Operations de composition sur les moniteurs d’enforcement

6.4 : Operations de composition sur les moniteurs d’enforcement

α∈Ops, αest l’op´eration d’enforcement compl´ementaire deα. Nous d´efinissonsdump=store,off =halt, etα=αpourα∈Ops.

6.4.1 N´ egation

Consid´erant une r-propri´et´e de safety ou de guarantee (enfor¸cable), nous montrons comment un EM peut ˆetre transform´e de telle mani`ere que l’EM obtenu enforce la n´egation de lar-propri´et´e enforc´ee originalement. Remarquons que nous ne pouvons pas d´efinir de n´egation pour un moniteur d’enforcement pour d´edi´e `a uner-propri´et´e de response. En effet, la n´egation d’uner-propri´et´e de response est une r-propri´et´e de persistence (voir Chapitre3). Cette transformation s’applique de mani`ere indirecte pour les r-propri´et´es d’obligation, en utilisant leur d´ecomposition comme des compositions bool´eennes de r-propri´et´es de safety et de guarantee.

D´efinition 47 (N´egation d’un EM). Etant donn´e un EM´ A_↓Π=(Q^A↓Π,qinit

A_↓Π,−→_A↓Π,Ops,Γ^A↓Π)d´e- fini sur l’alphabetΣet enforcant lar-propri´et´eΠ, nous d´efinissons Negation(A↓Π)=(Q^A↓Π,qinit

A_↓Π

,−→_A

↓Π

,Ops,Γ^A↓Π)comme : – Q^A↓Π =Q^A↓Π,qinit

A_↓Π =qinitA↓Π, – →A_↓Π est d´efinie comme →A_↓Π

– la fonction de sortieΓ^A↓Π, produisant les op´erations d’enforcement est d´efinie par

∀α∈Ops,Γ^A↓Π(α)= Γ^A↓Π(α)

Th´eor`eme λ (Correction de l’op´eration de n´egation d’un EM) : Etant´ donn´e un (Q<sup>A↓Π</sup>,qinitA↓Π,−→A<sub>↓</sub>Π,Ops,Γ<sup>A↓Π</sup>) d´efini relativement `a un langage d’entr´ee Σ enforcant une r- propri´et´eΠde safety ou de guarantee, l’EM obtenu en utilisant la transformationNegation enforceΠ. Plus formellement :∀Π⊆Σ^∗×Σ^ω

Enf(A↓Π,Π,PΣ)⇒Enf(Negation(A↓Π),Π,PΣ)

Preuve : Soit Π =(φ, ϕ)la r-propri´et´e, avecφ ⊆Σ^∗ etϕ⊆Σ^ω. NotonsA_↓Π =Negation(A↓Π), et ⇒ la relation de d´erivation multipas d´efinie sur les configurations deA_↓Πet−→A_↓Π. Aussi, commeQ^A↓Π =Q^A↓Π, nous utiliseronsQpour noter les ´etats des deux EMs. Similairement,qinitd´enote les ´etats de d´epart des deux EMs. Nous devons montrer queEnf(A_↓Π,Π,PΣ), ce qui signifie que, pour toute s´equence σ∈E xec(PΣ), nous devons montrer que∃o∈Σ^∞ t.q.:

σ⇓A_↓Π o (6.10)

Π(σ)⇒σ=o (6.11)

¬Π(σ)∧Pref_≺(φ, σ)=∅ ⇒o=ǫ (6.12)

¬Π(σ)∧Pref_≺(φ, σ),∅ ⇒o=Max(Pref_≺(φ, σ)) (6.13)

La preuve se r´ealise en deux ´etapes. La premi`ere est pour les s´equences finies, la seconde pour les s´equences infinies.

S´equences finies. La preuve pour les s´equences finies se fait par une induction sur|σ|.

Cas de base.Pour le cas de base|σ|=0; nous avonsσ=ǫ, ensuite nous avons facilement (6.10) car ǫ⇓A_↓Π ǫ. De plus,Pref_≺(φ, ǫ)=∅, ce qui donne (6.12).

Enonc´e d’induction.´ Soitn∈N, supposons que pour toutes les s´equencesσ t.q.|σ|=n, nous avons l’existence d’une sortieo∈Σ^∗ t.q.les contraintes (6.10), (6.11), (6.12) et (6.13) soit v´erifi´ees. Maintenant consid´eronsa∈Σ, et une s´equenceσ·at.q.|σ·a|=n+1, nous ´etudions l’effet de la soumission en entr´ee du dernier ´ev´enementa. Nous voulons prouver qu’il existe une nouvelle sortiet.q.les mˆemes contraintes soient v´erifi´ees.

