À la chasse aux bugs avec la Laboratoire d'informatique formelle

À la chasse aux bugs

avec le Laboratoire d'informatique formelle
Les mathématiques au service
de l'assurance-qualité

NSERC
CRSNG

Fonds de recherche
Nature et
technologies

Librairie
Service web
Module
Votre code

?

!

b

Plan
Devis
Contrat
...

c
a

?

Pas exhaustif

T

ES

T
M.

Long…

?

Basé sur la
compréhension
du testeur

Pas exhaustif

?

T

ES

T
M.

Long…

Programmation

Tests
unitaires

Tests
fonctionnels

Tests
système

Après
sortie

% de bugs introduits

85%

Programmation

Tests
unitaires

Tests
fonctionnels

Tests
système

Après
sortie

% de bugs trouvés

85%

Programmation

Tests
unitaires

Tests
fonctionnels

Tests
système

Après
sortie

% de bugs trouvés
coût de réparation

16 000$
85%
1000$

25$
Programmation

100$
Tests
unitaires

250$

Tests
fonctionnels

Tests
système

Après
sortie

Toutes les
histoires
possibles

Toutes les
histoires
possibles

Toutes les
histoires
du livre

Toutes les
histoires
possibles

Toutes les
histoires
plausibles

Toutes les
histoires
du livre

Combien d'histoires possibles ?

1

2

1

2

2

1

1

2

2

1

1

2

3

1

2

1

2

3

2

1

1

3

2

1

2

1

2

3

2

1

1

3

2

2

1

3

1

2

1

2

3

2

1

1

3

2

2

1

3

2

3

1

1

2

1

2

3

2

1

1

3

2

2

1

3

2

3

1

3

1

2

1

2

1

2

3

2

1

1

3

2

2

1

3

2

3

1

3

1

2

3

2

1

Histoires


1

2

3
Pages

4

5

Histoires


1

1

2

3
Pages

4

5

Histoires


1

1

2

2

3
Pages

4

5

Histoires


6
1

1

2

2

3
Pages

4

5

Histoires


6
1

1

24

2

2

3
Pages

4

5

Histoires


6
1

1

24

120

4

5

2

2

3
Pages

LEM
7500 lignes

Chevy Volt
10 000 000 lignes

LEM
7500 lignes
Windows 7
50 000 000 lignes

Chevy Volt
10 000 000 lignes

Windows 7
50 000 000 lignes

Chevy Volt
10 000 000 lignes

2M$
ains @
1 km/h 2 tr
10 km
2 km/h

1 km/h

2M$
ains @
1 km/h 2 tr
10 km
20M$
rails @
2 km/h

1 km/h

2M$
ains @
1 km/h 2 tr
10 km
20M$
rails @
3.90$
rgot @
esca
2 km/h

1 km/h

2M$
ains @
1 km/h 2 tr
10 km
20M$
rails @
. _ 0$
3_9___
rg_ot _@__
esca _ __ __
____ 2 km/h 0$
003.9
4 000
2

1 km/h

Position train 1 = 1 x t
Position train 2 = 10 - (1 x t)

Moment de l'impact ?

1 x t = 10 - (1 x t)

1 x t = 10 - (1 x t)
2 x t = 10

1 x t = 10 - (1 x t)
2 x t = 10
t=5

1 x t = 10 - (1 x t)
2 x t = 10
t=5
Distance escargot: 2 x 5 = 10 km

Logique
mathematique

E

E

Combinatoire
des mots

Logique
mathematique

E

E

Combinatoire
des mots
Theorie des
graphes

Un jeu mathématique

On vous po
se le problè
me suivant:
Si le train a
rrive en ret
ard et qu'il
pas de taxis
n'y a
à la gare, a
lors Jean ar
en retard à
rive
son rendezvous.
Jean n'est p
as en retard
à son rende
vous.
zLe train est
arrivé en re
tard.

?

Y avait-il d
es taxis
à la gare?

