京都大学 / 0048 / 新制・課程博士 / 博士(理学) / 甲第18771号 / 理博第4029号 / 新制||理||1580(附属図書館) / 31722 / 京都大学大学院理学研究科数学・数理解析専攻 / (主査)教授 長谷川 真人, 教授 玉川 安騎男, 准教授 照井 一成 / 学位規則第4条第1項該当 / Doctor of Science / Kyoto University / DFAM

Si la production de logiciel fiable est depuis longtemps la préoccupation d'ingénieurs, elle devient à ce jour une branche de sujets de recherche riche en applications, dont l'analyse statique. Ce travail a porté sur l'analyse statique de programmes et, plus précisément, sur l'analyse des propriétés numériques. Ces analyses sont traditionnellement basées sur le concept de domaine abstrait. Le problème est que, ce n'est pas évident d'étendre ces domaines dans le contexte de programmes avec pointeurs. Nous avons proposé une approche qui sait systématiquement combiner ces domaines avec l'information de l'analyse de points-to (une sorte d'analyse de pointeurs). L'approche est formalisée en théorie de l'interprétation abstraite, prouvée correct et prototypée avec une modular implémentation qui sait inférer des propriétés numériques des programmes de millions de lignes de codes. La deuxième partie de la thèse vise à améliorer la précision de l'analyse points-to. Nous avons découvert que l'analyse de must-alias (qui analyse si deux variables sont nécessairement égaux) peut servir à raffiner l'analyse points-to. Nous avons formalisé cette combinaison en s'appuyant sur la notion de bisimulation, bien connue en vérification de modèle ou théorie de jeu... Un algorithme de complexité quadruple est proposé et prouvé correct. / The fast and furious pace of change in computing technology has become an article of faith for many. The reliability of computer-based systems cru- cially depends on the correctness of its computing. Can man, who created the computer, be capable of preventing machine-made misfortune? The theory of static analysis strives to achieve this ambition. The analysis of numerical properties of programs has been an essential research topic for static analysis. These kinds of properties are commonly modeled and handled by the concept of numerical abstract domains. Unfor- tunately, lifting these domains to heap-manipulating programs is not obvious. On the other hand, points-to analyses have been intensively studied to an- alyze pointer behaviors and some scale to very large programs but without inferring any numerical properties. We propose a framework based on the theory of abstract interpretation that is able to combine existing numerical domains and points-to analyses in a modular way. The static numerical anal- ysis is prototyped using the SOOT framework for pointer analyses and the PPL library for numerical domains. The implementation is able to analyze large Java program within several minutes. The second part of this thesis consists of a theoretical study of the com- bination of the points-to analysis with another pointer analysis providing information called must-alias. Two pointer variables must alias at some pro- gram control point if they hold equal reference whenever the control point is reached. We have developed an algorithm of quadruple complexity that sharpens points-to analysis using must-alias information. The algorithm is proved correct following a semantics-based formalization and the concept of bisimulation borrowed from the game theory, model checking etc.

Cette thèse propose une nouvelle approche du parallélisme et de la concurrence, posant les bases d'un langage de programmation à la fois sûr et "secure" (garantissant la sécurité des données), fondé sur une sémantique formelle claire et simple, tout en étant adapté aux architectures multi-cœur. Nous avons adopté le paradigme synchrone, dans sa variante réactive, qui fournit une alternative simple à la programmation concurrente standard en limitant l'impact des erreurs dépendant du temps ("data-races"). Dans un premier temps, nous avons considéré un langage réactif d'orchestration, DSL, dans lequel on fait abstraction de la mémoire (Partie 1). Dans le but de pouvoir traiter la mémoire et la sécurité, nous avons ensuite étudié (Partie 2) un noyau réactif, CRL, qui utilise un opérateur de parallélisme déterministe. Nous avons prouvé la réactivité bornée des programmes de CRL. Nous avons ensuite équipé CRL de mécanismes pour contrôler le flux d'information (Partie 3). Pour cela, nous avons d'abord étendu CRL avec des niveaux de sécurité pour les données, puis nous avons défini dans le langage étendu, SSL, un système de types permettant d'éviter les fuites d'information. Parallèlement (Partie 4), nous avons ajouté la mémoire à CRL, en proposant le modèle DSLM. En utilisant une notion d'agent, nous avons structuré la mémoire de telle sorte qu'il ne puisse y avoir de "data-races". Nous avons également étudié l'implémentation de DSLM sur les architectures multi-cœur, fondée sur la notion de site et de migration d'un agent entre les sites. L'unification de SSL et de DSLM est une piste pour un travail futur. / This thesis proposes a new approach to parallelism and concurrency, laying the basis for the design of a programming language with a clear and simple formal semantics, enjoying both safety and security properties, while lending itself to an implementation on multicore architectures. We adopted the synchronous programming paradigm, in its reactive variant, which provides a simple alternative to standard concurrent programming by limiting the impact of time-dependent errors ("data-races"). As a first step (Part 1), we considered a reactive orchestration language, DSL, which abstracts away from the memory. To set the basis for a formal treatment of memory and security, we then focussed on a reactive kernel, CRL, equipped with a deterministic parallel operator (Part 2). We proved bounded reactivity of CRL programs. Next, we enriched CRL with mechanisms for information flow control (Part 3). To this end, we first extended CRL with security levels for data. We then defined a type system on the extended language, SSL, which ensures the absence of information leaks. Finally, we added memory to CRL, as well as the notions of agent and site, thus obtaining the model DSLM (Part 4). We structured the memory in such a way that data-races cannot occur, neither within nor among agents. We also investigated the implementation of DSLM on multicore architectures, using the possibility of agent migration between sites. The unification of SSL and DSLM is left for future work.

