l.t, l.t] et l'ajouter à la fin de Ψ. LV

• Si I.Ψ = 1 et Ψ.val = 1 alors changer la borne supérieure du dernier intervalle de Ψ.LV de sorte qu'elle devienne l.t,

• Si I.Ψ = 1 et Ψ.val = 0 changer la borne supérieure du dernier intervalle de Ψ.LV à l.t et ouvrir cet intervalle sur cette borne supérieur, - Si I.Ψ = 0 et Ψ.val = 0 ne pas rien faire (Ψ.LV est inchangée)

• Assigner I.Ψ à Ψ.val o Si Ψ n'est pas purement booléenne : • rafraîchir sa fenêtre de continuation Ψ.w de la façon suivante :

• Si Φ.w est vide : o Si (l.t - Φ.rel_cert) > Φ.abs_cert alors Φ.w devient : [Φ.abs_cert, l.t - Φ.rel_cert] puis affecter à Φ.abs_cert la valeur (l.t -

Φ.rel_cert) o Si (l.t - Φ.rel_cert) < Φ.abs_cert alors Φ.w reste l'intervalle vide

• Si Φ.w n'est pas vide alors : o Φ.w devient :] Φ.abs_cert, l.t - Φ.rel_cert] o Affecter à Φ.abs_cert la valeur (l.t - Φ.rel_cert)

• selon l'opérateur de Ψ déduire des intervalles de validité pour Ψ sur la fenêtre Ψ.w en parcourant les listes de validité des sous-formules directes de Ψ ; stocker par adjonction les intervalles produits soit directement dans Ψ.LV si le parcours est chronologique soit dans une liste intermédiaire Ll si le parcours est anti-chronologique ; puis raccorder la liste intermédiaire Ll à la droite de Ψ.LV (dans le cas du parcours anti-chronologique). o exploiter les informations contenues dans la liste de validité de la formule principale Φ et émettre un signal associé.

L'invention concerne aussi un système permettant de générer un détecteur de comportements redoutés spécifiés en logique temporelle linéaire métrique, à mémoire bornée, caractérisé en ce qu'il comporte au moins les éléments suivants : o Une entrée recevant un ou plusieurs paramètre(s) caractéristique(s) de l'état du système à surveiller, et une horloge H indiquant la date d'acquisition de ce(s) paramètre(s), o Un processeur adapté à exécuter les étapes du procédé selon l'invention en utilisant le(s) paramètre(s) mesuré(s) et la date associée, o Une mémoire adaptée à o mémoriser l'instantané courant o mémoriser les listes de validité LV déterminées par la mise en œuvre du procédé pour la formule principale et ses sous- formules, o une ou plusieurs sorties émettant un signal S correspondant aux informations contenues dans la liste de validité pour la formule principale et émettre ledit signal.

D'autres caractéristiques et avantages du dispositif selon l'invention apparaîtront mieux à la lecture de la description qui suit d'un exemple de réalisation donné à titre illustratif et nullement limitatif annexé des figures qui représentent :

• La figure 1 A un synoptique du procédé selon l'invention et la figure 1 B un exemple d'architecture du système permettant sa mise en œuvre,

• La figure 2, une représentation de la notion de processus, • La figure 3, un algorithme de calcul de la liste de validité d'une proposition ou d'une formule dite purement booléenne,

• Les figures 4, 5, 6A et 6B illustrent le calcul de la liste de validité d'une formule en fonction de celles de ses sous-formules,

• La figure 7A, l'illustration du calcul de la date de certitude d'une formule en fonction de celle de sa sous-formule (pour l'opérateur unaire portant sur le futur), • La figure 7B illustre le calcul de la date de certitude d'une formule en fonction de celle de ses sous-formules (pour l'opérateur binaire portant sur le passé),

• La figure 8A, illustration de la définition d'une zone d'influence prise en compte pour la mise en œuvre du procédé selon l'invention,

• La figure 8B, illustration de l'inutilité des sous-formules directes d'une formule étant donnée la date d'inutilité fixée pour celle-ci, et

• La figure 9 un exemple d'application pour la surveillance du comportement d'un système masse- ressort.

L'idée de la présente invention consiste notamment à générer un moniteur capable d'observer le comportement d'un système dans un environnement donné et plus particulièrement l'évolution d'un processus au sens défini précédemment au début de la description. La figure 1 A est un synoptique d'un exemple du procédé selon l'invention comprenant un système 1 dont le comportement est à observer, une horloge temporelle H permettant de déterminer la date à laquelle un instantané a été acquis, un processeur qui va traiter les données issues du système à surveiller, par exemple une variable observée à un instant donné et qui va être capable d'évaluer la valeur des propositions où cette variable apparaît, de calculer ensuite les listes de validité attachées à ces propositions puis les listes de validité des formules plus complexes jusqu'à la liste de validité de la formule principale spécifiant le comportement redouté. Sur la figure 1 B est représenté un exemple de système selon l'invention qui comporte, le système 1 dont le comportement est surveillé. Le système comprend un ou plusieurs capteurs 10 permettant de déterminer la valeur de chaque paramètre représentatif du comportement surveillé. Par exemple, il est possible d'avoir un capteur de température et de vérifier si une proposition portant sur la température est vraie. Des exemples sont donnés ci-après. Le ou les capteurs de paramètres équipant le système 1 sont reliés à un dispositif 11 comprenant une entrée 12 et un processeur 13 qui va traiter les différentes données ainsi qu'une mémoire 14 stockant l'instantané courant et les listes de validité de chaque formule. Le dispositif 11 comprend aussi une entrée 15 recevant une horloge spécifiant une date associée à un paramètre mesuré. Le processeur 13 va délivrer via une ou plusieurs sorties 16i un signal Sc contenant des données permettant, par exemple :

• Soit l'affichage des résultats sur un dispositif d'affichage 17,

• Soit la génération d'un signal à un dispositif de régulation du système,

• Soit la génération d'un signal d'alarme.

Le signal obtenu est transmis à un dispositif de génération d'une alarme et/ou à un système de contrôle ou de régulation du système placé sous la surveillance d'un moniteur généré par le procédé selon l'invention. Le système dont le comportement est surveillé peut être un modèle exécuté en simulation. Ce modèle peut parfaitement être très complexe et/ou de grande taille étant donné que le moniteur généré selon l'invention ne dépend pas de la structure interne de ce modèle. Dans ce cas le procédé peut être considéré comme une technique de débogage de modèles. Le système peut aussi être un dispositif ou un système physique dont on souhaite contrôler le comportement en fonctionnement et notamment vérifier son comportement. Le procédé peut alors être considéré comme une sous- partie d'un système plus vaste de contrôle-commande.

Ainsi, le système selon l'invention peut être appliqué comme dispositif permettant de détecter des erreurs dans le fonctionnement d'un système, plus connu sous l'expression « débogueur » de systèmes simulés, ou comme moniteur de systèmes physiques pour en détecter les disfonctionnements ceci dans tout domaine industriel (transport, domotique, robotique).

Un moniteur selon l'invention est constitué notamment de plusieurs éléments qui vont être explicités ci-après. Les notions de processus, de proposition, de liste de validité et d'instantané ont été définies précédemment. Un des éléments entrant dans la génération du moniteur est la notion de liste de validité qui est représentée par exemple dans les figures 4, 5, 6A, 6B. La manière dont une liste de validité peut être déduite d'un processus (au sens défini plus haut) est illustrée de la manière suivante. Pour cela examinons l'information qui est délivrée par un processus à un observateur ou à un capteur ou à un dispositif de surveillance au sein d'un procédé. Pour cet observateur l'information délivrée par un instantané \,- du processus subsiste jusqu'à ce que l'instantané suivant l_i+i rafraichisse cette information. Autrement dit l'information délivrée par un instantané de date t vaut jusqu'à t' où t' est la date de l'instantané suivant. Si le dernier instantané du processus porte la date z, ce principe permet de définir la validité d'une proposition à toute date de l'intervalle [0, z] et donc une liste de validité sur cette plage. Pour l'illustrer, les étapes de création d'une liste de validité pour la proposition p tel que le ferait un observateur placé face au processus de la figure 2 sont déroulées ci-dessous. Le processus commence en 0 où l'instantané I est rafraîchi. L'observateur remarque que la proposition p est vraie (l.p = 1 ). Il ajoute à la liste de validité de p un premier intervalle soit [0.0, 0.0]. La liste de validité de p est donc ([0.0, 0.0]). Puis l'instantané est rafraichi en 1 , p y est toujours vraie. La valeur date est 1.71. Le procédé prolonge l'intervalle de validité précédent. La liste devient ([0.0, 1.71]).

Au rafraîchissement de l'instantané en 2, p est fausse (l.p = 0). La valeur date l.t est 2.43. Mais n'ayant pas eu d'information entre 1.71 et 2.43 il doit considérer que p était vraie jusque là. Donc l'observateur ou le procédé modifie l'intervalle précédent qui devient [0.0, 2.43 [. Noter que l'intervalle est ouvert à droite, puisqu'en 2.43 la proposition p est fausse. La liste de validité de p devient ([0.0, 2.43 [ ).

Au rafraîchissement de l'instantané en 3, p redevient vraie. La valeur date est 3.27. Or elle était fausse à l'instantané précédent. L'observateur considère que jusque là elle était fausse. Il va donc créer un nouvel intervalle de validité pour p. Ainsi, en 3, la liste de validité de p est ([0.0, 2.43 [, [3.27, 3.27] ). Cet exemple montre qu'étant donné un processus il est possible d'associer à une proposition p une liste d'intervalles qui dénotent les dates où la proposition est vraie. Le procédé utilisé dans cet exemple est formalisé dans la description de l'algorithme ci-après. Algorithme de calcul de la liste de validité d'une proposition

A toute proposition p est associée une variable booléenne p. val et une variable de type liste d'intervalles p.LV (« LV » pour liste de validité). C'est p.LV qui représente la liste de validité pour p. Si I est un instantané, l.t correspond à la date portée par I et l.p à la valeur de vérité que I attribue à la proposition p. L'algorithme est décrit par le diagramme illustré à la figure 3.

La première étape, étape 20, est une étape d'initialisation des valeurs de p. val et de p.LV. La variable p.val est initialisée à faux et la variable p.LV est initialisée par la liste vide. L'étape qui suit, étape 21 , est un état d'attente de rafraîchissement de l'instantané I. Lorsque ce rafraîchissement intervient l'algorithme passe à l'étape 22 où la valeur de l.p est testée. Si la valeur de vérité de l.p est à vrai (vaut 1 ) le procédé teste, étape 23, la valeur de p.val. Si p.val est à vrai alors, étape 24, le procédé prolonge le dernier intervalle de p.LV jusqu'à l.t compris (intervalle fermé sur la valeur l.t). Si la valeur p.val est à faux (vaut 0) alors, étape 25, le procédé ajoute à la fin de p.LV le nouvel intervalle [l.t, l.t].

Si au contraire, à l'étape 22, l.p est faux, alors le procédé teste p.val. Si p.val est à vrai , étape 26, alors le procédé prolonge le dernier intervalle de p.LV jusqu'à l.t non compris (ouvert sur l.t ) (étape 28). Si p.val est à faux, alors le procédé laisse p.LV inchangée (étape 27). A la suite des étapes 24, 25, 27 et 28, le procédé affecte à p.val la valeur de l.p (étape 29). Puis le procédé retourne à l'étape 21 d'attente de rafraîchissement de I, le calcul se prolongeant tant que le procédé est maintenu en fonctionnement. En tant que tel, il n'existe pas de condition d'arrêt pour cet algorithme de calcul puisqu'il se met en attente d'un nouvel instantané. Il peut néanmoins être facilement modifié si l'indication qu'un instantané est le dernier est disponible. Dans ce cas le retour à l'étape 21 serait soumis à la condition que l'instantané soumis ne soit pas le dernier. La condition d'arrêt sera déterminée par une stratégie d'utilisation du procédé complet c'est-à-dire par une stratégie d'exploitation des listes de validité. A partir de l'algorithme de calcul des listes de validité pour les propositions détaillées ci-dessus, le procédé peut générer un moniteur simple, pour un langage restreint aux propositions. Un premier exemple de mise en œuvre du procédé est donné à titre non limitatif, pour un comportement redouté spécifié par une seule proposition. Dans cet exemple, il est proposé de générer un moniteur permettant d'observer le compte en banque d'un client, en posant comme comportement redouté que le solde soit négatif autrement dit que la proposition (solde < 0) soit vraie à un moment donné. Par rapport aux définitions posées le processus est considéré relativement à l'ensemble { (solde < 0) }. Le procédé consiste alors en l'algorithme suivant : 1 - Allouer une variable booléenne notée I. (solde < 0) pour stocker la valeur de (solde < 0) et une variable l.t de type réel pour stocker la date de rafraîchissement

2 - Rafraichir l'instantané I dès que se produit un mouvement de compte (c'est-à-dire évaluer la valeur de vérité de I. (solde < 0) en fonction de la valeur de la variable « solde »)

3 - Appeler l'algorithme de calcul des listes de validité pour la proposition (solde < 0) et étant donné l'instantané I afin d'établir une liste de validité pour la proposition (solde < 0).

4 - Tester la liste de validité de la proposition (solde < 0) (qui vient d'être calculée). a. Si la liste n'est plus vide, c'est-à-dire qu'elle contient un intervalle i, ceci signifie que le comportement redouté, (solde < 0) a été observé. Editer un rapport pour le gestionnaire du compte : (solde < 0) détecté, vraie pour les dates de l'intervalle i. FIN. b. Sinon retour en 2. Ce simple exemple montre que la mémoire utilisée par le procédé est bornée. L'instantané courant est représenté par deux variables I (solde < 0) et l.t , dont les valeurs sont rafraichies à chaque mouvement de compte. Seule la liste de validité de la proposition (solde < 0) est un élément dynamique de la procédure. Comme la procédure s'arrête, par exemple, dès que cette liste comporte un seul intervalle, car l'événement redouté a été observé, nous voyons que le procédé consomme une mémoire bornée. Dans le pire cas nous avons eu besoin de créer les variables l.t, I. (solde < 0) et une variable de type intervalle.

Pour des applications industrielles un langage restreint aux propositions peut être dans certains cas trop limité. La suite de la description introduit un langage permettant de décrire des comportements plus évolués, faisant intervenir plusieurs propositions et permettant de décrire des notions complexes d'ordre, de concomitance, ou d'occurrence dans des délais stricts, sur les propositions.