Sylvain Hallé - 8INF958 Spéciﬁcation, test et vériﬁcation

Le 'calculus ratiocinator'
Dès 1665, Leibniz imagine un langage universel, la
lingua characteristica universalis, qui vise à...
Représenter toutes les
choses sujettes au
raisonnement
Établir des liens entre elles
au moyen d'un calcul de la
raison

Gottfried Wilhelm
Leibniz
(1646-1716)

Le 'calculus ratiocinator'
« Alors, il ne sera plus
besoin entre deux
philosophes de discussions
plus longues qu'entre deux
mathématiciens, puisqu'il
suﬃra qu'ils saisissent leur
plume, qu'ils s'asseyent à
leur table de calcul (en
faisant appel, s'ils le
souhaitent, à un ami) et
qu'ils se disent l'un à
l'autre : « Calculons ! »

Gottfried Wilhelm
Leibniz
(1646-1716)


Quelques déﬁnitions
Donnons à chaque aﬃrmation élémentaire un symbole:

p
q
r

Le train est en retard
Il y a des taxis à la gare
Jean arrive en retard à son rendez-vous
Variables propositionnelles

Chacune de ces variables peut prendre l'une ou l'autre
de deux valeurs possibles:
Vrai (aussi noté V, 1, ⊤)
Faux (aussi noté F, 0, ⊥)


Chacune des données du problème est un énoncé liant
certaines aﬃrmations élémentaires au moyen de
connecteurs logiques
∧
∨
→
↔
¬

Conjonction (et)
Disjonction (ou)
Implication (si ... alors ...)
Équivalence (... si et seulement si ...)
Négation (non)


On peut donc écrire symboliquement chacun des
énoncés de l'énigme:
Si l'avion arrive en retard et qu'il n'y a pas de taxis à
la gare, alors Jean arrive en retard à son rendez-vous
(p ∧ ¬q) → r
Jean n'est pas arrivé en retard à son rendez-vous
¬r
L'avion est arrivé en retard
p


Comment résoudre le problème?
L'énigme a été réduite au problème symbolique suivant:
Étant donné que...
(p ∧ ¬q) → r
¬r
p
...sont vraies, peut-on conclure que q est vraie?
Comment peut-on le trouver?


Valuation
Une valuation est une fonction ν qui aﬀecte exactement
une valeur à chaque variable propositionnelle
Exemple: ν(p) = ⊤, ν(q) = ⊤, ν(r) = ⊥
On peut calculer la valuation d'une expression composée
à partir de la valuation de ses opérandes. Si φ et ψ sont
des expressions dont la valuation est connue, alors...
ν(φ ∧ ψ) = ⊤ lorsque ν(φ) = ν(ψ) = ⊤, sinon ⊥
ν(φ ∨ ψ) = ⊥ lorsque ν(φ) = ν(ψ) = ⊥, sinon ⊤
ν(φ → ψ) = ⊥ lorsque ν(φ) = ⊤ et ν(ψ) = ⊥, sinon ⊤
ν(φ ↔ ψ) = ⊤ lorsque ν(φ) = ν(ψ), sinon ⊥
ν(¬φ) = ⊤ lorsque ν(φ) = ⊥, et vice versa


Modèle
Si φ est une expression et ν une valuation telle que
ν(φ) = ⊤, on dit que ν satisfait φ, ce que l'on peut écrire
ν⊨φ
Dans ce cas, on dit aussi que ν est un modèle de φ.
Exercice
1. Si l'on utilise n variables propositionnelles,
combien de valuations diﬀérentes peut-on créer?
2. Combien y a-t-il de modèles des expressions...
a) p ∨ q
b) (p ∧ q) → ¬p

Table de vérité
On peut calculer la valeur d'une expression pour toutes
les valuations possibles au moyen d'une table de vérité

p q (p ∧ q) → ¬p
⊥
⊥
⊤
⊤

⊥
⊤
⊥
⊤


Table de vérité

p q (p ∧ q) → ¬p
⊥
⊥
⊤
⊤

⊥
⊤
⊥
⊤

⊥
⊥
⊥
⊤


Table de vérité

p q (p ∧ q) → ¬p
⊥
⊥
⊤
⊤

⊥
⊤
⊥
⊤

⊥
⊥
⊥
⊤

⊤
⊤
⊥
⊥


Table de vérité

p q (p ∧ q) → ¬p
⊥
⊥
⊤
⊤

⊥
⊤
⊥
⊤

⊥
⊥
⊥
⊤

⊥
⊥
⊥
⊥

⊤
⊤
⊥
⊥


Conséquence logique
Pour résumer:
1. Les énoncés du problème
original ont été
formalisés en un ensemble
d'énoncés logiques

On vous po
se le problè
me suivant:
Si le train ar
rive en reta
rd et qu'il n'
pas de taxis
ya
à la gare, al
ors Jean arri
en retard à
ve
son rendez-v
ous.
Jean n'est pa
s en retard
à son rendez
vous.
Le train est
arrivé en re
tard.
Y avait-il de
s taxis
?
à la gare?

