Industrial Use of Formal Methods: Formal Verification

306 Pages·12.244 MB·English

Industrial Use of Formal Methods
Industrial Use
of Formal Methods
Formal Verification

Edited by
Jean-Louis Boulanger
First published 2012 in Great Britain and the United States by ISTE Ltd and John Wiley & Sons, Inc.
Apart from any fair dealing for the purposes of research or private study, or criticism or review, as
permitted under the Copyright, Designs and Patents Act 1988, this publication may only be reproduced,
stored or transmitted, in any form or by any means, with the prior permission in writing of the publishers,
or in the case of reprographic reproduction in accordance with the terms and licenses issued by the
CLA. Enquiries concerning reproduction outside these terms should be sent to the publishers at the
undermentioned address:
ISTE Ltd John Wiley & Sons, Inc.
27-37 St George’s Road 111 River Street
London SW19 4EU Hoboken, NJ 07030
UK USA
www.iste.co.uk www.wiley.com
© ISTE Ltd 2012

The rights of Jean-Louis Boulanger to be identified as the author of this work have been asserted by him
in accordance with the Copyright, Designs and Patents Act 1988.
____________________________________________________________________________________
Library of Congress Cataloging-in-Publication Data

Industrial used of formal methods: formal verification / edited by Jean-Louis Boulanger.
p. cm.
Includes bibliographical references and index.
ISBN 978-1-84821-363-0 (hardback)
1. Systems engineering--Data processing. 2. Computer simulation. 3. Formal methods (Computer
science) 4. Computer software--Verification. 5. Nondestructive testing. I. Boulanger, Jean-Louis.
TA168.I45 2012
005.101--dc23
2012011854

British Library Cataloguing-in-Publication Data
A CIP record for this book is available from the British Library
ISBN: 978-1-84821-363-0
Printed and bound in Great Britain by CPI Group (UK) Ltd., Croydon, Surrey CR0 4YY
Table of Contents
Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xi
Jean-LouisBOULANGER
Chapter1.SPARK–ALanguageandTool-Set
forHigh-IntegritySoftwareDevelopment. . . . . . . . . . . . . . . . . . . . . 1
IanO’NEILL
1.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.2.AnoverviewofSPARK . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.2.1.WhatisSPARK? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.3.TherationalebehindSPARK . . . . . . . . . . . . . . . . . . . . . . . . 3
1.3.1.Flowanalysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
1.3.2.Codeproof . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
1.3.3.Correctnessbyconstruction . . . . . . . . . . . . . . . . . . . . . . . 14
1.4.IndustrialapplicationsofSPARK . . . . . . . . . . . . . . . . . . . . . . 15
1.4.1.SHOLIS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
1.4.2.Lockheed-MartinC-130Jmissioncomputer . . . . . . . . . . . . . 17
1.4.3.MULTOSCA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
1.4.4.Tokeneer. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
1.4.5.Aircraftmonitoringsoftware . . . . . . . . . . . . . . . . . . . . . . . 23
1.4.6.iFACTS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
1.4.7.SPARKSkein. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
1.5.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
1.6.Bibliography . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
Chapter2.Model-BasedTestingAutomaticGeneration
ofTestCasesUsingtheMarkovChainModel . . . . . . . . . . . . . . . . . . 29
HéléneLEGUEN,FrederiqueVALLÉEandAnthonyFAUCOGNEY
2.1.Preliminariesonthetestprocess . . . . . . . . . . . . . . . . . . . . . . . 29
2.1.1.Findings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
vi IndustrialUseofFormalMethods
2.1.2.Testoptimization. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
2.1.3.Thestatisticalusagetest. . . . . . . . . . . . . . . . . . . . . . . . . . 30
2.1.4.Generatingtestcases. . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
2.2.ModelingusingMarkovchains . . . . . . . . . . . . . . . . . . . . . . . . 32
2.2.1.Origin. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
2.2.2.Mathematicalformalization . . . . . . . . . . . . . . . . . . . . . . . 34
2.2.3.Principlesofgeneration . . . . . . . . . . . . . . . . . . . . . . . . . 42
2.2.4.Someindicators. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
2.2.5.Calculatingreliability . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
2.3.TheMaTeLotool . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52
2.3.1.Engineeringtestsdirectedbymodels,