Spécification formelle des comportements redoutés

Nous donnons d'abord la syntaxe du langage du procédé selon l'invention. Le sens des opérateurs introduits sera explicité ensuite, lors de l'exposé de la sémantique de ce langage. La syntaxe dudit langage formel de spécification des comportements redoutés selon l'invention est la suivante :

• Tout symbole de proposition est une expression du langage selon l'invention • Si Φ est une expression dudit langage, que a et b sont des réels positifs tels que b > a, alors sont aussi des expressions de ce langage : o -i Φ

O F[a,b] Φ

O P[a,>] Φ O ( Φ )

• Si Φi et Φ₂ sont deux expressions dudit langage et que a et b deux réels positifs tels que b > a alors sont aussi des expressions de ce langage o Φi Λ Φ₂ o Φ-_\ v Φ₂

o Φi S_[a,>] Φ2

En notation BNF (Backus-Naur Form) le langage s'écrit de façon concise :

Φ::= p | -1 Φ | Φ! Λ Φ₂ | Φ1 V Φ₂ | F_[a,b] Φ I P[a,b] Φ I P[a,>] Φ I Φi U_[a,b] Φ2 I Φi

S[a,b] Φ2 1 Φ1 S[a,_>] Φ2 1 ( Φ ) où p dénote tout symbole de proposition, a, b dénotent des réels positifs tels que b > a, la signification des opérateurs mentionnés étant donnée ci-après.

Dans la suite de la description, une expression de ce langage sera appelée une formule. Les parenthèses sont utilisées pour désambiguïser une formule. En effet, si l'on écrit Φi Λ Φ₂ U_[a,b] Φ3 on ne sait s'il faut lire (Φ1 Λ Φ₂ ) U_[a,b] Φ₃ ou bien lire Φ1 Λ (Φ₂ U_[a,bi Φs)- Or ces formules ne sont pas équivalentes, d'où l'importance des parenthèses. Quelques exemples de formules :

• P3 U[O, 12] ((-i (P[1 43,5 64] (pi Λ-i p₂ )) Λ (-1 F_[243, 785] P2))

L'opérateur → (implication), peut aussi être utilisé puisqu'il n'est qu'une abréviation exprimable dans le langage. En effet Φi → Φ₂ est une abréviation

L'ensemble des sous-formules d'une formule est donné par la fonction SF définie de la façon suivante : • SF(p) = {p} (pour une proposition p il n'y a qu'elle même)

• SF(Φ₁ Λ Φ₂) = { Φ_! Λ Φ₂ } uSF(Φ₁) uSF(Φ₂)

• SF(Φ₁ v Φ₂) = { Φi v Φ₂ } u SF(Φ₁) u SF(Φ₂)

• SF(F_[a,_b] Φ) = { F_[a,b] Φ} uSF(Φ) • SF(P_[a,b] Φ) = { P[a,b] Φ } U SF(Φ)

• SF(P_[a,>] Φ) = { P[a,>] Φ } USF(Φ)

• SF(Φi U_[a,b] Φ₂) = { Φi U_[a,b]Φ₂} uSF(Φi) USF(Φ₂)

• SF(Φ! S_[a,b] Φ₂) = { Φi S_[a,_b]Φ₂} USF^₁) USF(Φ₂)

• SF(Φ₁ S_[a,_>] Φ₂) = { Φi S_[a,_>]Φ₂} USFIΦO USF(Φ₂) • SF((Φ)) = SF(Φ)

Par exemple : SF(-. p) = { -.p} uSF(p) = { -.p} u{ p} = { -.p, p}

SF ( F_[243, 785] (Pi Λ-i p₂)) = { F_[243, _785] (pi Λ^~i P₂), (pi Λ^~i p₂), ->p₂, Pi , Ç>2 }

Les sous-formules directes d'une formule sont celles placées directement sous son opérateur. Par exemple, pour -iΦ il s'agit de Φ. Pour Φi U[_a,b] Φ2 il s'agit de Φ₁ et Φ₂.

Une formule du langage est dite purement booléenne si : • c'est une proposition, ou bien

• son opérateur est booléen (donc dans {-I,V,Λ,→}) et toutes ses sous-formules sont aussi purement booléennes.

Hauteur d'une formule La hauteur d'une formule du langage défini ci-avant est donnée par une fonction h définie de la façon inductive suivante :

• h(p) = 0 (les propositions sont de hauteur 0)

• h(op Φ) = h(Φ) +1 où op est un des opérateurs unaires du langage

• h(Φi op Φ₂) = sup (h(Φ), h(Φ)) + 1 où op est un des opérateurs binaires du langage Exemple : h (-1 F_1112] (pi Λ p₂)) = h (F_1112] (pi Λ p₂)) + 1 = h ((P₁ Λ p₂)) + 1 +1 = (SUp(Ii(PO₁Ii(P₂)) + 1 ) + 2 = sup(0,0)+1 +2= 0 + 3 = 3

Sémantique du langage de spécification formelle des comportements redoutés

Sémantique intuitive :

• L'opérateur -. est la négation. ->Φ est vraie à une date t si et seulement si Φ est fausse à cette date t.

• L'opérateur Λ est appelé conjonction. La formule Φi Λ Φ₂ n'est vraie à une date t que si Φi et Φ₂ sont toutes deux vraies à cette date t.

• L'opérateur v est appelé disjonction. La formule Φi v Φ₂ est vraie à une date t si Φ-i ou Φ₂ est vraie à cette date t.

• L'opérateur F_[a,b_] porte sur le futur. Cet opérateur signifie intuitivement « dans le futur, entre a et b » ou encore « il y aura entre a et b ». Plus rigoureusement la formule F_[a,b] Φ est vraie à une date t si et seulement s'il existe une date entre t+a et t+b où Φ est vraie.

• L'opérateur P_[a,b_] porte sur le passé. Cet opérateur signifie intuitivement « dans le passé, entre a et b » ou encore « il y a eu entre a et b ». Plus rigoureusement la formule P[_a,t_>] Φ est vraie en t si et seulement s'il existe une date entre t-b et t-a où Φ est vraie.

• L'opérateur P_{[a >]} porte sur le passé. Cet opérateur signifie intuitivement : « au-delà de -a dans le passé ». Plus rigoureusement la formule P_[a,>] Φ est vraie en t si et seulement s'il existe une date entre 0 et t-a où Φ est vraie.

• L'opérateur U_[a,t_>] porte aussi sur le futur (le « U » viens de l'expression anglo-saxonne « Until »). Cet opérateur signifie intuitivement : « Φ₂ sera vraie entre a et b et Φi sera partout vraie entre temps ». Plus rigoureusement la formule Φi U_[a,b] Φ2 est vraie en t si et seulement s'il existe une date t' entre t+a et t+b où Φ₂ est vraie et que Φi est partout vraie dans l'intervalle [t, t'[.

• L'opérateur S_ta,b] porte aussi sur le passé (le « S » viens de l'expression anglo-saxonne « Since »). Cet opérateur signifie : « Φ₂ sera vraie vers le passé entre -b et -a et Φi sera partout vraie entre temps ». Plus rigoureusement la formule Φi S[_a,b_] Φ2 est vraie en t si et seulement s'il existe une date t' entre t-b et t-a où Φ₂ est vraie et que Φ1 est partout vraie dans l'intervalle ]t', t].

• L'opérateur S_{[a >]} porte aussi sur le passé. Cet opérateur signifie : « Φ₂ sera vraie vers le passé au-delà de -a et Φ₁ sera partout vraie entre temps ». Plus rigoureusement la formule Φ₁ S[_a,_>] Φ₂ est vraie en t si et seulement s'il existe une date t' entre 0 et t-a où Φ₂ est vraie et que Φ₁ reste vraie dans l'intervalle ]t', t]. Sémantique formelle : L'objet de cette définition est de donner un sens mathématique à la notion de validation d'une formule par un processus π (processus au sens défini ci- avant) à une date t quelconque. La notation π,t |= Φ se lit : « le processus π valide Φ à la date t » , et est définie ainsi :

• π,t |= p ssi p est dans l'ensemble de propositions de l'instantané π(k) où k est le plus grand rang des rangs d'instantanés dont les dates sont inférieures à t (t est supérieure ou égale à la date portée par l'instantané π(k) et strictement inférieure à la date de l'instantané π(k+1 ) ).

. π,t |= Φ₁ v Φ₂ ssi π,t |= Φ-i ou π,t |= Φ₂

• π,t |= F_[a:b] Φ ssi il existe une date t' de [t+a, t+b] telle que π,t' |= Φ

• π,t |= P[a,_b] Φ ssi il existe une date t' de [t-b, t-a] telle que π,t' |= Φ • π,t |= P_[a,_>] Φ ssi il existe une date t' de [0, t-a] telle que π,t' |= Φ . π,t |= Φi U_[a,b] Φ2 ssi il existe une date t' de [t+a,t+b] telle que π,t'

|= Φ₂ et pour toute date t" de [t,t'[ π,t" |= Φ-i

. π,t |= Φ1 S[a,b] Φ2 ssi il existe une date t' de [t-b, t-a] telle que π,t' |= Φ₂ et pour toute date t" de ]t',t] π,t" |= Φ1

. π,t |= Φ1 S[a,_>] Φ2 ssi il existe une date t' de [0, t-a] telle que π,t' |= Φ₂ et pour toute date t" de ]t',t] π,t" |= Φ1

La notion de liste de validité précédemment exposée était limitée aux propositions. Sans sortir du cadre de l'invention, cette approche peut être étendue à toute expression de notre langage (les propositions ne formant qu'une partie de ce langage). Pour cela nous avons besoin d'établir la façon dont les opérateurs du langage se traduisent en termes d'opérations sur les listes de validités.

Correspondance entre opérateurs du langage et opérations sur les listes de validité

II a été précédemment exposé comment se constituait une liste de validité pour des propositions. Comme les formules complexes sont construites à partir des propositions et des opérateurs du langage, pour calculer les intervalles de validités des formules complexes, il est nécessaire d'établir une correspondance entre les opérateurs du langage et des opérations sur les listes de validité. Par exemple, la liste de validité de la formule Φ₁ Λ Φ₂ résulte de la combinaison (particulière à l'opérateur Λ) des listes de validité de Φ1 et de Φ₂. Nous allons donc établir une sorte d'algèbre sur les listes de validité.

Deux types de calcul vont être explicités. Le premier sera un calcul dédié aux formules purement booléennes. Le second sera un calcul valable pour n'importe quelle formule du langage. Premier calcul des listes de validité (valable uniquement pour les formules purement booléennes) :

Pour calculer la liste de validité des formules purement booléennes l'algorithme de calcul utilisé est similaire à celui exposé pour les propositions et ne nécessite qu'une adaptation mineure. De même que pour une proposition p nous avions défini les variables booléennes p. val et l.p, pour une formule Φ purement booléenne nous définissons les variables booléennes Φ.val et I.Φ:

• Φ.val est une variable booléenne associée à Φ. Elle est initialisée à 0. • I.Φ est une variable booléenne qui représente la valeur que l'instantané I attribue à Φ. Son calcul est défini de la manière inductive suivante: o Si Φ est une proposition p alors I. Φ est l.p o Si Φ est la formule -iΦ-i alors I.Φ vaut la négation de valeur de vérité de I. Φi. Formellement : I. (-1Φ₁) = 1 - I.Φi o Si Φ est Φ1 Λ Φ₂ alors I.Φ vaut 1 si I.Φ1 et I.Φ₂ valent tous deux 1 , 0 sinon. Formellement : l.( Φ₁ Λ Φ₂) = I.Φ-i ^* I.Φ₂ o Si Φ est Φ1 v Φ₂ alors I.Φ vaut 0 si I.Φ1 et I.Φ₂ valent tous deux 0, 1 sinon. Formellement : l.( Φ₁ v Φ₂) = (I.Φ-i + I.Φ₂ ) - (I.Φ1 ^* I.Φ₂) ).

Par exemple considérons pi v p₂. Supposons un instantané I tel que l.p-j = 0 et Lp₂ = 1. Alors 1.(P₁ v p₂) = Lp₁ + Lp₂ - (Lp₁ ^* Lp₂) = 0 + 1 - (O M ) = L

Moyennant ces définitions le calcul des listes de validité d'une formule purement booléenne est similaire à celui exposé pour une proposition. Nous allons donc pouvoir étendre ce dernier pour traiter non seulement les propositions mais aussi toutes les formules purement booléennes. Il suffit simplement d'appeler au préalable le calcul sur les sous-formules afin que toutes les variables en jeu soient définies (par exemple pour Φ-i Λ Φ₂ , on doit d'abord faire le calcul pour Φï et pour Φ₂ de telle sorte que I.Φi et I.Φ₂ soient définies). L'algorithme généralisé pour les purement booléennes (donc aussi les propositions) est donc le suivant :

Algorithme de calcul de la liste de validité d'une formule purement booléenne Φ :

• Φ.val est initialisée à 0

• Φ.LV est initialisée à la liste vide

• A chaque rafraîchissement de l'instantané I faire : o calculer I.Φ comme indiqué plus haut (on suppose que les sous-formules de Φ ont été traitées avant) o Si I.Φ = 0 et Φ.val = 1 créer l'intervalle [l.t, l.t] et l'ajouter en fin de Φ.LV o Si I.Φ = 1 et Φ.val = 1 alors changer la borne supérieure du dernier intervalle de Φ.LV de sorte qu'elle devienne l.t : si (I, Ib, ub ,u) est ce dernier intervalle alors il devient (I, Ib, l.t ,u) o Si I.Φ = 1 et Φ.val = 0 alors changer la borne supérieure du dernier intervalle de Φ.LV à l.t et ouvrir cet intervalle sur cette borne supérieur : si (I, Ib, ub ,u) est ce dernier intervalle alors il devient (I, Ib, l.t ,0) o Si I.Φ = 0 et Φ.val = 0 ne pas rien faire (Φ.LV est inchangée) o Assigner I. Φ à Φ.val

Second calcul des listes de validité (valable pour toute formule mais moins efficace que le premier si appliqué à une purement booléenne)

Le calcul des listes de validité des formules non purement booléennes est maintenant abordé. Contrairement aux formules purement booléennes qui peuvent être calculées simplement en considérant la valeur que leur attribue un instantané I (soit I.Φ) et la valeur qu'elle avait auparavant (soit Φ.val), pour une formule non purement booléenne le calcul de sa liste de validité repose sur une composition des listes de validité de ses sous-formules directes, composition qui est fonction de l'opérateur. Nous allons donner ci- dessous quelques intuitions de cette composition propre à chaque opérateur. Ces intuitions ne présage pas que le calcul est fait « en ligne » ou « hors ligne ». Cette distinction sera envisagée plus loin lorsque nous aborderons les principes de certitude, de continuation et de zone d'influence. Nous faisons l'hypothèse implicite que le calcul est fait sur une certaine plage temporelle (qui n'a pas besoin d'être précisée pour exposer les principes). Une description formelle et prenant en compte tous les aspects du procédé est en revanche donnée en Annexe 1.