A = {(p ∧ ¬q) → r, ¬r, p}
2. On cherche maintenant à déterminer si la question
posée (q) est une conséquence logique de A, ou
autrement dit, à savoir si...
A⊨q


Satisfaisabilité
Une expression φ est dite satisfaisable lorsque qu'il
existe au moins une valuation ν telle que ν ⊨ φ
...autrement dit, il existe un "monde" dans lequel
φ est vraie
On peut se convaincre que φ est satisfaisable si et
seulement si ¬φ n'est pas une tautologie
Problème de la satisfaisabilité (SAT)
Étant donné une expression φ, trouver une valuation
ν telle que ν ⊨ φ


Qui a tué tante Agatha?
Quelqu'un vivant au Manoir a tué tante Agatha.
Agatha, le maître d'hôtel et Charles sont les seuls à
vivre au Manoir.
Un tueur déteste toujours sa victime, et n'est jamais
plus riche que celle-ci.
Charles ne déteste personne que tante Agatha déteste.
Agatha déteste tout le monde sauf le maître d'hôtel.
Le maître d'hôtel déteste tous ceux qui ne sont pas
plus riches que tante Agatha.
Le maître d'hôtel déteste tous ceux que tante Agatha
déteste.
Personne ne déteste tout le monde.


Modélisation propositionnelle
Une modélisation du problème en logique
propositionnelle est peu commode
Beaucoup de variables
Beaucoup de formules répétées pour chaque variable
Et si on ajoute un individu au Manoir?
Peut-on faire mieux?


Éléments
Le problème précédent concerne un certain nombre
d'éléments...
E = {Agatha, Maître d'hôtel, Charles}
...et donne une liste de faits à propos de ces éléments.
Par exemple:
"Tante Agatha est la victime"
"Tante Agatha déteste tout le monde, sauf le maître
d'hôtel"


Prédicat
Un prédicat p est une fonction prenant des éléments en
entrée et retournant ⊤ ou ⊥. Formellement, on écrit:
n

arité du prédicat

p : E → {⊤,⊥}
Exemples:
prédicat d'arité 1 (unaire)
victime(__)
assassin(__)
prédicats d'arité 2 (binaires)
déteste(__, __)
plusRicheQue(__, __)

Intuitivement, un prédicat est une aﬃrmation à propos
d'un ou plusieurs éléments


Prédicat
Puisqu'un prédicat retourne toujours ⊤ ou ⊥, on peut
combiner les prédicats en utilisant les connecteurs de la
logique propositionnelle:
victime(Agatha)
assassin(Charles) → plusRicheQue(Agatha, Charles)
déteste(Agatha, Maître d'hôtel) ∨ assassin(Agatha)
Problème: que fait-on d'une aﬃrmation comme
"Un assassin déteste toujours sa victime" ?


Prédicat
Méthode #1 (façon propositionnelle): énumérer les cas
possibles
((assassin(Agatha) ∧ victime(Charles))
→ déteste(Agatha, Charles))
∧
((assassin(Charles) ∧ victime(Agatha))
→ déteste(Charles, Agatha))
∧
...
Peu commode...


Quantiﬁcateurs
Méthode #2: utiliser des quantiﬁcateurs
∀x : ∀y : (assassin(x) ∧ victime(y)) → déteste(x,y)
"pour tout x (pris dans l'ensemble E)"

Intuitivement, si E = {a, b, c, ..., k}, alors
∀x : φ ≡ φ[x/a] ∧ φ[x/b] ∧ ... ∧ φ[x/k]
où φ[x/a] est l'expression φ dans laquelle on a remplacé
tous les x par a
Ex.: ∀x : assassin(x) ≡ assassin(Agatha) ∧
assassin(Charles) ∧ assassin(Maître d'hôtel)

Exemple 1
Gestion des réseaux

Ne pas appuyer
sur
si
est allumé

Ne pas appuyer
sur
si
est allumé

Actionner en même
temps
et

Ne pas appuyer
sur
si
est allumé

Actionner en même
temps
et

Actionner seulement
si
indique 2

ip vrf Customer_A
rd 100:110
route-target export 100:1000
route-target import 100:1000
!
ip vrf Customer_B
rd 100:120
!
interface Loopback0
ip address 10.10.10.4 255.255.255.255
ip router isis
!
interface Loopback101
ip vrf forwarding Customer_A
ip address 200.0.4.1 255.255.255.0
no ip directed-broadcast
!
ip vrf forwarding Customer_B
ip address 200.0.4.1 255.255.255.0
!
router bgp 100
bgp log-neighbor-changes
neighbor 10.10.10.6 remote-as 100
...