In this work a novel algorithm for testing language equivalence and inclusion on tree automata is proposed and implemented as a module in the VATA library. First, existing approaches to equivalence and inclusion testing on both word and tree automata are examined. These existing approaches are then modified to create bisimulation up-to congruence algorithm for tree automata and a formal proof of the soundness of the new algorithm is provided. Efficiency of this new approach is compared with existing language equivalence and inclusion testing methods for tree automata, showing the performance of our algorithm on hard cases is often superior.

Cyber-physical systems and the Internet of Things raise various challenges concerning the modelling and analysis of large modular systems. Models for such systems typically require uncountable state and action spaces, samplings from continuous distributions, and non-deterministic choices over uncountable many alternatives. In this thesis we fo- cus on a general modelling formalism for stochastic systems called stochastic transition system. We introduce a novel composition operator for stochastic transition systems that is based on couplings of probability measures. Couplings yield a declarative modelling paradigm appropriate for the formalisation of stochastic dependencies that are caused by the interaction of components. Congruence results for our operator with respect to standard notions for simulation and bisimulation are presented for which the challenge is to prove the existence of appropriate couplings. In this context a theory for stochastic transition systems concerning simulation, bisimulation, and trace-distribution relations is developed. We show that under generic Souslin conditions, the simulation preorder is a subset of trace-distribution inclusion and accordingly, bisimulation equivalence is finer than trace-distribution equivalence. We moreover establish characterisations of the simulation preorder and the bisimulation equivalence for a broad subclass of stochastic transition systems in terms of expressive action-based probabilistic logics and show that these characterisations are still maintained by small fragments of these logics, respectively. To treat associated measurability aspects, we rely on methods from descriptive set theory, properties of Souslin sets, as well as prominent measurable-selection principles.:1 Introduction 2 Probability measures on Polish spaces 3 Stochastic transition systems 4 Simulations and trace distributions for Souslin systems 5 Action-based probabilistic temporal logics 6 Parallel composition based on spans and couplings 7 Relations to models from the literature 8 Conclusions 9 Bibliography

Thesis (MSc)--Stellenbosch University, 2012. / ENGLISH ABSTRACT: Truth preservation is an important topic in model theory. However a brief examination of the models for a logic often show that isomorphism is needlessly restrictive as a truth preserving construction. In the case of modal logics with Kripke semantics the notions of simulation and bisimulation prove far more practical and interesting than isomorphism. We present and study these various notions, followed by a discussion of Shehtman’s frame product as semantics for certain many-dimensional modal logics. We show how simulations and bisimulations can be interpreted inside models over frame products. This is followed by a discussion on a category-theoretic setting for frame products, where the arrows may run between frames with different types. / AFRIKAANSE OPSOMMING: Die behou van waarheid is ’n prominente onderwerp in modelteorie. ’n Vlugtige ondersoek van die modelle vir ’n besondere logika wys egter dat isomorfisme onnodig beperkend as waarheid-behoudende konstruksie is. In die geval van modale logika met Kripke se semantiek is simulasie en bisimulasie heelwat meer prakties en interessant as isomorfisme. Na die bekendstel en studie van hierdie onderskeie begrippe bespreek ons Shehtman se raamproduk as semantiek vir sekere meer-dimensionele modale logikas. Ons wys ons hoe simulasies en bisimulasies binne modelle oor sulke raamprodukte geïnterpreteer kan word. Daarna bespreek ons ’n kategorie-teoretiese konteks vir raamprodukte, waar die pyle tussen rame met verskillende tipes mag loop.