Cas de l'opérateur -i.

La figure 4 illustre le calcul de la liste de validité de -iΦ connaissant celle de Φ. Le principe est le suivant : deux intervalles successifs i et i+1 de Φ donnent lieu à un intervalle pour -iΦ qui s'insère entre i et i+1. (Voir Annexe 1 pour une description plus détaillée).

Cas de l'opérateur Λ.

La liste de validité de Φi Λ Φ₂ est fonction de celles de Φi et de Φ₂. Le principe est le suivant : si h est un intervalle de Φi et i₂ un intervalle de Φ₂ et que h n i₂ ≠ 0, alors h n i₂ est un intervalle de Φ^ Λ Φ₂. (Voir Annexe 1 pour une description plus détaillée).

Cas de l'opérateur v. La liste de validité de Φ-ιv Φ₂ est fonction de celles de Φi et de Φ₂. Le principe est le suivant. Tout d'abord nous faisons un choix de sens de parcours des listes de validité des listes de Φ-i et de Φ₂. Nous verrons qu'il est plus judicieux de partir de la fin des listes. Nous faisons donc ce choix. Soient J₁ et i₂ les derniers intervalles de respectivement Φi.LV et de Φ₂.LV. Nous faisons un premier choix entre il et i2 qui consiste à choisir celui va le plus loin dans le futur (où i « va plus loin dans le futur que » j signifie que soit nous avons i.ub > j.ub soit nous avons si i.ub = j.ub et i.u = 1 et j.u = O). Si ce choix n'est pas possible car ils vont tous deux aussi loin dans le futur (c'est-à-dire J₁-Ub = i₂.ub et J₁. u = i₂.u) alors nous choisissons des deux celui qui va le plus loin dans le passé. Prenons, sans perte de généralité, le cas où ii ressortirait vainqueur de ce choix. Nous faisons entrer J₁ dans la liste de validité (Φiv Φ₂).LV de Φ_ÏV Φ₂ par adjonction à gauche. Ensuite nous recherchons dans les prédécesseurs de i₂ (i₂ compris) le premier intervalle i qui soit tel que i < ii ou bien qui chevauche J₁ à gauche. Nous l'assignons à i₂ (même si i vaut Nil). Nous assignons le prédécesseur de ii à ii. Puis nous réitérons le procédé en refaisant un choix entre les nouveaux U et i₂ et ainsi de suite jusqu'à épuiser les listes Φi.LV et Φ₂.LV. Ainsi, de proche en proche, et selon un algorithme linéaire, nous construisons la liste de validité de Φ-ιv Φ₂.

Cas de l'opérateur F_[a,b].

La figure 5 illustre la manière dont un intervalle de F_[a,_b]Φ est produit en fonction d'un intervalle existant dans la liste de validité de Φ. Si i est un intervalle de Φ on déduit que l'intervalle (i Θ [-b, -a]) contient les dates de validité pour F_[a,b]Φ selon la donnée de i. En effet choisissons une date t de i Θ [-b, -a]. Est-ce que Φ est effectivement vraie dans [t+a, t+b] ? Autrement dit est-ce que [t+a, t+b] coupe i ? Supposons que cela ne soit pas le cas. Alors c'est que nous aurions [t+a, t+b] < i ou bien i < [t+a, t+b]. Considérons le cas [t+a, t+b] < i. Pour qu'il soit vérifié il n'y a que deux cas de figure. Montrons qu'il y a contradiction dans les deux cas :

• Soit nous aurions t+b < i.lb, donc t < i.lb - b donc t € i Θ [-b, -a]. Contradiction.

• Soit nous aurions t+b = i.lb et i.l = 0 car [t+a, t+b] est fermé à droite sur t+b. Sachant que i Θ [-b, -a] vaut par définition (i.l, i.lb - b, i.ub - a, i.u), avec i.lb = t + b, nous aurions alors i Θ [-b, -a] = (U, (t + b) - b, i.ub - a, i.u) = (U, t, i.ub - a, i.u). Ainsi t serait dans ce cas la borne inférieure de i Θ [-b, -a]. Comme nous avons pris t dans i Θ [-b, -a], cela signifie que i Θ [-b, -a] possède sa borne inférieure, donc qu'il est fermé sur celle-ci. Autrement dit cela implique (i Θ [-b, -a]).l = 1.

Comme par définition (i Θ [-b, -a]). I est U nous devrions donc avoir U = 1. Contradiction.

Le cas i < [t+a, t+b] mène de la même manière à des contradictions. Ceci montre que (i Θ [-b, -a]) contient bien les dates de validité pour F_[a,b] Φ selon la donnée de i et par conséquent qu'il est un intervalle à adjoindre dans la liste de validité de F_[a,b] Φ. (Voir Annexe 1 pour un calcul plus détaillé).

Cas de l'opérateur U[_a,_b]- Nous distinguons selon que a > 0 ou a = 0. Cas a > 0.

Rappelons que Φ-i U_[a,b] Φ₂ est valide en une date t si Φ₂ est vraie à une date t' de [t+a,t+b] et que Φ₁ est vraie partout sur [t,t'[. Il résulte de ceci qu'un intervalle H de Φ₁ et un intervalle I₂ de Φ₂ tels que H] n i₂ = 0 (rappel : h] est le fermé à droite de h) ne peuvent donner lieu à un intervalle pour Φ-i U_[a,b] Φ∑- En effet si h] n i₂ = 0 cela signifie qu'il existe une séparation entre h] et i₂ par conséquent Φ-i ne peut être partout vraie entre une date de i-ι] jusqu'à une date de i₂. Donc ii] n i₂ ≠ 0 est une condition nécessaire pour que ii et i₂ génèrent un intervalle pour Φ-, U_[a,b_] Φ₂ - Considérons donc, comme sur la figure 6A, deux intervalles h et i₂ tels que J₁] n i₂ ≠ 0. Appelons i cet intervalle J₁] n i₂. Considérons l'intervalle j = i Θ [-b, -a]. D'après ce que nous avons vu précédemment pour l'opérateur F_[a,b], si nous choisissons une date t dans j il est clair qu'il existe une date t' de [t+a, t+b] qui soit dans i. Comme toutes les dates de i sont aussi des dates de i₂ (puisque i = h] n i₂), cela signifie qu'en t' Φ₂ est vraie. Nous en déduisons que si t est choisie dans j alors il existe une date t' de [t+a, t+b] où Φ₂ est vraie.

Choisissons maintenant t dans j n J₁]. Alors la date t, en tant que date de j, nous garantit comme vu ci-dessus qu'il existe une date t' de [t+a, t+b] où Φ₂ est vraie. Rappelons que de plus t' est aussi une date de i.

Ceci implique que t' est une date de H] (puisque i = i-i] n i₂). Par ailleurs en tant que date de j n J₁] la date t est aussi une date de J₁]. Finalement, pour synthétiser, t et t' sont des dates de h] et t' est dans [t+a, t+b]. Gomme a > 0 alors t < t'. Donc t est dans h et t' dans J₁]. C'est-à-dire que t' est ou bien dans h ou bien n'est pas dans J₁ mais est J₁. ub. Dans les deux cas l'intervalle ii (qui est continu) assure donc une continuité de validité de Φi sur [t, t'[. Comme Φ₂ est vraie en t', il s'en suit que (Φi U_[a,b] Φ2) est valide en t. Pour conclure, quand a>0, l'intervalle H] n (i-i] n i₂ Θ [-b, -a]) dénote les dates où (Φ1 U_[a,_b] Φ₂) est vraie d'après la donnée de ii et i₂ (il est éventuellement vide si j < h ). Cet intervalle sera donc à adjoindre à la liste (Φ1 U[a,b] Φ2).LV de validité de Φ₁ U_[a,b] Φ₂-

Cas a = 0 (donc cas de : Φ1 U[o,b] Φ2)

Dans le cas où a vaut 0, l'ensemble i₂ est lui-même un ensemble de dates qui valident Φ₁ U_[a,_b] Φ₂- L'intervalle i₂ doit donc aussi être adjoint à (Φ₁ U_[a,b] Φ₂).LV. Mais si par ailleurs il existe ii de Φ-i.LV qui chevauche i₂ par la gauche comme sur la figure 6B, les dates de ii qui sont aussi dans i₂ © [-b, 0] valident Φ-i U_[0,b_] Φ₂- Finalement s'il existe un tel M qui chevauche i₂ par la gauche c'est donc l'intervalle (h n (i₂ Θ [-b, 0])) u i₂ nous devons adjoindre au lieu de i₂ seulement.

Dans l'Annexe 1 un calcul précis et formalisé a vaut 0 ou que a > 0. Cas de l'opérateur S_[a,_b]. Symétrique à U_[a,_b] dans le passé.

Cas de l'opérateur P_[a,_>]. La liste de validité de P_[a,>] Φ ne dépend que du premier intervalle de la liste de validité de Φ. Si celui-ci existe et est de la forme [u,v] alors la liste de validité de P_[a,_>] Φ est composé de l'unique intervalle [u+a,∞[.

Cas de l'opérateur S_[a,_>]. Considérons la formule Φ-i S_[a,>] Φ₂ . Là encore pour que \-_\ de Φi et i₂ de Φ₂ produisent un intervalle pour Φ-i S[_a,>] Φ₂ il faut que i₂ n [J₁ ≠ 0. Supposons que ce soit le cas. Supposons que i₂ soit [u,v]. Posons k = [u+a, ∞[. Alors k n ^"h est un intervalle de validité pour Φ-i S_[a,>] Φ₂.

Dans les descriptions ci-dessus nous n'avons donné qu'une intuition pour chaque opérateur, des bases du calcul. Il existe de multiple façon de composer des listes de validité avec un résultat identique. L'essentiel est que le calcul soit conforme à la sémantique donnée pour le langage. Dans l'Annexe 1 nous donnons une description précise et complète (en pseudo- code) d'un mode de calcul possible pour chaque opérateur.

Relation entre le procédé et le calcul de la liste de validité de la formule principale

Dans ce qui précède nous avons décrit une version simple du procédé où le comportement redouté se réduisait à une proposition, soit « solde <0 ». Le procédé reposait sur le constat que détecter l'occurrence du comportement redouté « solde <0 » équivaut à calculer la liste de validité attachée à la proposition « solde <0 » et à tester si cette liste est vide ou non. Si elle ne l'est pas, cela signifie que « solde <0 » est vraie à certaines dates et donc que le comportement redouté a eu lieu. Ensuite nous avons introduit un langage plus riche pour exprimer des propriétés plus évoluées. Pour étendre le procédé à ce langage il fallait alors disposer d'un calcul permettant de calculer la liste de validité de n'importe quelle formule exprimable dans ce langage de sorte que l'on puisse appliquer le même principe à savoir : « détecter le comportement redouté c'est tester que la liste de validité de la formule qui l'exprime est non vide ». Or nous avons montré, au travers de deux types de calcul, que ce calcul peut être fait, pour n'importe quelle formule du langage. La seule contrainte à respecter est que lorsqu'on calcul la liste de validité d'une formule il faut que l'on ait traité d'abord ses sous-formules directes. Ceci n'a rien d'inhabituel : par exemple, en arithmétique élémentaire, si l'on demande de calculer a+b, il faut bien que les termes a et b soient définies et aient été calculés avant que l'on procède au calcul de a+b. Cette contrainte laisse supposer au moins deux modes de calcul pour le procédé : « Un calcul de type récursif (reposant sur un algorithme qui s'appelle lui- même) • Un calcul suivant la hauteur des formules

Schématiquement l'algorithme récursif est le suivant (il prend en argument une formule, nommons là Φ) :

A1 - Si Φ est formule purement booléenne, calcul de la liste de validité selon l'algorithme propre à ce type de formule.

A2 - Sinon identification de l'opérateur de la formule Φ,

A2.1 - Appel (récursif) du présent algorithme sur Φi la première sous- formule directe de Φ

A2.2 - Si Φ possède une deuxième sous-formule directe Φ₂ appel récursif sur Φ₂

A2.3 - Calcul de la liste de validité de Φ en fonction de celles de Φi (et Φ₂) et selon l'opérateur identifié A3 - FIN Le procédé, à chaque rafraîchissement de l'instantané I, appelle cet algorithme avec comme argument la formule principale Φ.

Selon un autre mode de réalisation, le calcul de la liste de validité fait appel à un algorithme non récursif se basant sur la hauteur des formules. Schématiquement l'algorithme est le suivant (Φ est la formule principale) : B1 -soit k = 0

B2 - « tant que » k < h(Φ) faire B2.1 - pour toute sous-formule ψde Φ telle que h(ψ) = k faire : a) Si Ψ est formule purement booléenne, calcul de sa liste de validité selon l'algorithme propre à ce type de formule b) Sinon calcul de la liste de validité de Ψ en fonction de sa ou ses formules directes (qui ont forcément été déjà traitées puisque de hauteurs inférieures)

B2.2 - k = k + 1

B2.3 - retour du « tant que » 2. B3 - FIN.

Pour le procédé cet algorithme est appelé à chaque rafraichissement de l'instantané I, sans argument.

D'un point de vue de l'efficacité on privilégiera le calcul reposant sur la hauteur des formules. En pratique on rangera les sous-formules de la principale Φ dans une liste croissante selon la fonction h (c'est-à-dire de sorte que si Ψi et Ψ₂ sont deux formules consécutives de cette liste on ait soit h(Ψ0 < h(Ψ₂) soit h(Ψ0 = h(Ψ₂)). Ensuite, à chaque rafraichissement de l'instantané on parcoure cette liste à partir du début et pour chaque formule rencontrée on procède au calcul de ses intervalles de validité. A chaque formule rencontrée nous sommes sûrs que les sous-formules ont déjà été calculées puisque, de hauteurs inférieures, elles ont été parcourues avant la formule courante.

Dans ce qui précède nous avons présenté un calcul des liste de validité sans nous préoccuper de la plage temporelle qu'il était nécessaire ou possible de calculer. Les principes du calcul rigoureux, optimisé et en ligne vont être exposés ci-après. Comme il va être vu, il s'agit de conserver les résultats déjà obtenus lorsque le procédé est assuré qu'ils ne seront plus modifiés et de ne faire, à chaque nouveau rafraichissement de l'instantané, que les calculs nécessaires au prolongement de ces résultats. De sorte que le calcul peut être vu comme une suite de calculs locaux qui prolongent des résultats acquis antérieurement.

Principes du calcul en ligne (certitude, continuation et zone d'influence) Le procédé de calcul selon l'invention efficace, en ligne, et à mémoire bornée, des intervalles de validité repose sur des principes originaux qui vont être exposés. Ce sont les principes de certitude, de continuation et de zone d'influence. Corollaire de la notion de zone d'influence, la notion de date d'inutilité permet de doter le procédé d'un mécanisme essentiel à son fonctionnement sans limite de durée, à savoir l'élimination des intervalles devenus non pertinents du point de vue de la problématique de détection du comportement redouté.