ip vrf Customer_A
rd 100:110
!
ip vrf Customer_B
rd 100:120
!
interface Loopback0
ip address 10.10.10.4 255.255.255.255
ip router isis
!
ip address 200.0.4.1 255.255.255.0
!
ip address 200.0.4.1 255.255.255.0
!
router bgp 100
...

ip vrf Customer_A
rd 100:110
!
ip vrf Customer_B
rd 100:120
!
interface Loopback0
ip address 10.10.10.6 255.255.255.255
ip router isis
!
ip address 200.0.4.1 255.255.255.0
!
ip address 200.0.4.1 255.255.255.0
!
router bgp 100
...

∀s₁ ∈ /DeviceName :
∀s₂ ∈ /DeviceName :
∀v₁ ∈ /DeviceName/s₁/ip-vrf :
∀v₂ ∈ /DeviceName/s₂/ip-vrf :
v₁=v₂ → (
∃r₁ ∈ /DeviceName/s₁/ip-vrf/v₁/rd :
∃r₂ ∈ /DeviceName/s₁/ip-vrf/v₂/rd :
r₁=r₂)

329 = 17
√
17
x 17
119
+17
9

329 = 17
√
17
x 17
119
+17
89

329 = 17
√
17
x 17
119
+17
289

329 = 17
X
√
17
x 17
119
+17
289

?
√329 = 17
19 étapes

√329

=?

?
√329 = 17
19 étapes

√329

=?
64 étapes

|
|
|
|

Nombre d'étapes

80
60
40
20
0

0

|
|
|
|
|
200 400 600 800 1000
Nombre à calculer

?
√329 = 17
19 étapes

√329

=?
64 étapes

|
|
|

80
60
40
20
0

Vérifier

|

Nombre d'étapes

Calculer

0

|
|
|
|
|
200 400 600 800 1000
Nombre à calculer

?
√329 = 17
19 étapes

√329

=?
64 étapes

|
|
|

80
60
40
20
0

0

}

4x

Vérifier

|

Nombre d'étapes

Calculer

|
|
|
|
|
200 400 600 800 1000
Nombre à calculer

?
√329 = 17
19 étapes

√329

=?
64 étapes

|
|
|

Vérifier

|

Complexité

}

Calculer

|

|

|

|

Taille du problème

|

!!!

Complexité
Étant donné une expression à n variables, toutes les
méthodes vues jusqu'ici ont une complexité en pire cas
de l'ordre de 2n
Théorème (Cook, 1971)
Le problème SAT est un problème
NP-complet.
Conséquence: on ne sait pas
à l'heure actuelle s'il existe un
algorithme SAT dont le pire
cas serait inférieur à O(2n )
Si oui, alors P=NP !

Stephen A. Cook
(1939-)


Ajax web application
Cloud computing

Sylvain Hallé

Cloud computing

JavaScript

Sylvain Hallé

Cloud computing

eG
Be es
atl
Be el
am n
C
va
ara
C

Sylvain Hallé

Cloud computing

<a onclick="javascript:
findBand(’Beatles’)">

eG
Be es
atl
Be el
am n
C
va
ara
C

Sylvain Hallé

Cloud computing

findBand(’Beatles’)

Sylvain Hallé

Cloud computing

artist
=beatles


Sylvain Hallé

Cloud computing

artist
=beatles

document.innerHTML =

Sylvain Hallé


Cloud computing

artist
=beatles


C
Page is updated,
not reloaded

Sylvain Hallé


Cloud computing

artist
=beatles


C
Server response only provides
updated contents

Sylvain Hallé


Cloud computing

<Search>
<Artist>
beatles
</Artist>
</Search>

Does not need
to be a URL
Does not need
to be HTML

<SearchResults>
<Item>
<Artist>
The Beatles
</Artist>
<Title>
Rubber Soul
</Title>
</Item>
...
</SearchResults>
Sylvain Hallé

Conceptually...
Cloud computing

Sylvain Hallé

Conceptually...
Cloud computing
Web service

Sylvain Hallé

Web client

Main issue
Not like traditional programming: all
input-output is exchanged unverified!

