Page : 1 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Regard sur 10 années dintroduction des méthodes formelles.

Présentation au sujet: "Page : 1 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Regard sur 10 années dintroduction des méthodes formelles."— Transcription de la présentation:

1 Page : 1 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Regard sur 10 années dintroduction des méthodes formelles Emmanuel Ledinot Direction de la Prospective

2 Page : 2 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective PlanPlan Contexte industriel: quel besoins ? Démarche: quelles méthodes dans quel ordre ? Résultats: quelles expériences ? Satisfactions Désillusions « Conclusion »

3 Page : 3 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Contexte industriel Quels systèmes? Quelle organisation industrielle ? Quels processus de développement ? Pourquoi vouloir introduire des méthodes formelles ?

4 Page : 4 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Intégration entre... Le Système de Contrôle du Vol 5 calculateurs numériques + 2 calculateurs analogiques logiciel unique et critique pas de sous-traitance Les Systèmes Avion ~ 10 calculateurs spécification et intégration / validation sous-traitance Le Système Mission ou Cœur Avionique 2 calculateurs spécification et intégration / validation

5 Page : 5 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Systèmes à logiciel prépondérant Logiciel du calculateur de mission Rafale F1: ~ 650 000 lignes dAda ~ 7500 pages de spécification détaillée Ordres de grandeur des coûts et délais aujourdhui: pour une étape de développement de 60.000 lignes 24 mois (spécification détaillée -> livraison calculateur) 30 à 40 personnes 260 fiches de modification

6 Page : 6 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Pourquoi introduire des méthodes formelles ? Sortir dune approche artisanale CAO du logiciel (et du système ?) Spécifications exécutables et validables augmenter la productivité en avionique mission Preuve de logiciel embarqué augmenter la sécurité de la couche exécutive SCV

7 Page : 7 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Positionnement dans le processus SNA Exigences Opérationnelles Armées de lAir Specifications Globales (Point de vue pilote - Scénarios) ~ 20 x 100 pages Prototypage rapide IHS Simulation TR pilotée Décomposition Fonctionnelle Equipements

8 Page : 8 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Positionnement processus SNA ~ 150 + 50 modules fonctionnels Spécifications Réseaux et dimensionnement (~40.000 infos) Spécification Logiciel Fonctionnelle Spécification Logiciel Orienté Objet Méthodes Formelles 50 x 150 pages codage manuel ou génération automatique de code Intégration et Validation

9 Page : 9 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective PlanPlan Contexte industriel Démarche Résultats Satisfactions Déceptions « Conclusion »

10 Page : 10 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Décomposition du coût du logiciel Spécification Réalisation Tests & Validation

11 Page : 11 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective AutomatesAlgorithmes 40% en lignes de code 70% en fiches de modification Mais Le logiciel contient automates & algorithmes

12 Page : 12 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Que font les automates ? Les conditions dactivation / désactivation Les modes Les commandes Les reconfigurations

13 Page : 13 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Que font les algorithmes ? localisation, navigation, itinéraires, trajectoires situation tactique (entretien/affichage des pistes) domaines de tir, balistiques calcul de réticules de guidage

14 Page : 14 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Démarche 1. Logiciel séquentiel dapplication automates algorithmes Logiciel distribué dexécution (middleware) transactions sérialisées consensus, ordonnancement TR, tolérance aux fautes Esterel, Statemate, Lustre Coq / ML, B, VDM++

15 Page : 15 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective PlanPlan Contexte industriel Démarche Résultats Satisfactions Déceptions « Conclusion »

16 Page : 16 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective 10 ans deffort pour passer à léchelle Simplicité Graphique Passage à léchelle Robustesse Support Code sûr Code efficace Fondements 8999 Debugger symbolique Causalité Constructive Interpreteur Interpréteur SyncChartsRose RT Simulog TiGer BDD Package ModularitéEsterel ++ 91939597 Synthèse de circuit Simulation Exhaustive Suite déquations Hardware Optimizers Optimiseurs HardAutomate Explicite

17 Page : 17 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Quelques statistiques Esterel FCS MC Schedul er FCS MC Panel Landing System Side Displays Fuel Managemen t Inputs Outputs Modules Instances Esterel Lines Size Kb Time ms 35 20 36 65 35 1100 160 110 80 3200 17 0.9 30 40 2000 124 1.6 1400 500 700 42240 195 n.r 300 65 280 6500 80 2.6 190 105 425 15000 80 2.6 4600 nr 1.55 127 28 69 Alarms

18 Page : 18 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Résultats en preuves de propriétés Fonction atterrisseur 17 propriétés ~ 10 14 états accessibles (beaucoup de temporisations) ~ 4 jours de temps CPU (Sparc 20 192 Meg de RAM) Calculateur Test Maintenance SCV 3 propriétés de sûreté ~ 10 6 états accessibles (ordonnanceur de tâches) ~ 10 heures de temps CPU Fonction mise en œuvre cabine 5 propriétés ~ 10 8 états accessibles