Principe de certitude : Ce principe consiste à déterminer, à tout moment et pour toute formule du langage, la portion de sa liste de validité qui restera inchangée, quoique qu'il advienne par la suite.

Pour rendre opérationnel ce principe, le procédé définit une fonction, appelée Cert, qui prend en argument une formule et renvoie un nombre réel et ce de telle sorte que si I est le dernier instantané alors l.t - Cert(Φ) détermine la dernière date à laquelle Φ est certaine. Se pose alors la question de la première date à partir de laquelle Φ est certaine. D'après ce qui précède cela devrait être T_origine - Cert(Φ) puisque par convention le premier rafraichissement est effectué à T_originen, date de début d'observation. Mais il se peut alors que T_origine - Cert(Φ) soit antérieur à T_origine (tout simplement lorsque Cert(Φ) est strictement supérieur à 0). Nous sommes alors devant deux options. Soit nous acceptons, option 1 , de calculer des dates de validité antérieurement à T_origine, dans ce cas la fenêtre de certitude sera, pour toute formule Φ, l'intervalle [T_origine - Cert(Φ), l.t - Cert(Φ)]. Soit, option 2, nous n'acceptons pas de calculer des dates de validité antérieurement à T_origine (nous affirmons le caractère de T_origine comme date d'origine absolue), alors dans ce cas la fenêtre de certitude sera, pour toute formule Φ, l'intervalle [sup(T_origine, (T_origine - Cert(Φ))), l.t - Cert(Φ)]. Quoique les deux options soient possibles, dans la suite de la présentation nous opterons pour l'option 2 où [sup(T_origine, (T_origine - Cert(Φ))), l.t - Cert(Φ)] définit à tout moment l'intervalle de certitude de Φ.

Pour une proposition p, sa valeur peut être déterminée jusqu'à la date du dernier instantané. Il est donc clair que la liste de validité d'une proposition est complètement déterminée, figée, sur la plage temporelle [T_origine, l.t] où I est le dernier instantané. Il faut donc poser Cert(p) = 0 pour que [sup (T_origine, T_ohgine - Cert(Φ)), l.t - Cert(Φ)] soit l'intervalle de certitude de p. En effet, en posant Cert(p) = 0, nous avons bien [sup (T_origine, T_origine - Cert(Φ)), l.t - Cert(Φ)] = [sup(T_origine, T_ohgine - 0), l.t - 0] = [T_origine, l.t].

Avant de généraliser à tous les opérateurs et à toute formule, ce principe est présenté dans un premier temps avec la formule F_[a,_bi P, car cela est particulièrement intuitif. Considérons une date t quelconque. Si nous voulons savoir si F_[a,b] P est vraie ou fausse en t, conformément à la sémantique définie pour l'opérateur F_[a,_b] il faut que nous connaissions la valeur de p sur tout l'intervalle [t+a, t+b]. Or pour connaître p sur [t+a, t+b] il faut que la liste de validité de p soit déterminée et figée au moins jusqu'à t+b. Si nous renversons ce raisonnement, supposons que p soit certaine jusqu'à une date r. Alors F_[a,_b]P ne peut être déterminée que jusqu'à r - b. En effet considérons une date t < r - b. Donc t + b < r. Est-ce que la validité de F_{[a b}] p peut-être déterminée en t ? D'après la définition de cet opérateur cela peut être déterminé si la validité de p est certaine sur toute date de [t+a, t+b]. Or c'est le cas puisque ayant t+b < r et a < b, il suit que toutes les dates de p sur [t+a, t+b] sont inférieures à r et donc la validité de p connues pour chacune. Pour généraliser à F[_a,t_>] Φ, si Φ est certaine jusqu'à disons r alors F_[a,_b] Φ n'est certain que jusqu'à r - b. La figure 7 A illustre ce principe, la validité de F_[a,b] Φ est certaine en ti et incertaine en t₂ car [t₂+a, t₂+b] empiète sur une zone de validité non déterminée pour Φ.

Pour formaliser cette idée nous définissons la fonction Cert qui prend en argument une formule Ψ et renvoie un nombre réel de telle sorte que si l.t est la date du dernier instantané alors l.t - Cert(Ψ) est la plus grande date jusqu'à laquelle Ψ soit certaine. Il suit immédiatement que Cert(p) vaut 0 pour toute proposition p. Maintenant examinons le cas de la formule F_[a,b] Φ, c'est-à-dire déterminons la valeur de Cert(F_{[a b]} Φ). Par hypothèse l.t - Cert(Φ) donne la plus grande date de certitude pour Φ. D'après ce que nous avons vu, F_[a>b] Φ n'est donc certaine que jusqu'à (l.t - Cert(Φ)) - b. Or cette date est censée être l.t - Cert(F_{[a b}] Φ). Donc nous avons : l.t - Cert(F_[a,b] Φ) = l.t - Cert(Φ) - b «^• - Cert(F_[a,bi Φ) = - Cert(Φ) - b <=> Cert(F_[a,_b] Φ) = Cert(Φ) + b

Finalement : Cert(F_{[a b}] Φ) = Cert(Φ) + b. La fonction de certitude Cert d'une formule se définit de façon inductive en partant des propositions pour lesquelles la fonction Cert est connue (comme nous l'avons vu elle vaut O), pour aller ensuite vers les formules plus complexes. Au final cette fonction prend en argument une formule et renvoi un nombre réel (ce nombre ne dépend que de la formule et peut donc être calculé statiquement). Comme il a été dit cette fonction est définie de telle sorte que [sup(T_origine, T_origine

- Cert(Φ)), t - Cert(Φ)] soit l'intervalle de certitude de Φ, lorsque l.t est la date portée par le dernier instantané observé I. En généralisant à tous les opérateurs nous obtenons la définition inductive suivante de la fonction Cert:

• Cert(Φ) = 0 si Φ est une proposition

• Cert(^Φ) = Cert(Φ)

• Cert(Φi Λ Φ₂) = sup (Cert(Φi), Cert(Φ₂))

• Cert(Φ! v Φ₂) = sup (Cert(Φi), Cert(Φ₂)) • Cert(F_[a,b] Φ) = Cert(Φ) + b

• Cert(Φi U_[a,b]Φ₂) = sup (Cert(Φi), Cert(Φ₂)) + b

• Cert(P_[a,b] Φ) = Cert(Φ) - a

• Cert (P_[a,_>] Φ) = Cert(Φ) - a

• Cert(Φ₁ S_[a,b] Φ₂ ) = sup (Cert(Φi), Cert(Φ₂) - a) • Cert(Φ₁ S_[a,_>] Φ₂ ) = sup (Cert(Φi), Cert(Φ₂) - a)

Expliquons la certitude de (Φi U_[a,b] Φ2), avec a > 0, qui n'est pas triviale. On se reportera à la figure 6A. Cette figure illustre la façon dont un intervalle de Φ₂ et un intervalle de Φ1 donnent lieu à un intervalle pour Φ-, U_[a!b] Φ₂ . Sur la figure 6A, nous avons besoin que J₁] n i₂ soit certain. Or la certitude d'une intersection est donnée par la plus petite date des certitudes attachées aux intervalles qui interviennent. Or nous ne sommes certains de ii que jusqu'à l.t

- Cert(Φi), de i₂ que jusqu'à l.t - Cert(Φ₂). La plus petite des deux est donc donnée par l.t - sup(Cert(Φi), Cert(Φ₂)). Ensuite le calcul de (h] n i₂) Θ [-b, - a] ne peut être certain (revoir les arguments avancés pour F_[a,_b]) que jusqu'à (l.t - sup(Cert(Φi), Cert(Φ₂))) - b soit l.t - (sup(Cert(Φi), Cert(Φ₂)) + b). Et finalement h] n j que jusqu'à : l.t - sup ( Cert(Φ₁), (sup(Cert(Φ₁), Cert(Φ₂)) + b) ) Montrons que cela est équivalent à sup(Cert(Φi), Cert(Φ₂)) + b qui est la valeur de Cert(Φi U_[a,b]Φ₂) dans la définition. Deux cas : • Cas Cert(Φi) > Cert(Φ₂). o Alors d'une part nous avons :

- l.t - sup ( Cert(Φ₁), (sup(Cert(Φi), Cert(Φ₂)) + b) )

- = l.t - sup ( Cert(Φi), Cert(Φi) + b) )

o Et d'autre par

- sup(Cert(Φ₁), Cert(Φ₂)) + b

o Donc l'égalité recherchée • Cas Cert(Φi) < Cert(Φ₂). o Alors d'une part:

- l.t - sup ( Cert(Φi), (sup(Cert(Φi), Cert(Φ₂)) + b) )

- = l.t - SUp ( CeIt^₁), (Cert(Φ₂) + b) )

- = Cert(Φ₂) + b o Et d'autre part

- sup(Cert(Φ₁), Cert(Φ₂)) + b

- Cert(Φ₂) + b o Donc l'égalité recherchée d'où Cert(Φ₁ U_[a,_b] Φ2) = sup (Ceιt(Φi), Cert(Φ₂)) + b. Pour Cert(Φ₁ S_[a,b] Φ₂) la justification est illustrée par la figure 7B où l'on montre que sup(Cert(Φ₁), Cert(Φ₂) -a) convient. Pour les autres formules, la fonction Cert s'explique par des raisonnements analogues.

En pratique, à chaque sous-formule Φ de la formule principale, nous associerons une variable de type réel notée Φ.rel_œrt , destinée à stocker la valeur de Cert(Φ). Un mode de calcul possible de Φ.rel_cert est le suivant, illustré par l'algorithme récursif calcul_rel_cert:

calcul_rel_cert (Φ) C1 - Si Φ est : C1.1 - une proposition p alors Φ.rel_cert = 0

C1.2 - -Φι alors Φ.rel_cert = calcul_rel_cert (Φi)

C1.3 - Φi Λ Φ₂ alors Φ.rel_cert = sup(calcul_rel_cert(Φi), calcul_rel_cert(Φ₂) ) C1.4 - Φi v Φ₂ alors Φ.rel_cert = sup (calcul_rel_cert(Φi), calcul_rel_cert(Φ₂))

C1.5 - F[_a,b]Φ alors Φ.rel_cert = calcul_rel_cert(Φ) + b

C1.6 - Φ-i U_[a,b]Φ2 alors Φ.rel_cert = sup (calcul_rel_cert(Φi), calcul_rel_cert(Φ₂) ) + b C1.7 - P[_a,b] Φ alors Φ.rel_cert = calcul_rel_cert(Φ) - a

C1.8 - P[_a,_>] Φ alors Φ.rel_cert = calcul_rel_cert(Φ) - a

C1.9 - Φi S_[a,b] Φ2 alors Φ.rel_cert = sup (calcul_rel_cert(Φi), calcul_rel_cert(Φ₂) - a)

C1.10 - Φi S_[a,_>] Φ₂ alors Φ.rel_cert = sup (calcul_rel_cert(Φ-ι), calcul_rel_cert(Φ₂) - a)

C2 - FIN

Pour le procédé, chaque sous-formule Φ de la principale (principale comprise) se voit attribuée une variable réelle nommée Φ.abs_cert destinée à stocker la date de certitude absolue de Φ. Conformément à ce nous avons dit sur la date de certitude initiale, l'initialisation dépend d'une option. Pour Φ cette variable Φ.abs_cert sera initialisée soit à (option 1 ) T_origine -

Φ.rel_cert soit à (option 2) sup(T_origine, T_origine - Φ.rel_cert). La certitude initiale s'interprète comme la première date à partir de laquelle la validité d'une formule sera définie. Quelques exemples :

• Considérons -i(P[3,5] p) avec T_origine = 0. Nous avons (^~i(P[3,5] p)).rel_cert = (P^₅₁ p).rel_cert = p.rel_cert - 3 = 0 - 3 = -3. Donc (-i(P[3,5i p)).abs_cert sera initialisée par (option 2) sup(0, 0 - (- 3)) = sup(0, 3) = 3 ou bien par (option 1 ) 0 - (- 3) = 3. Autrement dit, quelle que soit l'option choisie sur la certitude initiale, pour cette formule -i(P[3,5j p) et pour un processus commençant à la date 0, on ne commencera à faire des calculs de validité qu'à partir de la date 3. • Considérons F_[3,₅] p avec T_origine = 0. (F^₅] p).abs_cert sera initialisée selon l'option 2 par sup(0,0 - 5) = sup(0,-5) = 0 ou par, selon l'option 1 , 0 - 5 = -5. Autrement dit, pour cette formule et pour un processus commençant à la date 0, selon l'option 2 on ne commencera à faire des calculs de validité qu'à partir de la date 0, ou bien, selon l'option 1 , à partir de la date -5.

Principe de continuation

Du principe de certitude précédemment développé, découle le principe de continuation qui gouverne les algorithmes détaillés ci-avant de calcul des listes de validité. Supposons que I soit le dernier instantané, la liste de validité d'une formule Φ a donc été établie jusqu'à l.t - Φ.rel_cert (sa zone de certitude étant [sup(T_origine, T_origine - Φ.rel_cert), l.t - Φ.rel_cert]). Par définition ceci assure que la liste de validité de Φ sur [sup(T_origine, T_origine - Φ.rel_cert), l.t - Φ.rel_cert] ne peut être modifiée par la suite. Cette portion est donc un résultat acquis qui ne doit plus être recalculé par la suite. Si donc arrive un nouvel instantané I' après l'instantané I le calcul des intervalles pour Φ ne doit porter que sur la fenêtre dite de continuation :

] I.t - Φ.rel_cert, I'.t - Φ.rel_cert]

II s'agit donc de prolonger les résultats acquis sur [sup(T_origine, T_origine - Φ.rel_cert), I.t-Φ.rel_cert] par un calcul sur ] l.t - Φ.rel_cert, l'.t - Φ.rel_cert] de sorte que in fine le résultat est obtenu sur [sup(T_origine, T_origine - Φ.rel_cert), l'.t - Φ.rel_cert] qui est bien l'intervalle de certitude de Φ lorsque I' est le dernier instantané. C'est ce qui est désigné dans ce contexte, par principe de continuation. Sur le plan algorithmique, à chaque formule Φ sont associées deux variables :

• la variable Φ.abs_cert qui est initialisée à o Option 1 : (T_origine - Φ.rel_cert) o Option 2 : sup(T_origine, T_origine - Φ.rel_cert)

• une variable de type intervalle, initialisée à vide. Appelons cette variable Φ.w pour une formule Φ (w pour « window » soit fenêtre en français). C'est cette seconde variable qui représente la fenêtre de continuation de Φ. La fenêtre de continuation Φ.w de Φ se calcul ainsi (on suppose l'initialisation Φ.abs_cert effectuée comme décrit ci-dessus):

• A chaque rafraîchissement de l'instantané I faire :

• Si Φ.w est vide : o Si (l.t - Φ.rel_cert) > Φ.abs_cert alors Φ.w devient : [Φ.abs_cert, l.t - Φ.rel_cert] puis affecter à Φ.abs_cert la valeur (l.t - Φ.rel_cert) o Si (l.t - Φ.rel_cert) < Φ.abs_cert alors Φ.w reste l'intervalle vide

Afin de rendre optimal le calcul de la liste de validité d'une formule Φ sur sa fenêtre de continuation, il s'agit de déterminer, dans les sous-formules de Φ, quels intervalles sont susceptibles de générer de nouveaux intervalles dans cette fenêtre de continuation de Φ. C'est l'objet de la notion de zone d'influence que de cibler seulement ces intervalles.