Possible mismatch
between messages sent
and messages expected
Sylvain Hallé

Interface contracts
All possible sequences
of all possibles messages
with all possible values

Sylvain Hallé

Interface contracts

Constraints
on individual
messages

Sylvain Hallé

Interface contracts

Constraints
on individual
messages

Sylvain Hallé

Constraints
on sequences

Interface contracts

Data-aware
sequential constraints

Constraints
on individual
messages

Sylvain Hallé

Constraints
on sequences

Interface contracts
Interface contract =
valid (error-free) interactions
Data-aware
sequential constraints

Constraints
on individual
messages

Sylvain Hallé

Constraints
on sequences

Three types of constraints (I)
Constraints on individual messages
<Message>
<Action>ItemSearch</Action>
<Results>5</Results>
<Keyword>beatles</Keyword>
<Page>1</Page>
</Message>

Examples:

Sylvain Hallé

<Message>
<Page>1</Page>
</Message>

Examples:

1. The element Page must be an integer between 1 and 20."
/M

Sylvain Hallé

<Message>
<Page>1</Page>
</Message>

Examples:

/M
2. The element Page is mandatory only if Results is present,
otherwise it is forbidden.
Sylvain Hallé

Expressing data constraints
Simple XPath
Fetches portions of an XML document according to a
query path = sequence of tags

V

pM ®
: Q ´2
Examples:
p ’’, m) = {1,2,4}
(‘‘/a/b/c
p ’’, m) = Æ
(‘‘/a/b/d
Sylvain Hallé

{

M: set of messages
Q: set of XML query paths
V: set of atomic values

<a>

<c>1</c>
<c>2</c>

<d>
<c>9</c>
</d>

<c>3</c>

</a>

m

XPath term
Expresses properties over values fetched by XPath expressions

p
"Û v Î
(x)
j
(q,m)
q x : j (v) for every
p
$ Û vÎ
(x)
j
(q,m)
q x : j (v) for some
Examples:
"x < 5
/a/b/c x :
$
/a/b x :
$ : "y £
x
/a/b/c x
/a/b/c y :
Sylvain Hallé

<a>

<c>1</c>
<c>2</c>

<d>
<c>9</c>
</d>

<c>3</c>

</a>

{

Q,
M, path
For some message m Î q Î

m

2

<Message>
<Page>1</Page>
</Message>

/M
Sylvain Hallé

2

<Message>
<Page>1</Page>
</Message>

1. " x : x > 0 Ù
x < 21
/Message/Page
Sylvain Hallé

2

<Message>
<Page>1</Page>
</Message>

1. " x : x > 0 Ù
x < 21
/Message/Page
2. $
/Message/Page x :

Sylvain Hallé

Û
$
/Message/Results y :

2

Three types of constraints (II)
Constraints on message sequences
<Message>
<Action>
LoginResponse
</Action>
...
</Message>

<Message>
<Action>
Login
</Action>
...
</Message>

<Message>
<Action>
CartCreate
</Action>
...
</Message>

Examples:

Sylvain Hallé

2

<Message>
<Action>
LoginResponse
</Action>
...
</Message>

X

<Message>
<Action>
Login
</Action>
...
</Message>

<Message>
<Action>
CartCreate
</Action>
...
</Message>

Examples:
3. The Login request cannot be resent if its response is"
/
successful."
/
.

Sylvain Hallé

2

<Message>
<Action>
LoginResponse
</Action>
...
</Message>

X

<Message>
<Action>
Login
</Action>
...
</Message>

<Message>
<Action>
CartCreate
</Action>
...
</Message>

Examples:
3. The Login request cannot be resent if its response is"
/
successful."
/
.

4. CartCreate must follow a successful LoginResponse."
/
Sylvain Hallé

2

Linear Temporal Logic

Alphabet (A)
Set of possible messages

Trace (A*)
Sequence of messages

Sylvain Hallé

LTL formula
Ga
Xa
Fa
aWb

= assertion on the sequence of states in a trace
"always a"
"a in the next"
"eventually a"
"a until b"

A B A C D C B E

G (a ®
X b) FALSE
Sylvain Hallé

...