Les calculs de processus représentent les systèmes concurrents par des processus qui s'exécutent en parallèle et s'échangent des messages. Les calculs avec passivation dispose d'un opérateur spécial qui permet de stopper un processus en cours d'exécution. Le processus suspendu peut ensuite être modifié ou transmis avant d'être réactivé. La passivation rend possible la modélisation de défaillances et d'opérations de reconfiguration dynamique. Nous nous intéressons aux équivalences comportementales dans ces calculs. Le comportement d'un processus est donné par un système de transitions étiquetées, qui exhibe les interactions d'un processus avec son environnement. Des relations, appelées bisimilarités, permettent ensuite d'identifier les processus qui ont le même comportement en comparant leurs interactions. Les bisimilarités définies jusqu'ici dans les calculs avec passivation restent trop complexes pour être utilisée en pratique. En outre il n'existe pas de bisimilarité correcte et complète dans le cas faible, c'est-à-dire lorsque les actions internes aux processus ne sont pas observables. Nous étudions ces deux problèmes dans cette thèse. Nous montrons d'abord qu'il est possible de définir une bisimilarité simple à manipuler pour un calcul avec passivation mais sans restriction. En revanche, nous donnons des contre-exemples qui laissent penser qu'il n'est pas possible de faire de même dans les calculs avec passivation et restriction. Nous définissons également un nouveau type de système de transitions étiquetées, qui permet de caractériser la congruence barbue dans le cas faible. Nous appliquons notre technique à différents calculs dont le Kell.

Cette these contribue a l'etude des semantiques pour la specification et la verification des systemes reactifs. Plus precisement, nous comparons des semantiques comportementales, basees sur la bisimulation avec celles induites par des logiques modales du temps arborescent. Dans la premiere partie, nous considerons les modeles d'entrelacement pour les systemes sequentiels non-deterministes. Plusieurs travaux recents ont montre que dans le cadre des systemes a branchement infini (c-a-d. non-determinisme infini), l'equivalence de bisimulation (forte), reconnue comme l'equivalence semantique de base pour le temps arborescent, est strictement plus fine que celles induites par les logiques du temps arborescent (nous savons depuis longtemps qu'elles coincident sous l'hypothese de branchement fini). Nous utilisons les Processus Ordinaux de Klop, et, en derivant une notion de pouvoir de distinction d'une equivalence semantique, nous montrons dans un cadre parfaitement unifie que la bisimulation est plus fine que les logiques du temps arborescent, mais aussi que pour une large classe de combinateurs, les congruences engendrees par les logiques restent strictement plus faibles que la bisimulation. Dans la deuxieme partie de la these, nous considerons les modeles d'ordre partiel pour les systemes paralleles, dans lesquels on dispose d'une definition satisfaisante de l'operation de raffinement de programme (cette notion est liee a la methode classique de conception hierarchique des programmes). Parmi les equivalences semantiques de la litterature, la history preserving bisimulation est particulierement interessante car c'est une congruence pour l'operation de raffinement quand les systemes n'ont pas d'action invisible. En utilisant une caracterisation de cette equivalence en termes d'une bisimulation avant-arriere, nous exhibons deux caracterisations logiques, ainsi qu'un algorithme de traduction entre ces deux logiques. Nous etudions aussi plusieurs variantes de cette bisimulation avant-arriere. Enfin, nous elargissons le champ de travail en considerant les modeles d'ordre partiel avec actions invisibles. Nous montrons que la bisimulation avant-arriere susmentionnee, adaptee a ce cadre, coincide avec la branching bisimulation sur les arbres causaux, mais aussi avec deux nouvelles equivalences~: l'equivalence de mixed-ordering branching et la history preserving branching bisimulation, que nous etudions.

.

Cette thèse concerne une nouvelle méthode de réduction des réseaux de Petri. Le problème de la réduction des réseaux a d'abord été considéré comme le moyen de réduire l'espace des états sans modifier un certain nombre de propriétés (telles que "être borne", "être vivant", etc) afin de faciliter leur étude. Nous nous placons ici dans une toute autre optique, puisque nous allons chercher une méthode de réduction non pas en voulant conserver un ensemble de propriétés, mais préservant le comportement du réseau. Dans les premières parties, nous recherchons la relation la plus grande possible qui soit une équivalence sur les places du réseaux nous permettant de les fusionner et telle que le réseau réduit soit bisimilaire au réseau original. Nous montrons que la bisimulation de places vérifie ces contraintes et qu'il existe des algorithmes efficaces (polynomiaux) pour la calculer. Dans la suite, des cas d'extensions classiques des réseaux (arcs inhibiteurs) comme des équivalences (bisimulations "observationnelle") sont abordés. La dernière partie de la thèse s'intéresse à l'équivalence de propriétés entre le réseau initial et le réseau quotient. Ce travail se termine par la présentation succincte du logiciel Petris qui met en oeuvre les différents algorithmes.