Les étapes de calcul données pour la formule principale Φ restent les mêmes lorsque l'on considère les sous-formules ψ d'une formule et sa variable associée ψ.abs_cert. Notion de zone d'influence

Cette notion intervient dans l'objet de l'invention, à deux titres :

• Elle définit, pour une formule Φ, quels intervalles des sous-formules de Φ ont une influence sur la fenêtre de continuation Φ.w de Φ définie précédemment,

• Réciproquement, elle définit, pour une formule Φ, quels intervalles des sous-formules de Φ n'ont plus d'influence que sur la zone déjà certaine de Φ

• Ceci permet donc : o D'optimiser le calcul en ligne des intervalles de validité, en ne ciblant que les intervalles qui influent sur la fenêtre de continuation. o De manière duale, ceci permettra de définir les intervalles qui ne peuvent plus avoir d'influence sur les fenêtres de continuation, et donc d'éliminer ces intervalles.

Là encore l'opérateur F_[a,_b] est particulièrement intuitif pour présenter ce principe avant sa généralisation à tout opérateur. La figure 8A illustre la zone d'influence pour F_[a,b]Φ- Dans cette figure 8A, le dernier instantané est I' tandis que le précédent est I. La fenêtre de continuation (F_[a,b] Φ).w de F_[a,b] Φ est donc ] l.t - (F_[a!b] Φ).rel_cert, l'.t - (F_[a,_b] Φ).rel_cert ].

Les premières dates sur la valeur de Φ qui influent sur la fenêtre de continuation de F_[aib]Φ sont les dates supérieures à l.t - (F_[a!b] Φ).rel_cert + a tandis que la dernière qui influe sur cette fenêtre de continuation est l'.t - (F[a_ib] Φ).rel_cert + b. Autrement dit il s'agit de l'intervalle F_[aib].w Θ [a,b]. Ceci peut s'exprimer et se généraliser sous la forme d'une fonction qui admet en arguments deux formules et qui renvoie un intervalle. Si Ψ est une formule sous-formule directe de Φ, ZI(Ψ,Φ) est la plage temporelle de la liste de validité de Ψ à considérer dans le calcul de la continuation de Φ. Par plage temporelle nous entendons tout simplement un intervalle. Finalement nous dirons qu'un intervalle de la liste de validité de Ψ a une influence sur la fenêtre de continuation de Φ si et seulement si il a une intersection non vide avec ZI(Ψ,Φ). Conformément à notre analyse pour le F_{[a b]}Φ, nous aurions donc : ZI(Φ, F_[a,t>] Φ) = (F_[a,t>] Φ)-w Θ [a,b]. Définition de la fonction Zl :

• ZI(Φi , (Φi Λ Φ₂ )) = ZI(Φ₂ , (Φi Λ Φ₂ )) = (Φi Λ Φ₂ ).W

• ZI(Φi , (Φi v Φ₂ )) = Zl (Φ₂ , (Φi v Φ₂ )) = (Φi v Φ₂ ).w

• Zl (Φ, F_[a,_b] Φ) = (F_ta,b] Φ).w Θ [a,b] • Zl (Φ, P_[a,b] Φ) = (P_[a,b] Φ).w Θ [-b,-a]

• Zl (Φ, P_[a,_>]Φ) = (P_[a,_>] Φ).w Θ [-a, -a]

• ZI(Φ_{1 ;} (Φ₁ U_[a,b] Φ₂)) = (Φ₁ U_[a,b] Φ₂).w Θ [a,b]

• ZI(Φ_2j (Φi U_[a,b] Φ₂)) = (Φ₁ U_[a,b] Φ₂).w Θ [a,b]

• ZI(Φ_{1 ;} (Φ₁ S_[a,b] Φ₂ )) = (Φ₁ S_[a,b] Φ₂ ) Θ [-b,-a] • ZI(Φ₂, (Φi S_[a,b] Φ₂ )) = (Φ₁ S_[a,b] Φ₂ ) Θ [-b,-a]

• ZI(Φ_{1 s} (Φi S_[a,_>] Φ₂ )) = ((Φi S_[a,_>i Φ₂ ).w Θ [-a, -a])

• ZI(Φ₂, (Φ, S_[a,_>] Φ₂ )) = ((Φi S_[a,_>] Φ₂ ).w Θ [-a, -a])

Calcul en ligne, par continuation, des listes de validité

Le principe de la continuation en ligne est le suivant. Pour chaque formule le procédé ne produit de nouveaux intervalles que sur sa fenêtre propre de continuation. Ces nouveaux intervalles sont calculés à partir des listes de validité des sous-formules, mais en ne considérant que les intervalles dont l'intersection est non vide avec la zone d'influence calculée au moyen de la fonction Zl. Ces restrictions étant faites, le calcul proprement dit est alors réalisé selon les principes du calcul hors ligne (ainsi que décrit dans la section Correspondance entre opérateurs logiques et opérations sur les listes de validité). Pour synthétiser : le calcul en ligne est une succession de calculs hors ligne locaux restreints pour chaque formule à sa fenêtre de continuation propre.

Remarque : pour que ce calcul soit correct il est nécessaire que, pour toute formule, quelle que soit la zone d'influence qui lui est attribuée, celle-ci soit incluse dans sa zone de certitude propre, comme cela est illustré figure 8A (la zone d'influence pour Φ est bien dans sa zone de certitude). Or cela est toujours le cas. Ceci se démontre à partir des définitions des fonctions Cert et Zl.

Le calcul par continuation peut là encore être facilement illustré pour F_[a,t_>] Φ- II s'agit de ne considérer que les intervalles de la liste de validité de Φ situés dans la zone d'influence calculée pour F_[a,b]Φ- Etant donné que ces intervalles ont plus de chance d'être à la fin de la liste de validité de Φ l'algorithme procède par marche arrière. Il remonte la liste de validité de Φ à partir de la fin jusqu'à déterminer le dernier et le premier intervalle ayant une intersection non vide avec la zone d'influence. Ceci définit une sous liste de la liste de validité de Φ qui est exploitée selon l'algorithme hors ligne décrit plus haut pour le calcul de nouveaux intervalles de la liste de validité de F[a,b] Φ- Pour chaque production nous calculons son intersection avec la fenêtre de continuation de F_[a,_b] Φ- Si elle n'est pas vide elle est adjointe à gauche dans une liste temporaire. Puis quand tous les intervalles de la zone d'influence ont été parcourus, la liste temporaire est raccordée à la droite de F_[a,b]Φ-LV (Voir l'Annexe 1 pour un calcul détaillé de F_[a,t_>] Φ). Le principe de continuation présente néanmoins des particularités pour les opérateurs P[_a,_>] et S[_a,_>j. Pour une formule de type P[_aj>] Φ il suffit que Φ soit vraie une seule fois à une date t pour que P_[ai>] Φ soit vraie au-delà de t+a. Le procédé peut donc être simplifié. Dès que Φ est vraie, c'est-à-dire Φ.LV possède un premier i, on créé l'intervalle (i.l, i.lb + a, ((P_[a,_>] Φ).w).ub, ((P[a,_>j Φ).w).u) que l'on ajoute à la liste de validité vide de P_[a,>] Φ ; ensuite cet intervalle est systématiquement étendue sur sa borne supérieure (qui devient donc l.t - (P_[a,_>j Φ).rel_cert à chaque rafraichissement), sans se préoccuper de la valeur de Φ. Pour S_[a,>], d'après la sémantique de cet opérateur, le procédé doit examiner la valeur de vérité de Φ₂ arbitrairement loin dans le passé et donc aussi celle de Φ-i . Mais cette approche obligerait à conserver en mémoire tous les intervalles de Φ₂ et de Φ-i. De sorte que la mémoire requise par le moniteur pourrait croitre indéfiniment. Or un des objectifs de la présente invention est que la mémoire requise par le moniteur soit bornée. En réalité l'information que Φ₂ a été vraie est conservée dans la liste de validité de Φi S_[a,_>] Φ₂. En effet, considérant le calcul de Φi S_[a,_>] Φ₂ sur sa fenêtre de continuation, si le dernier intervalle de la liste de validité de Φ₁ S[a,_>] Φ2 est tel que sa borne supérieure est (Φ1 S[_a,_>] Φ₂).w.ub alors cela signifie qu'il a existé dans la ou les fenêtre(s) précédente(s) de continuation, un intervalle i de Φ₁ ayant intersecté un intervalle de Φ₂ dans le passé et qui se prolongeait au moins jusqu'à (Φ₁ S_[a,_>] Φ₂).w.ub. Si lors du calcul de Φ1 S_[a,_>] Φ2 le procédé trouve dans la liste de validité de Φ₁ un intervalle qui contient (Φ₁ S[_a,_>] Φ₂).w.ub, cela signifie qu'il prolonge i sans interruption, et que donc il prolonge la validité de Φ₁ S_[a,>] Φ₂- La mémoire que Φ₂ a été vraie est donc contenue dans le dernier intervalle de la liste de validité de Φi S_[a,_>] Φ₂. C'est pourquoi nous serons en mesure d'éliminer les intervalles de Φ₁ et de maintenir une mémoire bornée. Ceci sera vu plus loin avec la notion de date d'inutilité.

Pour synthétiser ce qui a été vu précédemment :

• Grâce à la fonction Cert nous sommes en mesure de délimiter, pour chaque formule : o une plage temporelle où la validité est certaine o une plage temporelle jouxtant la plage certaine, appelée fenêtre de continuation, qui limite la plage de calcul à effectuer chaque fois que l'instantané est rafraîchi • Grâce à la fontion Zl, nous sommes en mesure, quand nous faisons effectuons le calcul de la continuation, de limiter les intervalles à prendre en compte pour ce calcul.

Zone d'influence et élimination des intervalles inutiles illustrés à la figure 8A, 8B

II a été exposé ci-dessus comment calculer la liste de validité de la formule principale. Ce calcul repose sur le calcul préalable des listes de validité de toutes ses sous-formules. Ce calcul sur les sous-formules apparaît donc comme un moyen nécessaire au procédé mais non comme une fin en soi puisque seule la liste de validité de la formule principale est déterminante pour le procédé (car c'est la non vacuité de cette liste qui témoigne de l'occurrence du comportement redouté). Si Φ est la formule principale, que l.t est la date portée par le dernier instantané I, nous savons que sur [sup(T_origine, T_origine - Φ.rel_cert), l.t - Φ.rel_cert] le calcul de la liste de validité de Φ est certain c'est-à-dire ne peut plus être modifié quoiqu'il advienne. Ainsi les intervalles des sous-formules qui ne peuvent impacter, au niveau de la formule principale, que la zone [sup(T_origine, T_origine - Φ.rel_cert), l.t - Φ.rel_cert] ne peuvent plus apporter d'information nouvelle déterminante. Ainsi ils sont inutiles. Il s'agit donc de les éliminer de la mémoire. Pour cela il faut être capable de déterminer, pour chaque sous- formule, en deçà de quelle date les intervalles peuvent être éliminés. Pour la formule principale Φ, cette date d'inutilité absolue, que nous appelerons Φ.abs_di, est donc : l.t - Φ.rel_cert. En effet, si des intervalles dans [sup(T_origine, T_origine - Φ.rel_cert), l.t - Φ.rel_cert] ont été obtenus par le procédé, l'hypothèse suivante peut être émise : ces intervalles ont été exploités (pour émettre un signal d'alarme ou un signal de régulation du système...). Ayant été exploités, ils ne sont plus utiles. Le cas de la conjonction est particulièrement intuitif (figure 8B). Dans cette figure considérons les intervalles h de Φi et \z de Φ₂. D'après leurs positions ils ne peuvent contribuer à former des intervalles de validité pour (Φi Λ Φ₂) que dans la zone déjà certaine de (Φi Λ Φ₂). Désormais ils sont donc inutiles pour décider de la validité de (Φi Λ Φ₂). Il en serait de même de tout autre intervalle antérieur à l.t - Cert(Φi Λ Φ₂). Autrement dit, si z est la date d'inutilité absolue de (Φi Λ Φ₂) alors la date d'inutilité absolue de Φi et de Φ₂ est aussi z. Cependant, si (Φi Λ Φ₂) n'est pas la formule principale, il se peut que Φi et Φ₂ soient aussi sous-formules d'autres formules. Il se peut donc que d'autres formules leurs imposent une date d'inutilité antérieure à z. Ainsi, ce qui peut être affirmé à partir de (Φi A Φ₂) et de sa date d'inutilité z est que les dates d'inutilité de Φi et de Φ₂ doivent être inférieures ou égales à z. Une généralisation de ceci à toutes les formules du langage est explicitée ci- après.

Pour généraliser, le procédé va prendre en compte les contraintes que doit satisfaire une fonction, que nous nommerons Dl, pour être une fonction d'inutilité avec dans l'idée qu'une fonction d'inutilité prend en argument une formule Φ_n supposée être une sous-formule d'une formule principale Φ, et renvoi un nombre réel DI(Φ_n), de telle sorte que la date absolue d'inutilité Φ_n.abs_di de Φ_n soit : Φ.abs_di + DI(Φ_n).