ØW c
(d Ú
e)

TRUE

Well-known results:

1. For every LTL formula jexists a Büchi automaton A j
, there
such that for every (infinite) trace s
:

s sj
| j L(A )
= Û
Î
-regular
i.e. LTL describes w languages
2. The alphabet symbols can be generalized to finite sets of
Boolean propositions
Þ
Let’s use XPath terms as our Boolean propositions

Sylvain Hallé

<Message>
<Action>
LoginResponse
</Action>
...
</Message>

X

<Message>
<Action>
Login
</Action>
...
</Message>

<Message>
<Action>
CartCreate
</Action>
...
</Message>

Examples:
3. G ("
/Message/Action a : a = LoginResponse ®
(X G "
Login))
/Message/Action a’ : a’ ¹
.

/
Sylvain Hallé

2

<Message>
<Action>
LoginResponse
</Action>
...
</Message>

Examples:

X

<Message>
<Action>
Login
</Action>
...
</Message>

<Message>
<Action>
CartCreate
</Action>
...
</Message>

Xpath terms

3. G ("
(X G "
Login))
.

/
Sylvain Hallé

2

<Message>
<Action>
LoginResponse
</Action>
...
</Message>

Examples:

X

<Message>
<Action>
Login
</Action>
...
</Message>

<Message>
<Action>
CartCreate
</Action>
...
</Message>

Xpath terms

3. G ("
(X G "
Login))
.

4. ("
CartCreate)
/Message/Action a : a ¹
W ("
LoginResponse)
/Message/Action a’ : a’ =
Sylvain Hallé

2

Three types of constraints (III)
Data-aware sequential constraints
<Message>
<SessionKey>123</SessionKey>
<CartId>789</CartId>
...
</Message>

<Message>
...
</Message>

Examples:

5. There can be at most one active cart ID per session key."
/

Sylvain Hallé

2

<Message>
...
</Message>

<Message>
...
</Message>

Examples:
5. G ("
/Message/SessionKey k : "
/Message/CartId c :
G ("
/Message/SessionKey k’ : "
/Message/CartId c’ :
k = k’ ®
c = c’))

Sylvain Hallé

2

<Message>
<Action>CartAdd</Action>
<Items>
<Item>
<ItemId>567</ItemId>
...

Examples:

<Message>
<Items>
<Item>
...

X

6. You cannot add the same item twice to the shopping cart."
/

Sylvain Hallé

2

<Message>
<Items>
<Item>
...

Examples:

<Message>
<Items>
<Item>
...

X

6. G ("
/Message/Action a : a = CartAdd ®
"
/Message/ItemId i : X G ("
/Message/Action a’ :
a’ = CartAdd ® i’ : i ¹
"
i’ ))
/Message/ItemId
Sylvain Hallé

2

Six constraints for the Beep Store



Data-aware constraints

Sylvain Hallé

1. The element Page must be an integer between 1 and 20.



Sylvain Hallé

3. The Login request cannot be resent if its response is
successful.
4. CartCreate must follow a successful LoginResponse.


Sylvain Hallé

3. The Login request cannot be resent if its response is
successful.
4. CartCreate must follow a successful LoginResponse.
5. There can be at most one active cart ID per session key.
6. You cannot add the same item twice to the shopping cart.
Sylvain Hallé

Instrumentation
Trace

Events

System

Trace
validation

Instrumentation
Trace

Events

System

Instrumentation

Runtime monitoring

System

Instrumentation

Runtime monitoring

Overhead

System

Déﬁnition
Runtime monitoring
Étude du design d'outils pour observer et analyser un
système pendant son exécution.
Usages possibles:
Testing/débogage
Sécurité et détection d'intrusions
Protection contre les fautes/pannes
Compréhension de programmes
Plusieurs noms: runtime veriﬁcation, runtime checking,
dynamic analysis, trace analysis, fault protection, ...


Composantes
Structure de base d'un système de runtime monitoring:

Spéciﬁcation
Système cible

Événement

État
interne

Moniteur
Senseur

Verdict
Réaction
(facultatif)

Enforcing interface contracts at runtime

XMLHttpRequest

·
JavaScript object
·
Provided by the browser
·
All communications to monitor
already centralized: ‘‘no’’
instrumentation
Sylvain Hallé

XMLHttpRequestBB

Sylvain Hallé

XMLHttpRequestBB

XMLHttpRequest

· around original
Wrapper
· same methods
Provides
· messages before
Checks
relaying them
Sylvain Hallé

LTL-FO+
algorithm

Add BeepBeep to an application
Copy BeepBeep
? in the application's directory
http://beepbeep.sourceforge.net