model-basedtesting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52
2.3.2.Achainoftools . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
2.3.3.Theusagemodel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
2.3.4.Configurationofteststrategies . . . . . . . . . . . . . . . . . . . . . 64
2.3.5.Generatingtestcampaigns . . . . . . . . . . . . . . . . . . . . . . . . 65
2.3.6.Analysisoftheresultsandindicators . . . . . . . . . . . . . . . . . . 69
2.4.Examplesofindustrialapplications . . . . . . . . . . . . . . . . . . . . . 75
2.4.1.AUDI. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
2.4.2.Magnetimarelli. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
2.4.3.Otherindustrialapplications . . . . . . . . . . . . . . . . . . . . . . . 78
2.4.4.Industrializationofthetests . . . . . . . . . . . . . . . . . . . . . . . 78
2.5.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79
2.6.Bibliography . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
Chapter3.SafetyAnalysisoftheEmbeddedSystems
withtheAltaRicaApproach . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83
PierreBIEBERandChristelSEGUIN
3.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83
3.2.Safetyanalysisofembeddedsystems . . . . . . . . . . . . . . . . . . . . 83
3.3.AltaRicalanguageandtools . . . . . . . . . . . . . . . . . . . . . . . . . 85
3.3.1.TheAltaRicalanguage . . . . . . . . . . . . . . . . . . . . . . . . . . 85
3.3.2.ModelingthepropagationoffailureswithAltaRica . . . . . . . . . 92
3.3.3.ToolsassociatedwithAltaRica . . . . . . . . . . . . . . . . . . . . . 95
3.4.Examplesofmodelingandsafetyanalysis . . . . . . . . . . . . . . . . . 99
3.4.1.Integratedmodularavionicsarchitecture . . . . . . . . . . . . . . . 99
3.4.2.Systemofelectricpowergenerationanddistribution . . . . . . . . 104
3.5.Comparisonwithotherapproaches . . . . . . . . . . . . . . . . . . . . . 110
3.5.1.Someprecursors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
3.5.2.Toolsforpreexistingformallanguages . . . . . . . . . . . . . . . . 111
3.5.3.Languagesforphysicalsystems . . . . . . . . . . . . . . . . . . . . 112
3.5.4.Injectingfaultsinnominalmodels . . . . . . . . . . . . . . . . . . . 112
TableofContents vii
3.6.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
3.6.1.Anapproachtoassessthesafety
ofsystemstestedinaeronautics . . . . . . . . . . . . . . . . . . . . . . . . . 113
3.6.2.Clarificationofthesystemarchitecture
andhorizontalexplorationofthefailurepropagation:
impactsonthescopeofanalyses . . . . . . . . . . . . . . . . . . . . . . . . 113
3.6.3.Clarificationofthenominalsystemcharacteristics:
impactsonthegenericdefinitionsofthefailuremodes . . . . . . . . . . . 115
3.6.4.Compositionalmodelsoffailurepropagation:
impactsontheoverallsafetyprocess. . . . . . . . . . . . . . . . . . . . . . 116
3.7.Specialthanks . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
3.8.Bibliography . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118
Chapter4.Polyspace® . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
PatrickMUNIER
4.1.Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
4.2.Introductiontosoftwarequalityandverificationprocedures . . . . . . 124
4.3.Staticanalysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126
4.4.Dynamictests . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126
4.5.Abstractinterpretation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
4.6.Codeverification . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127
4.7.Robustnessverificationorcontextualverification . . . . . . . . . . . . 131
4.7.1.Robustnessverification . . . . . . . . . . . . . . . . . . . . . . . . . . 132
4.7.2.Contextualverification . . . . . . . . . . . . . . . . . . . . . . . . . . 132
4.8.ExamplesofPolyspace®results . . . . . . . . . . . . . . . . . . . . . . . 133
4.8.1.Exampleofsafecode . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
4.8.2.Example:de-referencingofapointeroutsideitsbounds . . . . . . 135
4.8.3.Example:inter-proceduralcalls . . . . . . . . . . . . . . . . . . . . . 136
4.9.CarryingoutacodeverificationwithPolyspace® . . . . . . . . . . . . 138
4.10.UseofPolyspace®canimprovethequality
ofembeddedsoftware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140
4.10.1.Beginbyestablishingmodelsandobjectives
forsoftwarequality . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141
4.10.2.Exampleofasoftwarequalitymodelwithobjectives . . . . . . . 141
4.10.3.Useofasubsetoflanguagestosatisfycodingrules . . . . . . . . 142