DI(Φ_n) est donc une date d'inutilité relative à la date d'inutilité absolue Φ.abs_di de la formule principale. Pour la définition inductive nous devons aussi attribuer une valeur à DI(Φ). Puisque nous voulons que Φ_n.abs_di = Φ.abs_di + DI(Φ_n) pour n'importe quelle sous-formule Φ_n de Φ , si Φ_n est la principale Φ elle-même nous devons avoir Φ.abs_di = Φ.abs_di + Dl (Φ), soit donc DI(Φ) = 0. Etant donnée une formule Φ et l'ensemble {Φi, ..., Φ_n} de ses sous-formules une fonction Dl de {Φ-i, ..., Φ_n, Φ} → R est une fonction d'inutilité si elle est telle que toutes ces contraintes sont vérifiées :

• DI(Φ) = 0 (0 pour la formule principale) Et pour ij e [1 ,n]

• DΙ(Φi) < Dl(→ï>ι) • DI(Φι) < DI(Φ_J Λ ΦJ) • DKΦ_jJ≤DIfΦiΛΦ_j)

• DI(Φ,)≤DI(F_[a,_b]Φ,) + a

• DI(Φ,)<DI(P_[a,_b]Φ,)-b

• DI(Φι)≤DI(P_[a,_>]Φι)-a • DI(Φι) < DI(Φι U[a,b] Φj) + a

• DI(Φj) < DI(Φ,U_[a,_b] Φj) + a

• DI(Φι)< DI(Φι S_[a,b] Φj) - b

• DI(Φj)< Dl (Φ, S_ta,b] Φj) ~ b

• DI(Φ,)< DI(Φ|S_[ai>]Φj)-a • DI(Φj) ≤ DI(Φ|S_[ai>]Φj)-a

En pratique, la fonction retenue sera celle qui attribue la valeur la plus grande possible pour chaque sous-formule, de sorte à pouvoir éliminer le plus grand nombre d'intervalles possibles. Il s'agit en fait de choisir la plus grande valeur donnée par la contrainte la plus forte. Par exemple, si, pour une formule Φj, la plus forte contrainte est DΙ(Φi) < DI(P_[a,b] Φι) - b, alors le choix pour la fonction est DΙ(Φi) = DI(P_[a,b] Φι) - b.

Ci-dessous nous présentons un mode de calcul possible de la date d'inutilité de chaque sous-formule de la formule principale.

1. Pour chaque sous-formule Ψ de la principale Φ (y compris Φ elle- même) créer une variable de type réel Ψ.rel_di et lui assigner la valeur symbolique ∞ (∞ est tel que x < ∞ est toujours vraie pour x un réel standard)

2. Assigner 0 à Φ.rel_di (seule la principale est mise à 0)

3. Appel de calcul_di(Φ, 0) où calcul_di est l'algorithme récursif présenté ci-dessous. calcul_di(Φ,r) :

D1 - Si r < Φ.rel_di alors Φ.rel_di = r D2 - Si Φ est :

D2.1 - une proposition p alors FIN. D2.2 - -iΦi alors appeler calcul_di(Φ-ι, Φ.rel_di) D2.3 - Φ_! Λ Φ₂ alors appeler calcul_di(Φi, Φ.rel_di) puis calcul_di(Φ2, Φ.rel_di)

D2.4 - Φ₁ v Φ₂ alors appeler calcul_di(Φi, Φ.rel_di) puis calcul_di(Φ₂, Φ.rel_di) D2.5 - F[a,b] Φi alors appeler calcul_di(Φi, Φ.rel_di + a)

D2.6 - P[a,b] Φi alors appeler calcul_di(Φi, Φ.rel_di - b) D2.7 - P[a,_>] Φi alors appeler calcul_di(Φi, Φ.rel_di - a) D2.8 - Φi U[a,b] Φ2 alors appeler calcul_di(Φi, Φ.rel_di + a) puis calcul_di(Φ₂, Φ.rel_di + a) D2.9 - Φ1 S[a,b] Φ2 alors appeler calcul_di(Φi, Φ.rel_di - b) puis calcul_di(Φ₂, Φ.rel_di - b)

D2.10 - Φ1 S[a,_>] Φ₂ alors appeler calcul_di(Φ-ι, Φ.rel_di - a) puis calcul_di(Φ₂, Φ.rel_di - a)

Etant donné ce mode de calcul, pour toute sous-formule Ψ de la formule principale Φ, il est possible de calculer sa date absolue d'inutilité propre, notée Ψ.abs_di :

Ψ.abs_di = Φ.abs_di + Ψ.rel_di Où Φ. abs_di = (Φ.w).ub L'élimination des intervalles inutiles consiste à supprimer, pour chaque sous- formule Ψ de la formule principale Φ, les intervalles de sa liste de validité strictement antérieurs à sa date absolue d'inutilité propre Φ.abs_di + Ψ.rel_di (un intervalle est strictement antérieur à une date si tous ses points sont inférieurs, au sens des nombres réels, à cette date). Le mécanisme d'élimination des intervalles devenus inutiles permet notamment de garantir que la ressource mémoire requise par le moniteur est bornée assurant de ce fait le fonctionnement sans limite de durée du moniteur généré par le procédé. Exemple d'application du procédé pour la surveillance d'un système masse- ressort La figure 9 illustre un exemple d'application pratique au contrôle du comportement d'un système masse-ressort. Une masse M se déplaçant sans frottement sur un plan horizontal est reliée à un support vertical S par un ressort R et un système d'amortissement A. Plusieurs propriétés peuvent être analysées par le procédé selon l'invention, lors d'une simulation de ce modèle.

Par exemple, une propriété attendue pourrait être que la force f et le déplacement x varient toujours dans le même sens. Autrement dit, ce qui est redouté est la proposition (df.dx < 0). II est possible de relâcher cette propriété en demandant que s'il arrive que (df.dx < 0) alors (df.dx > 0) est rétablie entre 0.2 et 0.5 secondes plus tard. Autrement dit la propriété attendue est (df.dx < 0) → F_[02, 05] (df.dx > 0). La formule exprimant le comportement redouté est donc -1 ( -1 ((df.dx < 0) Λ -1 Fp 2, 05] (df.dx > 0))) c'est-à-dire plus simplement : (df.dx < 0) Λ -1 F_{[0 2}, 05] (-> (df.dx < O)).

Une autre propriété attendue pourrait être : on doit avoir (df.dx > 0) globalement mais on tolère que (df.dx < 0) quand df est proche de zéro (à plus ou moins 0.5 newtons). La propriété attendue est donc (df.dx > 0) v (- 0.5 < df < 0.5) . La propriété redoutée est sa négation -1 ((df.dx > 0) v (-0.5 < df < 0.5) ) soit plus simplement ((df.dx < 0) Λ (-0.5 < f v f > 0.5)).

Pour résumer, les propriétés envisagées pour générer des moniteurs pour ce modèle pourraient être :

• df.dx < 0

• (df.dx < 0) Λ -1 F_{[o 2}, 0 si H (df.dx < O)) • (df.dx < 0) Λ (-0.5 < f v f > 0.5)

Pour illustrer de façon plus complète le procédé, nous allons étudier son déroulement en considérant la propriété (df.dx < 0) Λ -1 (F₁₀₂, 05] (-> (df.dx < 0))). La date T_origine choisie est 0. La stratégie d'utilisation est la suivante : nous stoppons le moniteur dès l'occurrence du comportement redouté, c'est- à-dire lorsque la liste de validité de notre formule est non vide. Les sous- formules (classées par hauteurs croissantes) sont :

• (df.dx < 0) qui est une proposition

• -. (df.dx < 0) • F_{[o 2}, o s] (-i (df.dx < O))

• --(F[O 2, o s] (i (df.dx < 0)))

Le calcul de la certitude est le suivant :

• (df.dx < O).rel_cert = 0 • (-i (df.dx < O)). rel_cert = (df.dx < O).rel_cert = 0

• (F[o 2, o 5] (-i (df.dx < 0))).rel_cert = o (-i (df.dx < O)).rel_cert + 0.5 = o 0 + 0.5 = 0.5

• H(F₁O 2, o s] (-i (df.dx < O)))).rel_cert = o (F[o 2, o 5] H (df.dx < O))).rel_crt = o 0.5

• Cert((df.dx < 0) Λ -. (F_{[0 2}, o _5] (-< (df.dx < 0))) = o sup(Cert(df.dx < O),Cert(-i F_{[o 2}, o 5] (-> (df.dx < 0)))) = o sup(0, 0.5) = 0.5

Le tableau ci-dessous résume les valeurs attribuées à chaque formule par la fonction Cert.

e tableau ci-dessous illustre le calcul de Φj.rel_di . Dans ce tableau X_(i) signifie que la valeur X a été calculée en raison du fait que la formule considérée est sous-formule de la formule de la ligne i. Par exemple la notation 0.2₍₃₎ en ligne 2, signifie que 0.2 a été calculée pour -i (df.dx < 0) en raison du fait que cette formule est sous-formule de celle située en ligne 3. On peut voir que (df.dx < 0) est sous-formule de deux formules (celles en ligne 2 et 5, c'est pourquoi il existe deux valeurs pour cette formule).

A partir de maintenant les étapes du procédé selon l'invention vont être déroulées en indiquant l'instantané et son effet sur le moniteur, lequel est représenté sous la forme d'un tableau. Ce tableau possède notamment une colonne « Liste de validité » qui permet de visualiser les listes de validité pour chaque sous-formule.

1^er rafraichissement: l.(df.dx < 0) = 1 , l.t = 0.

Pour les formules purement booléennes le calcul se base sur l'algorithme direct. C'est pourquoi la fenêtre de continuation n'est pas mentionnée. Moyennant ce premier instantané, le tableau ci-dessous résume l'état des différents aspects de notre procédé : fenêtre de continuation pour chaque formule, date absolue d'inutilité, listes de validité.

La fenêtre de continuation reste vide pour certaines formules. Par exemple pour Φ₃ = F[o 2, o s_] (-> (df.dx < 0). En effet nous avons l.t - Φ₃.rel_cert < Φ₃.abs_cert puisque l.t - Φ₃.rel_cert = 0 - 0.5 = -0.5 et Φ₃.abs_cert = 0.

\ième rafraichissement: I. (df.dx < 0) = 0, I t = 0.3

φ, Expressions Φi.W Φi.LV

Φi (df.dx < 0) ([0,0.3[)

Φ₇ (df.dx < 0) ([0.3,0.3])

Φ, F[o 2, o s] (-i (df.dx < O))

Φ_! iF[₀2, o 5] (-i (df.dx < O)) φ_c (df.dx < 0)

₂, o s] (-i (df.dx < O)) Là encore la fenêtre de continuation reste vide pour certaines formules. Par exemple pour Φ₃ = F_[02, os] (-> (df.dx < 0). En effet nous avons l.t - Φ₃.rel_cert < Φ₃.abs_cert puisque l.t - Φ₃.rel_cert = 0.3 - 0.5 = -0.2 et Φ₃.abs_cert = 0.

3^ième rafraîchissement: I. (df.dx < 0) = 1 , l.t = 0.7

Dans ce tableau nous ajoutons une colonne pour les nouveaux intervalles à adjoindre à la liste existante. Rappelons qu'ils ne sont adjoints à la liste de validité qu'après troncature par la fenêtre de continuation.

Détail du calcul de Φ₃.w. Nous avons l.t - Φ₃.rel_cert = 0.7 - 0.5 = 0.2. Or 0.2 > Φ₃.abs_cert car Φ₃.abs_cert = 0. Comme Φ₃.w était vide jusque là maintenant cette fenêtre devient [Φ₃.abs_cert, l.t - Φ₃.rel_cert] soit [0,0.2].

_lième

4^ieme rafraichissement: l.(df.dx < 0) = 0, I t = 1

5 -iⁱè^em^me^e rafraîchissement: l.(df.dx < 0) = 1 , I t = 1.2

Observons que pour Φ-, et Φ₂, des intervalles de leurs listes de validité respectives sont antérieurs strictement à leurs dates d'inutilité absolues respectives. Ce sont [0,0.3[ pour Φi et [0.3,0.7[ pour Φ₂. Ces intervalles peuvent être supprimés des listes de validité respectives (ils ne jouent plus aucun rôle dans la détection de Φ₅ qui est la principale). Comme il a été expliqué, c'est ce mode de suppression qui permet d'assurer que le moniteur nécessite une ressource mémoire bornée.

6^ième rafraichissement: l.(df.dx < 0) = 1 , l.t = 1.8

A ce stade, un intervalle est apparu dans la liste de validité de la formule principale Φ₅ du procédé selon l'invention. Cet intervalle [1.2, 1.3] indique que le comportement redouté se produit sur cet intervalle. En effet (df.dx < 0) est maintenu sur [1.2, 1.8]. Ainsi pour les dates de [1.2, 1.3] le retour à la normale (c'est-à-dire (df.dx > O)) n'a pas lieu. C'est bien ce que révèle le moniteur.

Le procédé et le système selon l'invention présentent notamment les avantages suivants : Un procédé automatique : le moniteur est calculé automatiquement à partir de l'expression du comportement redouté et le fonctionnement du moniteur est automatique en fonctionnement normal. Il est de fait rapide et peu coûteux en mémoire.

Le procédé peut s'appliquer à tout modèle, contrairement aux approches types preuve ou model-checking qui analysent le modèle tel qu'il est défini dans sa structure interne. Le moniteur ne s'intéresse qu'aux exécutions d'un système, à ses productions observables. Que le modèle soit, dans sa structure interne, très simple ou très complexe, de petite ou de grande taille, cela est sans incidence pour le moniteur généré, puisqu'il ne dépend pas de la structure du modèle mais uniquement de la formule donnée en entrée. L'analyse est effectuée en ligne, ce qui signifie que :

• La surveillance du processus est réalisée pendant que le processus d'exécution/simulation se produit,

• La surveillance est opérée sans limite de durée,

• La surveillance se fait sans stockage de l'exécution, • La mémoire consommée par le moniteur est bornée (ce qui permet une surveillance sans limite de durée)

Le procédé selon l'invention ne suppose pas de régularité particulière sur l'exécution, le délai entre deux observations pouvant être quelconque.

Annexe 1

Notations :

Dans les algorithmes ci-dessous « Buffer » est une variable de type liste de validité, initialisée à vide au départ de chaque algorithme. « Nil » n'a pas de sens spécifique. Il intervient pour dénoter des objets vides ou non définis (listes, intervalles ...)