6.4 : Operations de composition sur les moniteurs d’enforcement Comme σ ⇓_A

↓Π o (hypoth`ese d’induction), il existe une configuration (q, ǫ,m) ∈ Q×Σ^∗×Σ^∗ t.q.

(qinit, σ, ǫ)⇒^o (q, ǫ,m). Ce qui implique que(qinit, σ·a, ǫ)⇒^o (q,a,m). C’est-`a-dire que, apr`es avoir luσ,A_↓Π est dans un ´etatqavecaen entr´ee, etmcomme contenu m´emoire. Ensuite depuis la configuration(q,a,m), il ´evolue vers une configuration (q^′, ǫ,m^′), i.e., (q,a,m) ^o

′

֒→ (q^′, ǫ,m^′) avec α(a,m) =(o^′,m^′), α∈ Ops. La lecture deσ·a surA_↓Π, induit une ´evolution similaire des configurations :

(qinit, σ·a, ǫ)⇒^o (q,a,m) ^o

′

֒→(q^′, ǫ,m^′) (qinit, σ·a, ǫ)⇒^pA_↓Π(q,a,n)^p

′

֒→A_↓Π(q^′, ǫ,n^′), avec :

– q−→^a q^′,Γ^A↓Π(q^′)=α, α(a,m)=(o^′,m^′), α∈Ops;q,q^′∈Q;m,m^′,o,o^′∈Σ^∗ – q−→^a A_↓Π q^′,Γ^A↓Π(q^′)=α^′, α^′(a,n)=(p^′,n^′), α^′∈Ops;q,q^′∈Q;n,n^′,p,p^′∈Σ^∗ Il y a deux cas selon queφ(σ·a):

– Le premier cas estφ(σ·a). CommeEnf(Π,A↓Π,PΣ),A↓Π produitσ·a, c’est-`a-direσ·a⇓A_↓Π σ·a.

N´ecessairement,α^′=dump. Cela correspond `a une op´erationα=storesurA_↓Π. Maintenant nous distinguons selon queφ(σ)ou non.

– Siφ(σ), en utilisant l’hypoth`ese d’induction (|σ|=n), nous avons soito=ǫ (Pref≺(φ, σ)=∅) ou o=Max(Pref_≺(φ, σ))(Pref≺(φ, σ),∅).

Si Pref_≺(φ, σ)=∅, alors nous avons ´egalementPref_≺(φ, σ·a)=∅. La sortie deA_↓Πest toujoursǫ, i.e.,o·o^′=ǫ(6.12).

SiPref_≺(φ, σ),∅, en utilisant l’hypoth`ese d’induction,o=Max(Pref_≺(φ, σ)). Aussiφ(σ·a), ce qui implique queo=Max(Pref_≺(φ, σ·a))(6.13).

– Si ¬φ(σ),i.e., φ(σ), en utilisant l’hypoth`ese d’induction, nous avons queσ ⇓_A

↓Π o avec σ=o.

Ensuiteσ=Max(Pref_≺(φ, σ))carφ(σ). Nous obtenons ´egalement (6.13).

– Le deuxi`eme cas est φ(σ·a). Nous avons soitPref_≺(φ, σ·a),∅soit Pref_≺(φ, σ·a)=∅.

– Si Pref_≺(φ, σ·a), ∅, alors comme Enf(Π,A↓Π,PΣ), nous avons p =Max(Pref_≺(φ, σ·a)). Nous savons que p≺σ·a(car par hypoth`eseφ(σ·a)). Il s’en suit queα<sup>′</sup>∈ {store,halt}. En cons´equence α=dumpet σ·a⇓A<sub>↓Π</sub> σ·a, et par hypoth`ese, nous avonsφ(σ·a). Nous avons (6.10) et (6.11).

– Si Pref_≺(φ, σ·a)=∅. N´ecessairement,α^′∈ {store,halt}etα∈ {dump,off}. Doncσ·a⇓A_↓Π σ·a.

S´equences infinies. Nous traitons maintenant la preuve pour les s´equences infiniesσ∈Σ^ω. Dans la suite, nous distinguons selon la classe de lar-propri´et´eΠ. Consid´erons σ∈Σ^ω.

– Si Πest une r-propri´et´e de safety.Nous avons deux cas, selon que ϕ(σ)ou non.