4.10.4.UseofPolyspace®toreachsoftwarequalityobjectives . . . . . . 143
4.11.CarryingoutcertificationwithPolyspace® . . . . . . . . . . . . . . . . 145
4.12.Thecreationofcriticalonboardsoftware . . . . . . . . . . . . . . . . . 146
4.13.ConcreteusesofPolyspace® . . . . . . . . . . . . . . . . . . . . . . . . 146
4.13.1.Automobile:Cumminsenginesimprovethereliability
oftheirmotors’controllers . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147
viii IndustrialUseofFormalMethods
4.13.2.Aerospace:EADSguaranteesthereliability
ofsatellitelaunches . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148
4.13.3.Medicaldevices:acodeanalysisleads
toarecallofthedevice . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149
4.13.4.OtherexamplesoftheuseofPolyspace® . . . . . . . . . . . . . . . 150
4.14.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
4.15.Bibliography . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
Chapter5.EscherVerificationStudioPerfectDeveloper
andEscherCVerifier . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155
JudithCARLTONandDavidCROCKER
5.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155
5.1.1.EscherTechnologiesLtd . . . . . . . . . . . . . . . . . . . . . . . . . 155
5.1.2.Needs. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156
5.2.PerfectDeveloper–itsinspirationandfoundations . . . . . . . . . . . 156
5.2.1.Design-by-Contract . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156
5.2.2.VerifiedDesign-by-Contract . . . . . . . . . . . . . . . . . . . . . . 157
5.2.3.PerfectDeveloper . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 158
5.3.Theoreticalfoundations . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159
5.4.ThePerfectlanguage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160
5.5.APerfectDeveloperexample . . . . . . . . . . . . . . . . . . . . . . . . 161
5.5.1.Thespecification . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
5.5.2.Verificationconditionsgeneratedwhen
theunrefinedringbufferisverified . . . . . . . . . . . . . . . . . . . . . . 164
5.5.3.Refiningtoaringbuffer . . . . . . . . . . . . . . . . . . . . . . . . . 165
5.5.4.Verificationconditionsgeneratedwhentherefined
ringbufferisverified . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 168
5.6.EscherCverifier . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 168
5.7.TheCsubsetsupportedbyeCv . . . . . . . . . . . . . . . . . . . . . . . . 169
5.8.TheannotationlanguageofeCv . . . . . . . . . . . . . . . . . . . . . . . 169
5.8.1.Applyingverifieddesign-by-contracttoC . . . . . . . . . . . . . . 170
5.8.2.Arraysandpointers . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171
5.8.3.Unions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 172
5.8.4.Sideeffects . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 172
5.8.5.Quantifiers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173
5.9.EscherCverifierexamples . . . . . . . . . . . . . . . . . . . . . . . . . . 173
5.9.1.FirstescherCverifierexample . . . . . . . . . . . . . . . . . . . . . 173
5.9.2.Secondexample . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175
5.10.ThetheoremproverusedbyPerfectDeveloper
andEscherCverifier . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180
5.10.1.Logic . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180
5.10.2.Termrewriter . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180
TableofContents ix
5.11.Real-worldapplicationsofPerfectDeveloper
andEscherCverifier . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181
5.11.1.Safety-criticalsystems . . . . . . . . . . . . . . . . . . . . . . . . . . 181
5.11.2.Teachinguniversityclasses . . . . . . . . . . . . . . . . . . . . . . 182
5.11.3.ITsystemdevelopment:
PrecisionDesignTechnologyLtd. . . . . . . . . . . . . . . . . . . . . . . . 182
5.12.Futurework . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188
5.12.1.Compositeprojects . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188
5.12.2.Codegeneration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188
5.12.3.Concurrency . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 189
5.12.4.Extension . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 189
5.12.5.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 189
5.13.Glossary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 190
5.14.Bibliography . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191
Chapter6.PartialApplicationsofFormalMethods . . . . . . . . . . . . . . 195
AryldoG.RUSSOJr.