Φ.LV : pour liste de validité de Φ (listes d'intervalles disjoints rangée de façon croissante)

Φ.LV.first et Φ.LV.Iast dénotent respectivement le premier et le dernier élément de Φ.LV (sont tous deux Nil pour dénoter que Φ.LV est vide)

Pour un intervalle deux notations sont utilisées: la notation usuelle telle: ]4.32, 6.21 ] la notation sous forme de quadruplet (I, Ib, ub , u) où:

I et u sont éléments de {0,1 } qui dénotent l'ouverture ou la fermeture de l'intervalle sur les bornes Ib et ub

Ib : borne inférieure ub: borne supérieure exemple : (0, 4.32, 6.21 , 1 ) représente ]4.32, 6.21 ] si i est un intervalle alors i.l, i.lb, i.ub et i.u dénotent les paramètres ci-dessus mentionnés

Soit i un intervalle d'une liste de validité LV : i.pred dénote son prédécesseur dans LV (Nil si i est premier élément) i.next dénote l'intervalle suivant dans LV (Nil si i est dernier élément)

Calcul de Φ = ^Ψ : o on déclare : iter = Ψ.LV.Iast o « Tant que » iter n'est pas Nil faire : o Si iter est strictement inférieur à Φ.w faire : o créer un l'intervalle virtuel iv = ] Φ.w.ub, Φ.w.ub + 1] o faire que le prédécesseur de iv soit celui de iter: iv.pred = iter.pred o iter devient cet intervalle virtuel: iter = iv o passer à l'étape 4 o Si iter chevauche Φ.w à droite, c'est-à-dire si iter n Φ.w ≠ 0 et (iter n Φ.w).ub = w.ub, alors passer à l'étape 4 o iter = iter.pred o retour « tant que » 2 o Si iter est Nil (Ψ.LV est vide ou bien tous les intervalles de Ψ.LV sont strictement supérieurs à Φ.w): o créer un l'intervalle virtuel iv = ] Φ.w.ub, Φ.w.ub + 1 ] o faire pointer le prédécesseur de iv sur celui de iter: iv.pred = iter.pred o iter devient cet intervalle virtuel: iter = iv o « Tant que » iter n'est pas Nil faire : o si iter n ZI(Ψ,Φ) est vide : o si iter est vide ou non vide mais inférieur à ZI(Ψ,Φ) alors passer à l'étape 5 o sinon iter = iter.pred et retour du « tant que » 4 o créer l'intervalle nv : o Si iter.pred n'est pas Nil alors nv est (1 - iter.pred. u, iter.pred. ub, iter.lb, 1 - iter.l ) o sinon nv est (Φ.w.l, Φ.w.lb, iter.lb, 1 - iter.l ) o si nv n Φ.w n'est pas Nil l'adjoindre à gauche dans Buffer o iter = iter.pred o retour du « tant que » 4 o Raccorder Buffer à droite de Φ. LV o FIN

Calcul de Φ = Ψi Λ Ψ₂ : 1 . on déclare : iteri = Ψ!.LV.Iast et iter2 = Ψ₂.LV.Iast 2. « Tant que » iteri et iter2 sont différents de Nil faire

2.1. Si iteri n ZI(Ψi,Φ) différent de Nil a) « Tant que » iteri n iter2 n'est pas Nil

• adjoindre (iteri n iter2 n Φ.w) à gauche dans Buffer • iter2 = iter2.pred

• retour du « tant que » 2.1.a)

2.2. Si iteM n ZI(Ψi, Φ) est Nil et que iteM < ZI(Ψi, Φ) alors aller à l'étape 3

2.3. iteM = iteri .pred 2.4. retour du « tant que » 2

3. Raccorder Buffer à droite de Φ.LV

4. FIN

Calcul de Φ = Ψ₁ v Ψ₂ : On introduit une notation supplémentaire. Soient i et j deux intervalles. On note j Z i si une des conditions suivantes est satisfaite :

• j est Nil et i n'est pas Nil

^• i = j

• i.ub > j.ub • i.ub = j.ub et i.u = 1 et j.u = 0

• i.ub = j.ub et i.u = j.u et une de ces conditions est satisfaite : o i.lfcx j.lb o i.lb ≈ j.lb et i.l = 1 et j.l = 0

Autrement dit on a j Z i lorsque i va plus loin dans le futur ou bien, s'il va aussi loin que j, il va alors plus loin dans le passé que j.

1 . on déclare : itert = Ψ₁.LV.Iast et iter2 = Ψ₂.LV.Iast et tmp = Nil

2. « Tant que » iteri ou iter2 est différent de Nil faire : 2.1 . si iter2 Z iteri alors passer à l'étape 2.3 2.2. sinon (on échange iteri et iter2): a) tmp = iteri b) iteri = iter2 c) iter2 = tmp 2.3. Si iteri < ZI(Ψ_1; Φ) alors FIN

2.4. Adjoindre à gauche iteri n Φ.w dans Buffer

2.5. « tant que » iter2 n'est pas Nil faire : a) si iter2 chevauche iteri à gauche, c'est-à-dire si iter2 n iteri

≠ 0 et (iter2 n iteri ).lb = iteri .Ib, alors passer en 2.6 b) si iter2 < iteri alors passer en 2.6 c) iter2 = iter2.pred d) retour « tant que » 2.5.

2.6. iteri = iteri .pred

2.7. retour du « tant que » 2. 3. Raccorder Buffer à droite de Φ. LV

4. FIN

Calcul de Φ = F_[a,_b] Ψ : 1. iter ≈ Ψ.LV.Iast 2. « tant que » iter n'est pas Nil faire :

2.1. Si iter n ZI(Ψ, Φ) est Nil a) Si iter < ZI(Ψ, Φ) alors passer à l'étape 3 b) Sinon iter = iter.pred et retour du « tant que » 2

2.2. Adjoindre à gauche ((iter Θ [-b,-a]) n Φ.w) dans Buffer 2.3. iter = iter.pred

2.4. retour du « tant que » 2

3. Raccorder Buffer à droite de Φ.LV

4. FIN Calcul de Φ = P_[a,_b] Ψ :

1. iter = Ψ.LV.Iast

2. « tant que » iter n'est pas Nil faire : 2.1. Si iter n ZI(Ψ, Φ) est Nil a) Si iter < ZI(Ψ, Φ) alors FIN b) Sinon iter = iter.pred et retour du « tant que » 2

2.2. Adjoindre à gauche ((iter Θ [a,b]) n Φ.w) dans Buffer

2.3. iter = iter.pred

2.4. retour du « tant que » 2 3. Raccorder Buffer à droite de Φ. LV

4. FIN

Calcul de Φ = P_[a,_>] Ψ :

1. Si Φ.LV n'est pas vide, alors soit i son unique intervalle. On modifie cet intervalle de sorte qu'il devienne (i.l, i.lb, w.ub, w.u) et FIN.

2. Si Ψ.LV est vide alors ne rien faire et FIN.

3. Si Ψ.LV n'est pas vide et que i est son premier élément alors ajouter (i.l, i.lb + a, w.ub, w.u) à P_[a,_>] Φ.LV et FIN.

Calcul de Φ = Ψ! U_[0,_b] Ψ₂ :

1. iteri = Ψi.LV.Iast et iter2 = Ψ₂.LV.Iast et tmp = Nil

2. « tant que >> iter2 n'est pas Nil 2.1. Si iter2 n ZI(Ψ₂, Φ) est Nil a) Si iter2 < ZI(Ψ₂, Φ) alors FIN. b) Sinon iter2 = iter2.pred

2.2. retour du « tant que » 2

3. « tant que » iter2 n'est pas Nil

3.1 . Si iter2 < ZI(Ψ₂, Φ) alors FIN.

3.2. Adjoindre iter2 à gauche dans Buffer (puisque a=0 il y a tout iter2) 3.3. « tant que » iteri n'est pas Nil a) Si iteri ] n iter2 n'est pas Nil alors tmp = iteri b) Si iteri ] < iter2 alors passer à l'étape 3.4 c) iteri = iteri .pred d) retour « tant que » 3.3

3.4. iteri = tmp (iteri est le plus antérieur qui étende iter2 vers le passé)

3.5. Si iteri ] chevauche iter2 à gauche, c'est-à-dire si itert ] n iter2 ≠ 0 et (iteri ] n iter2).lb = iter2.lb, alors : a) Adjoindre à gauche ((iteri .I, iteri .Ib, iter2,lb, iter2.l) n (iter2.l, iter2.lb - b, iter2,lb, iter2.l) n Φ.w) dans Buffer

3.6. iter2 = iter2.pred

3.7. retour du « tant que » 3

4. Raccorder Buffer à droite de Φ.LV 5. FIN

Calcul de Φ = Ψ₁ U_[a,b] Ψ2 avec a > 0 :

1 . iteri = Ψi.LV.Iast et iter2 = Ψ₂.LV.Iast

2. « tant que » iter2 n'est pas Nil faire : 2.1 . Si iter2 n ZI(Ψ₂, Φ) est Nil a) Si iter2 < ZI(Ψ₂, Φ) alors FIN. b) Sinon iter2 = iter2.pred 2.2. retour « tant que » 2

3. « tant que >> iter2 n'est pas Nil faire : 3.1 . Si iter2 < ZI(Ψ₂, Φ) alors FIN.

3.2. « tant que » iteri n'est pas Nil faire : a) Si iteri ] n iter2 (rappel : i] est le fermé à droite de i) n'est pas Nil alors adjoindre à gauche (( (iteri ] n iter2) Θ [-b,-a]) n iteri ]) n Φ.w dans Buffer b) Sinon passer à l'étape 3.3 c) iteri = iteri .pred d) retour du « tant que » 3.2

3.3. iter2 = iter2.pred

3.4. retour du « tant que » 3 4. Raccorder Buffer à droite de Φ.LV

5. FIN

Calcul de Φ = Ψi S_[0,_b] Ψ₂ :

1. iteri = Ψi.LV.Iast et iter2 = Ψ₂.LV.Iast 2. « tant que » iter2 n'est pas Nil

2.1 . Si iter2 n ZI(Ψ₂, Φ) est Nil a) Si iter2 < ZI(Ψ₂, Φ) alors FIN. b) Sinon iter2 = iter2.pred

2.2. retour du « tant que » 2 3. « tant que » iter2 n'est pas Nil

3.1 . Si iter2 < Zl (Ψ₂, Φ) alors FIN.

3.2. « tant que » iteri n'est pas Nil a) Si [iteri n iter2 n'est pas Nil alors passer à l'étape 3.3 b) Si iteri < iter2 alors FIN. c) iteri = iteM .pred d) retour « tant que » 3.2

3.3. Si [iteri chevauche iter2 à droite : a) alors adjoindre à gauche ((iter2.l, iter2.lb, iteri .ub, iteri .u) n (iter2.l, iter2.lb, iter2,ub + b, iter2.l) n Φ.w) dans Buffer b) sinon adjoindre à gauche iter2 dans Buffer

3.4. iter2 = iter2.pred

3.5. retour du « tant que » 3

4. Raccorder Buffer à droite de Φ.LV

5. FIN Calcul de Φ = Ψi S_[a,_b] Ψ2 avec a > 0 :

1. iteri = Ψi.LV.Iast et iter2 = Ψ₂.LV.Iast

2. « tant que » iter2 n'est pas Nil faire : 2.1. Si iter2 n ZI(Ψ₂₎ Φ) est Nil a) Si iter2 < ZI(Ψ₂, Φ) alors FIN. b) Sinon iter2 = iter2.pred

2.2. retour « tant que » 2

3. « tant que » iter2 n'est pas Nil faire :

3.1. Si iter2 < ZI(Ψ₂, Φ) alors FIN. 3.2. « tant que » iteri n'est pas Nil faire : a) Si [iteri n iter2 (rappel : [i est le fermé à gauche de i) n'est pas Nil

• alors adjoindre à gauche (( ( [iteri n iter2) Θ [a, b]) n [iteri )) n Φ.w dans Buffer • sinon passer à l'étape 3.3 b) iteri = iteM .pred c) retour du « tant que » 3.2

3.3. iter2 = iter2.pred

3.4. retour du « tant que » 3 4. Raccorder Buffer à droite de Φ.LV

5. FIN

Calcul de Φ = Ψ1 S_[a,_>] Ψ₂ avec a > 0 :

1. iteri = Ψi.LV.Iast et iter2 = Ψ₂.LV.Iast 2. « tant que » iter2 n'est pas Nil faire :

2.1. Si iter2 n ZI(Ψ₂, Φ) est Nil a) Si iter2 < ZI(Ψ₂, Φ) alors FIN. b) Sinon iter2 = iter2.pred

2.2. retour « tant que » 2 3. « tant que » iter2 n'est pas Nil faire : 3.1. Si iter2 < ZI(Ψ₂, Φ) alors FIN.

3.2. « tant que » iteri n'est pas Nil faire : a) Φ.lb e iteri alors adjoindre iteri à gauche dans Buffer et passer a l'étape 4 b) Si iter2 n [iteri (rappel : [i est le fermé à gauche de i) n'est pas Nil alors adjoindre (1 , iteri .Ib + a, iteri .ub, iteri .u) n Φ.w à gauche dans Buffer c) Sinon passer à l'étape 3.3 d) iteri = iteri .pred e) retour du « tant que » 3.2

3.3. iter2 = iter2.pred

3.4. retour du « tant que » 3

4. Raccorder Buffer à droite de Φ.LV

5. FIN

Calcul de Φ = W₁ S_[o,_>] Ψ₂ :

1. iteri = Ψj.LV.Iast et iter2 = Ψ₂.LV.Iast

2. « tant que » iter2 n'est pas Nil

2.2. retour du « tant que » 2

3. « tant que >> iter2 n'est pas Nil

3.1. Si iter2 < ZI(Ψ₂, Φ) alors FIN. 3.2. « tant que » iteri n'est pas Nil a) Si iter2 n [iteri n'est pas Nil alors passer à l'étape 3.3 b) Si iteri < iter2 alors FIN. c) iteri = iteri .pred d) retour « tant que » 3.2 3.3. Si [iteri chevauche iter2 à droite : a) alors adjoindre à gauche (iter2.l, iter2.lb, iteM .ub, iteri .u) n Φ.w à gauche dans Buffer b) sinon adjoindre iter2 n Φ.w à gauche dans Buffer

3.4. iter2 = iter2.pred

3.5. retour du « tant que » 3

4. Raccorder Buffer à droite de Φ. LV

5. FIN

Claims

REVENDICATIONS

1 - Procédé permettant de générer un détecteur de comportements redoutés spécifiés en logique temporelle linéaire métrique d'un système dont le comportement est à surveiller caractérisé en ce qu'il comporte au moins les étapes suivantes mises en œuvre par un processeur :

• définir des variables caractéristiques du système à surveiller,

• définir un certain nombre de propositions (P₁, ..., p_n} sur ces variables,

• définir la date de début d'observation : T_origine, • choisir une option sur la certitude initiale des formules

• allouer en mémoire du détecteur un espace suffisant pour mémoriser un instantané relatif à ces propositions c'est-à-dire allouer une variable réelle notée Lt et n variables booléennes pour chaque proposition de {p-i, ..., p_n}, si P_k est une proposition, I. p_k dénote la variable booléenne associée à PR,

• définir une formule principale Φ, construite sur lesdites propositions (pi, ..., pn} traduisant un comportement redouté en utilisant un langage composé d'opérateurs logiques et d'opérateurs temporels portant sur le futur et le passé et dont la grammaire BNF est la suivante : φ ::= p | -i φ | φ! Λ φ₂ | Cp₁ v φ₂ | F_[a,_b] φ I ψi U_[a,_b] ς>2 I ψi S_[a,b]