19 Page : 19 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Retour sur lévaluation de SCADE Expérimentation de léditeur en 99 documentation de soutien logiciels de calculateurs systèmes avions essai du générateur de code / simulateur en 2000 Etude des aspects certification du générateur lustre2C en collaboration avec Verilog (98-99 contrat R&D Genie) Evaluation pour les applicatifs SCV prévue en 2000 Trop tôt pour conclure mais,... Accueil favorable et engagement progressif approche multi-formalisme

20 Page : 20 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Retour sur les outils pour lalgorithmique (1/2) « Impossibilité » de la génération automatique de code et de la preuve automatique Evaluations privilégiant le pouvoir dexpression et la solidité scientifique Langage Objective Caml de lINRIA outil de développement puissant pour des prototypes sérieux pas chers mais utilisation de Java dans les autres cas... Prouveur Coq de lINRIA évaluation de 92 à 99: algorithmes BDD, trajectoires, lustre2C une référence, mais....

21 Page : 21 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Retour sur les outils pour lalgorithmique (2/2) Evaluation de la boîte à outils VDM++ de lIFAD des fonctions intéressantes (assertions riches, couverture de test) des difficultés (efficacité, environnement, sémantique objet) Pas de solution « descendante » en vue s intègrent mal dans les processus actuels Recherche dune solution « ascendante » pour les logiciels critiques C enrichi dannotations logiques en fonction du besoin Analyseurs statiques automatiques ou interactifs pour les preuves

22 Page : 22 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective PlanPlan Contexte industriel Démarche Résultats Satisfactions Déceptions « Conclusion »

23 Page : 23 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Satisfactions scientifiques et techniques Maîtrise de la causalité et de lexplosion combinatoire dans la chaîne de développement Esterel G. Berry, O. Coudert, J.C. Madre, H. Touati Preuve dalgorithmes complexes en Coq Développement dune extension objet-UML dEsterel E. Nassor, Y. Le Biannic Développement dune syntaxe graphique StateCharts pour Esterel Quelques pistes pour lasynchrone distribué

24 Page : 24 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Autres satisfactions... En avoir convaincu dautres... Base et Direction Technique Dassault Aviation Ilog, Simulog, Cadence,... 10 ans de travail sur et avec des sujets intéressants... Avoir fait passer Esterel + Objets + StateCharts dans les programmes en 98-99 Un sujet qui a encore de lavenir

25 Page : 25 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Une spécification graphique exécutable

26 Page : 26 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective

27 Page : 27 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Génération dun code conforme Génération dun code conforme Code cible Compilation

28 Page : 28 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Utilisé pour les nouvelles fonctions du Mirage 2000-9 et du standard F2 du Rafale

29 Page : 29 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective PlanPlan Contexte industriel Démarche Résultats Satisfactions Déceptions « Conclusion »

30 Page : 30 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Déceptions Très peu doutils vraiment fiables et passant « à léchelle » Des classes de traitements qui résistent à la preuve lautomatique continu les composants COTS (OS, compilateurs,...) les grands systèmes asynchrones distribués Une grande ambivalence dans la relation recherche- industrie

31 Page : 31 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Autres déceptions.... Quel marché pour Simulog, Steria, Verilog,...? Humain, trop humain... la technique est souvent peu de chose face aux questions de carrières, de budgets, ou demploi la productivité se vend mieux que la sécurité Primat de lorganisation industrielle sur le succès dune technologie

32 Page : 32 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective Autres déceptions.... Si cétait à refaire, pourrions nous le refaire ? réduction des budgets de R&D départ en retraite des « bâtisseurs » pression pour un ROI court terme Rôle moteur des autorités de tutelle ou de certification ?

33 Page : 33 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective PlanPlan Contexte industriel Démarche Résultats Satisfactions Déceptions « Conclusion »

34 Page : 34 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective En guise de conclusion (1/2) GIE et développement GPL « à la Linux » pour avoir des « outils MF » pérennes ? Pas de transferts à pas cher syndrome « du stagiaire » il faut des compétences de développement coté industriel pour répondre à des besoins non valorisables coté recherche Choix technologiques orientés « processus » 99,9% d accord avec J. Rushby s FM99 talk

35 Page : 35 Référence : DIG 95/ AFADL 2000 - Grenoble, 26-28 janvier 2000 Direction de la Prospective En guise de conclusion (2/2) Sujets de recherche génération de tests (model checking et interprétation abstraite) vérification modulaire spécification formelle et preuve sur du C restreint Collaborations avec des labos qui développent du code fini et veulent vraiment résoudre des problèmes de taille réelle