Include BeepBeep

myapplication.html
<html>
<head>
<title>My Application
</title>
<script type="text/javascript"
href="myapplication.js"/>
</head>
<body>
...
</body>
</html>

Sylvain Hallé

Copy BeepBeep

Include BeepBeep

myapplication.html
<html>
<head>
</title>
href="beepbeep.js"/>
</head>
<body>
...
</body>
</html>

Sylvain Hallé

Copy BeepBeep

Include BeepBeep

myapplication.html
<html>
<head>
</title>
</head>
<body>
...
</body>
</html>

Sylvain Hallé

myapplication.js
// Initializations
...
req = new XMLHttpRequest();
...
function abc()
{
...
req.send(some_message);
}

Copy BeepBeep

Include BeepBeep

beepstore.html
<html>
<head>
</title>
</head>
<body>
...
</body>
</html>

Sylvain Hallé

beepstore.js
// Initializations
...
req = new XMLHttpRequestBB();
...
function abc()
{
...
req.send(some_message);
}

Create a contract
? file with LTL-FO+ formulas
# ------------------------------------------------------# BeepBeep contract file for the Beep Store
# ------------------------------------------------------% The element Page must be an integer between 1 and 20.
; G ([p /Message/Page] (((p) > ({0})) & ((p) < ({21}))))
% The element Page is mandatory only if Results is
present, otherwise it is forbidden.
; G ([a /Message/Action] (((a) = ({ItemSearch})) -> (
((<r /Message/Results> ({TRUE})) ->
( ({TRUE}))) &
(( ({TRUE})) -> (
<r /Message/Results> ({TRUE}))))))
% The Login request cannot be resent if its response
is successful.
; G ([a /Message/Action] (((a) = ({LoginResponse})) ->
(X (G ([b /Message/Action] (!((b) = ({Login}))))))))

Sylvain Hallé

}

Caption: used
when violations
are discovered
Plain-text
LTL-FO+
(automatically
parsed)

When loading
the application, BeepBeep starts as a small
Java applet inside the page
The
Beep
Store

Sign in or register
Search:

Search results for ‘Beatles’

What is this?
Login

Rubber Soul
The Beatles

Ask for account
Contact us
Fault parameters

Yellow Submarine
The Beatles

?/?/?/?/?/?:0:0

Sylvain Hallé

GO

Your Cart

When loading
the application, BeepBeep starts as a small
Java applet inside the page
The
Beep
Store

Sign in or register
Search:

Search results for ‘Beatles’

What is this?
Login

Rubber Soul
The Beatles

Ask for account
Contact us
Fault parameters

?/?/?/?/?/?:0:0

Sylvain Hallé

Yellow Submarine
The Beatles

GO

Your Cart

BeepBeep’s visible interface

?/?/?/?/?/?:0:0
Current state of monitor
for each property
T:
t:
F:
f:
?:

last message made it true
is true
last message made it false
is false
not yet true/false

Sylvain Hallé

Number of
messages
processed

Cumulative
processing
time (in ms)

On ne peut réussir un niveau sans sauter au moins
une fois
F action = jump

20
Mario ne peut jamais sauter d'une hauteur
supérieure à 20
G (action = jump → height < 20)

X
Si Mario se penche, il ne peut pas sauter tout de
suite après
G (action = crouch → X action ≠ jump)

X
Mario ne peut jamais entrer en collision avec un
ennemi lorsqu'il tient une carapace
G (action = haveShell → X action ≠ collision)
ou mieux
G (action = haveShell →
(action ≠ collision U action = dropShell))

COVERSTORY

Verified software
My computer won’t fail me
Web-browser crashes are annoying, but as far as software malfunctions go, the
consequences are mild. With a plane’s autopilot or the control room of a nuclear power
station, it’s another matter. As our lives become ever more saturated with computers,
how can we know they won’t fail? Currently, we systematically test all conceivable
scenarios under which they might. A better insurance might be logic. [...]

32 | New Scientist | 16 October 2010

À la chasse aux bugs avec la Laboratoire d'informatique formelle

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (19)

En vedette

En vedette (20)

Similaire à À la chasse aux bugs avec la Laboratoire d'informatique formelle

Similaire à À la chasse aux bugs avec la Laboratoire d'informatique formelle (20)

Plus de Sylvain Hallé

Plus de Sylvain Hallé (20)

Dernier

Dernier (14)

À la chasse aux bugs avec la Laboratoire d'informatique formelle