Φ2 | Cp1 S_[a,>] ψ2 | P[a,b] ψ I P[a,>] ψ | ( ψ )

Où p e (p-i, ..., p_n} et dont le sens est le suivant : o L'opérateur -i est la négation, -iΦ est vraie à une date t si et seulement si Φ est fausse à cette date t, o L'opérateur Λ est appelé conjonction, la formule Φi Λ Φ₂ n'est vraie à une date t que si Φi et Φ₂ sont toutes deux vraies à cette date t, o L'opérateur v est appelé disjonction, la formule Φi v Φ₂ est vraie à une date t si Φ^ ou Φ₂ est vraie à cette date t, o L'opérateur F_[a,t_>] signifie « dans le futur, entre a et b » ou encore « il y aura entre a et b »,la formule F_[a,bj Φ est vraie à une date t si et seulement s'il existe une date entre t+a et t+b où Φ est vraie, o L'opérateur P_{[a b]} signifie « dans le passé, entre a et b » ou encore « il y a eu entre a et b », la formule P[_a,bj Φ est vraie en t si et seulement s'il existe une date entre t-b et t-a où Φ est vraie, o L'opérateur P_{[a >]} signifie : « au-delà de -a dans le passé », la formule P[a_,>] Φ est vraie en t si et seulement s'il existe une date entre T_origine et t-a où Φ est vraie, o L'opérateur U_{[a b]} signifie : « Φ₂ sera vraie entre a et b et Φi sera partout vraie entre temps », la formule Φi U[_a,b] Φ2 est vraie en t si et seulement s'il existe une date t' entre t+a et t+b où Φ₂ est vraie et que Φi est partout vraie dans l'intervalle [t, t'[, o L'opérateur S_[a,b] signifie : « Φ₂ sera vraie vers le passé entre -b et -a et Φi sera partout vraie entre temps », la formule Φi S_{[a b]}

Φ₂ est vraie en t si et seulement s'il existe une date t' entre t-b et t-a où Φ₂ est vraie et que Φi est partout vraie dans l'intervalle ]t\ t], o L'opérateur S_[a,>] signifie : « Φ₂ sera vraie vers le passé au-delà de -a et Φi sera partout vraie entre temps », la formule Φi S_[a,_>]

Φ₂ est vraie en t si et seulement s'il existe une date t' entre 0 et t-a où Φ₂ est vraie et que Φi reste vraie dans l'intervalle ]t', t], • pour chaque sous-formule Ψ de Φ (y compris Φ elle-même), créer une variable notée Ψ.LV de type liste d'intervalles, et l'initialiser à vide, • pour toute sous-formule Ψ de Φ (y compris Φ elle-même) créer une variable booléenne Ψ.val, et l'initialiser à 0, • pour toute sous-formule Ψ de Φ (y compris Φ elle-même) créer une variable de type réel notée Ψ.rel_cert, appelée certitude relative de Ψ, et lui assigner la valeur Cert(Ψ) où Cert est la fonction caractérisée comme suit: o Cert(φ) = 0 si φ est une proposition de {pi , ..., p_n}

o Cert(φi Λ φ₂) = sup (Cert(φ-ι), Cert(φ₂)) o Cert(φi v φ₂) = sup (Cert(φ-ι), Cert(φ₂)) o Cert(F_[a,b] φ) = Cert(φ) + b o Cert(φi U[_a,b] Ψ2) = sup (Cert(φi), Cert(φ₂) ) + b o Cert(P[a,b] φ) = Cert(φ) - a o Cert (P_[a,_>] φ) = Cert(φ) - a o Cert(φi S[a,b_] 9₂ ) = sup (Cert(φ₁), Cert(φ₂) - a) o Cert(φi S_[a,_>] φ₂ ) = sup (Cert(φ₁), Cert(φ₂) - a) • pour chaque sous-formule Ψ de Φ (y compris Φ elle-même) définir une variable réelle notée Ψ.abs_cert destinée à stocker la certitude absolue de Ψ. Selon l'option choisie pour la certitude des formules, pour chaque formule Ψ sous-formule de Φ, sa variable Ψ.abs_cert associée est initialisée à : o Option 1 : T_origine - Ψ.rel_cert o Option 2 : sup(T_origine, T_origine - Ψ.rel_cert)

• pour chaque sous-formule Ψ de Φ (y compris Φ elle-même) créer une variable notée Ψ.w de type intervalle, appelée fenêtre de continuation de Ψ et l'initialiser à vide • de façon régulière ou périodique faire l'acquisition de la valeur des variables caractéristiques du système observé et mémoriser la date de cette acquisition,

• en fonction des valeurs des variables caractéristiques issues de l'acquisition réalisée à l'étape précédente, évaluer la valeur booléenne des propositions et rafraîchir l'instantané I c'est-à-dire assigner la valeur booléenne de p à l.p pour chaque p s {pi, ..., p_n} et assigner la date d'acquisition mémorisée à 1.1.

• pour chaque rafraîchissement de l'instantané I tel que réalisé à l'étape précédente, pour chaque sous-formule Ψ de Φ (y compris Φ elle- même), et selon un ordre qui soit tel que toute formule soit traitée après ses sous-formules directes : o Actualiser sa fenêtre de continuation Ψ.w comme suit :

• Si Ψ.w est vide : • Si (l.t - Ψ.rel_cert) > Ψ.abs_cert alors Ψ.w devient : [Ψ.abs_cert, l.t - Ψ.rel_cert] puis affecter à Ψ.abs_cert la valeur (l.t - Ψ.rel_cert)

• Si (l.t - Ψ.rel_cert) < Ψ.abs_cert alors Ψ.w reste l'intervalle vide et Ψ.abs_cert reste inchangé - Si Ψ.w n'est pas vide alors :

• Ψ.w devient :] Ψ.abs_cert, l.t - Ψ.rel_cert]

• Affecter à Ψ.abs_cert la valeur (l.t - Ψ.rel_cert) o calculer de nouveaux intervalles de validité pour Ψ sur sa fenêtre de continuation Ψ.w o exploiter les informations contenues dans la liste de validité de la formule principale Φ et émettre un signal associé. o Attendre un nouveau rafraîchissement de l'instantané

2 - Procédé selon la revendication 1 caractérisé en ce que, si Ψ est une formule purement booléenne l'étape de calcul de ses nouveaux intervalles comporte au moins les étapes suivantes : à toute proposition ou formule purement booléenne Ψ est associée une variable booléenne Ψ.val, si I est l'instantané, l.t correspond à la date portée par I et I. Ψ à la valeur de vérité que I attribue à Ψ, qui est calculée de la façon inductive suivante : si Ψ est une proposition p alors I.Ψ = l.p Si Ψ est -1Ψ1 alors I.Ψ = 1 - I.Ψ1 Si Ψ est ΨI Λ Ψ₂ alors I.Ψ = I.Ψ₁ ^* I.Ψ₂

Si Ψ est Ψ1 v Ψ₂ alors I.Ψ = (I.Ψ1 + I.Ψ₂) - (I.Ψ1 ^* I.Ψ₂) initialiser (20) les valeurs de Ψ.val et de Ψ.LV, respectivement à 0 et à liste vide, attendre le rafraîchissement de l'instantané I (21 ), tester ensuite (22) la valeur de vérité I.Ψ:

Si I.Ψ est à 1 le procédé teste, étape (23), la valeur de Ψ.val :

Si Ψ.val est à 1 alors, étape (24), le procédé remplace le dernier intervalle j de Ψ.LV par (j.l, j.lb, l.t, j.u)

Si Ψ.val est à 0 alors, étape (25), le procédé ajoute à la fin de Ψ.LV le nouvel intervalle [l.t, l.t].

Si I. Ψ est à 0, alors le procédé teste la valeur de Ψ.val :

Si Ψ.val est à 1 , étape (26), alors le procédé remplace le dernier intervalle j de Ψ.LV par (j.l, j.lb, l.t, 0) (étape 28). Si Ψ.val est à 0, alors le procédé laisse Ψ.LV inchangé (étape 27). à la suite des étapes (24, 25, 27 et 28), affecter à Ψ.val la valeur actuelle de I.Ψ (29), puis retourner à l'étape (21 ) d'attente de rafraîchissement de I, le calcul se prolongeant tant que le procédé est maintenu en fonctionnement.

3 - Procédé selon la revendication 1 caractérisé en ce que le calcul de nouveaux intervalles pour une formule qui n'est pas purement booléenne est fondée sur une opération propre à chaque opérateur, permettant de composer les listes de validité. 4 - Procédé selon les revendications 1 et 3 caractérisé en ce que, pour les formules non purement booléennes, le calcul des nouveaux intervalles sur la fenêtre de continuation peut-être est effectué de façon plus rapide grâce à une fonction Zl laquelle permet de déterminer, lors du calcul de nouveaux intervalles d'une formule non purement booléenne Φ les plages temporelles à considérer dans les listes de validité des sous-formules directes.

5 - Procédé selon la revendication 1 caractérisé en ce que, si Ψ est sous- formule directe d'une formule Φ, les intervalles de Ψ ayant une influence sur le calcul de la liste de validité de Φ sur sa fenêtre de continuation Φ.w sont ceux qui ont une intersection non vide avec l'intervalle ZI(Ψ,Φ) calculé à l'aide de la fonction Zl définie comme suit :

• ZI(Φ.^Φ) = (-Φ).w

• ZI(Φ-| , (Φ-| Λ Φ₂ )) = ZI(Φ₂ , (Φi Λ Φ₂ )) = (Φi Λ Φ₂ ).W • ZI(Φ-| , (Φ-| V Φ₂ )) = ZI(Φ₂ , (Φ-| V Φ₂ )) = (Φ-| V Φ₂ ).W

• ZI(Φ, F_[a,_b] Φ) = (F_[a,b] Φ).w Θ [a,b]

• Zl (Φ, P_[a,_b] Φ) = (P_[a,b] Φ).w Θ [-b,-a]

• Zl (Φ, P_[a,_>]Φ) = (P_[a,_>] Φ).w Θ [-a, -a]

• ZI(Φi, (Φi U_Ia,b] Φ2)) = (Φi U[a,b] Φ₂).w Θ [a,b] • ZI(Φ₂, ^₁ U_[a,b] Φ₂)) = (Φi U_[a,bl Φ₂)-W Θ [a,b]

• Zl (Φi, (Φi S_[a,b] Φ₂ )) = (Φi S_[a,b] Φ₂ ) θ [-b,-a]

• ZI(Φ_2j (Φi S_[a,_b] Φ2 )) = (Φi S_[a,_b] Φ₂ ) Θ [-b,-a]

• ZKΦL (ΦI S_[a,_>] Φ₂ )) = ((Φi S_[a,_>] Φ₂ ).w Θ [-a, -a])

• ZI(Φ₂, (Φ₁ S_[a,_>] Φ₂ )) = ((Φi S_[a,_>] Φ₂ ).w Θ [-a, -a])

6 - Procédé selon l'une des revendications 1 à 5 caractérisé en ce qu'il comporte en plus les étapes suivantes, après rafraîchissement de l'instantané et calcul de la continuation : • fixer la date absolue d'inutilité Φ.abs_di de la formule principale à la borne supérieure de sa fenêtre de continuation Φ.w. Si Φ.w est vide alors Φ.abs_di n'est pas définie,

• Si la date Φ. abs_di est définie : o attribuer à chaque sous-formule Ψ de la formule principale

Φ sa date absolue d'inutilité propre Ψ.abs_di qui est égale à Φ.abs_di + DI(Ψ) soit la somme de la date fixée pour la formule principale et de la valeur renvoyée par une fonction d'inutilité Dl appliquée à Ψ, o éliminer, pour toute sous-formule Ψ de la principale Φ

(principale comprise), les intervalles de sa liste de validité propre Ψ.LV qui sont antérieurs à sa date d'inutilité absolue propre Ψ.abs_di.

7 - Procédé selon la revendication 1 caractérisé en ce qu'il attribue une date d'inutilité relative à toutes les sous-formules {Φ_1; ..., Φ_n} de la formule principale Φ (y compris elle-même). Cette date est calculée grâce à une fonction d'inutilité Dl laquelle doit satisfaire toutes les contraintes suivantes :

• DI(Φ) = 0 (0 pour la formule principale) Et pour i,j e [1,n]

• DI(Φι) < DIHΦi)

• DI(Φi) ≤ DI(ΦiΛΦj)

• DI(Φj) < DI(ΦiΛΦj)

• DI(Φi) < DI(ΦiVΦj) • DI(Φj) < DI(ΦiVΦj)

• DΙ(Φi) < DI(F_[a,b] Φ,) + a

• DI(Φ|) ≤ DI(P_[a,b] Φι) -b

• DI(Φ|) < DI(P_[a,>] Φι)-a

• DI(Φ|) ≤ DI(Φ| U_[a,_b] Φj) + a • DI(Φj) < DI(ΦiU[a,b] Φj) + a • DI(Φ,) < DI(Φ, S_[a,b] Φj) - b

• DI(Φj) < Dl (Φι S_[a,_>] Φj) - a Pour éliminer le maximum d'intervalles on pourra choisir comme fonction Dl celle qui assigne pour chaque sous-formule la plus grande la valeur permise par la contrainte la plus forte.

8 - Procédé selon la revendication 1 caractérisé en ce que le signal émis est un signal déclenchant une alarme et/ou un signal de déclenchement d'une commande pour contrôler un processus, ou encore l'émission d'un rapport signalant l'anomalie détectée.

9 - Système permettant de générer un détecteur de comportements redoutés spécifiés en logique temporelle linéaire métrique, à mémoire bornée, caractérisé en ce qu'il comporte au moins les éléments suivants : Une entrée recevant un ou plusieurs paramètre(s) caractéristique(s) de l'état du système à surveiller, et une horloge H indiquant la date d'acquisition de ce(s) paramètre(s), • Un processeur adapté à exécuter les étapes du procédé selon l'une des revendications 1 à 10 en utilisant le(s) paramètre(s) mesuré(s) et la date associée,

• Une mémoire (14) adaptée à o mémoriser l'instantané courant o mémoriser les listes de validité LV déterminées par la mise en œuvre du procédé pour la formule principale et ses sous- formules,

• Une sortie (1 6) émettant un signal SC correspondant aux informations contenues dans la liste de validité pour la formule principale et émettre ledit signal. 10 - Système selon la revendication 9 caractérisé en ce qu'il comporte un dispositif d'affichage piloté par le signal correspondant aux informations contenues dans la liste de validité pour la formule principale.

11 - Système selon la revendication 9 caractérisé en ce que le signal obtenu est transmis à un dispositif de génération d'une alarme et/ou à un système de contrôle ou de régulation du système placé sous la surveillance d'un moniteur généré selon le procédé selon l'une des revendications 1 à 10.