6.1.History . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 195
6.1.1.Context . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 196
6.2.Casestudies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 196
6.2.1.Early2007–theBmethodandrailway
domain–breakingthewall . . . . . . . . . . . . . . . . . . . . . . . . . . . 196
6.2.2.Early2008–requirementsverification . . . . . . . . . . . . . . . . 197
6.2.3.2009–toolcomparison . . . . . . . . . . . . . . . . . . . . . . . . . 201
6.2.4.Late2009–writingaformalspecification–user
pointofview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 202
6.2.5.Early2010–amethodologicalapproach
toaBformalization . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205
6.2.6.Early2011changingthewaytovitalverification . . . . . . . . . . 209
6.2.7.TheVeRaSiSplug-in . . . . . . . . . . . . . . . . . . . . . . . . . . . 211
6.2.8.Results . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 211
6.3.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212
6.4.Bibliography . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213
Chapter7.Event-BandRodin . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
MichaelBUTLER,AsiehSALEHIFATHABADIandRenatoSILVA
7.1.Event-B . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
7.1.1.TheEvent-Bdefinition . . . . . . . . . . . . . . . . . . . . . . . . . . 215
7.1.2.Event-Bstructureandnotation . . . . . . . . . . . . . . . . . . . . . 216
7.1.3.RefinementinEvent-B . . . . . . . . . . . . . . . . . . . . . . . . . . 218
7.1.4.Proofobligations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 220
7.1.5.AcomparisonbetweenEvent-Bandotherformalmethods . . . . 222
x IndustrialUseofFormalMethods
7.2.RodinasanEvent-Btool . . . . . . . . . . . . . . . . . . . . . . . . . . . 222
7.3.Event-Bmodeldecomposition . . . . . . . . . . . . . . . . . . . . . . . . 223
7.3.1.Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223
7.3.2.Decompositionstyles . . . . . . . . . . . . . . . . . . . . . . . . . . . 223
7.4.Casestudy:metrosystem . . . . . . . . . . . . . . . . . . . . . . . . . . . 225
7.4.1.Overviewofthesafety-criticalmetrosystem . . . . . . . . . . . . . 226
7.4.2.Abstractmodel:MetroSystem_M0 . . . . . . . . . . . . . . . . . . . 228
7.4.3.Firstrefinement:MetroSystem_M1 . . . . . . . . . . . . . . . . . . 233
7.4.4.Secondrefinement:MetroSystem_M2 . . . . . . . . . . . . . . . . . 234
7.4.5.Thirdrefinementandfirstdecomposition:
MetroSystem_M3 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 236
7.4.6.MachineTrack . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237
7.4.7.MachineTrain . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239
7.4.8.MachineMiddleware . . . . . . . . . . . . . . . . . . . . . . . . . . . 239
7.4.9.RefinementofTrain:Train_M1 . . . . . . . . . . . . . . . . . . . . 239
7.4.10.Furtherdevelopment . . . . . . . . . . . . . . . . . . . . . . . . . . . 243
7.4.11.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243
7.5.Acknowledgments . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244
7.6.Bibliography . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244
Chapter8.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247
Jean-LouisBOULANGER
8.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247
8.2.Structured,semi-formaland/orformalmethods . . . . . . . . . . . . . 248
8.2.1.E/E/PEsystem . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 248
8.2.2.Railsector . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
8.2.3.Takingintoaccounttechniquesandformalmethods . . . . . . . . 252
8.2.4.Softwarerequirementspecification . . . . . . . . . . . . . . . . . . . 254
8.2.5.Coding . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 266
8.2.6.Verificationandvalidation(V&V) . . . . . . . . . . . . . . . . . . . 278
8.3.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 280
8.4.Bibliography . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 282
Glossary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
ListofAuthors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 293
Index . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295
Introduction
Context
Althoughformalanalysisprogrammingtechniques(seeworksbyHoare[HOA69]
and Dijkstra [DIJ 75]) may be quite old, the introduction of formal methods dates
from the 1980s. These techniques enable us to analyze behavior of a software
application, described in a programming language. Program correction (good
behavior,programstop,etc.)isthusdemonstratedthroughaprogramproofbasedon
theweakestpreconditioncalculation[DIJ76].
It took until the end of the 1990s before formal methods (Z [SPI 89], VDM
[JON90]),or the Bmethod[ABR96,ARA97]couldbe implemented inindustrial
applications,orwereusableinanindustrialsetting.
One of the stumbling blocks was implementing them in the framework of an
industrial application (size of application, cost constraints, or delays, etc.). This
implementation is only possible using “sufficiently” mature and high-performance
tools.
It should be noted that in the context of safety-critical applications, at least two
formal methods have a currently-used and recognized environmental design, which
coversonepartofthespecificationproductionprocessaccordingtothecode,allthe
whileintegratingoneormoreverificationprocesses;namelytheBmethod[ABR96]
and the LUSTRE language [HAL 91, ARA 97] and its graphic version, named
SCADE1[DOR08].
IntroductionwrittenbyJean-LouisBOULANGER.
1TheSCADEdevelopmentenvironmentismarketedbythecompanyEsterelTechnologies;
tofindoutmore,visitwww.esterel-technologies.com.