– ϕ(σ). CommeEnf(Π,A↓Π,PΣ), nous avons queσ⇓A_↓Π σ. De plus commeΠest uner-propri´et´e de safety, tous les pr´efixes deσsatisfontφ, c’est-`a-dire∀σ^′≺σ·φ(σ^′), et en cons´equenceσ^′⇓A_↓Π σ^′. Il s’en suit (Propri´et´e.11) que la s´equence des op´eration d’enforcement produite surA↓Πest de la forme dump^ω+dump^∗·off^ω. Alors en utilisant la d´efinitions de la transformationNegation, nous trouvons que la s´equence des op´erations d’enforcement surA_↓Πest de la formestore^ω+store^∗·halt^ω. Il s’en suit que σ⇓A_↓Π ǫ. (6.10). CommePref_≺(φ, σ)=∅, nous obtenons (6.12).

– ϕ(σ). Comme Enf(Π,A_↓Π,PΣ), nous avons que soit Pref_≺(φ, σ) = ∅ ∧o = ǫ ou ∃o ∈ Σ^∗·o = Max(Pref_≺(φ, σ)).

– Traitons d’abord le cas o`uPref_≺(φ, σ)=∅. Dans ce cas, nous avons∀σ^′∈Σ^∗, σ^′≺σ,¬φ(σ^′). Il s’en suit que la s´equences des op´erations d’enforcement produite surA_↓Πeststore^ω+store^∗·halt^ω. En utilisant la d´efinition deNegation, la s´equences des op´erations d’enforcement surA_↓Π est de la formedump^ω+dump^∗·halt^ω. Il s’en suit queσ⇓_A

↓Π σ. Nous obtenons (6.10).

– MaintenantPref_≺(φ, σ),∅. Soitn=|o|. CommeΠest uner-propri´et´e de safety, nous avons que

∀i≤n·φ(σ···i−1)∧ ∀i>n· ¬φ(σ···i). Ensuite, en utilisant la Propri´et´e11(p.105), nous pouvons trouver la s´equence des op´erations d’enforcement r´ealis´ee parA_↓Π:dumpⁿ·

store^ω+store^∗·halt^ω . SurA_↓Π, en utilisant la d´efinition de la transformationNegation, la s´equence des op´erations d’enforcement devientstoreⁿ·

dump^ω+dump^∗·off^ω

. Il s’en suit queσ⇓_A

↓Π σ(6.10). Ensuite, ϕ(σ)etσ=σassure (6.11).

– Si Πest une r-propri´et´e de guarantee.Nous avons deux cas, selon queϕ(σ)ou pas.

– ϕ(σ). Comme Enf(Π,A↓Π,PΣ), nous avons que σ ⇓A_↓Π σ. De plus Π est une r-propri´et´e de guarantee, il existe un pr´efixeσ^′deσt.q.∀σ^′′∈Σ^∗, σ^′σ^′′, φ(σ^′′)∧ ∀σ^′′∈Σ^∗, σ^′′≺σ^′⇒ ¬φ(σ^′′).

Notons n =|σ^′|. En cons´equence, comme Π est enforc´ee par A_↓Π, nous avons ∀σ^′′ ∈ Σ^∗, σ^′′

σ^′⇒σ^′′⇓_A↓Π σ^′′∧ ∀σ^′′≺σ^′, σ^′′ ⇓_A↓Π ǫ. Il s’en suit que la s´equence des op´erations d’enforcement sur A_↓Π eststoreⁿ·off^ω. Ensuite, en utilisant la d´efinition de la transformationNegation, nous trouvons que la s´equence des op´erations d’enforcement sur A_↓Πestdumpⁿ·halt^ω. Il s’en suit que σ⇓_A

↓Π σ^′(6.10). De plus, nous avons vu queφ(σ^′), nous avons (6.13).

– ¬ϕ(σ). Sachant queΠest uner-propri´et´e de guarantee,¬ϕ(σ)implique qu’il n’y a pas de pr´efixe deσsatisfaisantφ. CommeEnf(Π,A↓Π,PΣ), nous avons que∀σ^′≺σ·σ⇓A_↓Π ǫ. La s´equence des op´erations d’enforcement r´ealis´ee par A↓Πest de la formestore^∗·halt^ω+(halt)^ω. En utilisant la d´efinition de la transformationNegation, la s´equence des op´erations d’enforcement surA_↓Πest de la formedump^ω+dump^∗·off^ω. Il s’en suit queσ⇓A_↓Π σ. Nous avons (6.10) et (6.11).

6.4.2 Union et intersection

Nous montrons comment la disjonction (resp. conjonction) de propri´et´es enfor¸cables peut ˆetre enforc´ee en construisant l’union (resp. l’intersection) de leur moniteurs d’enforcement associ´es. Ces op´erations entre les EMs sont bas´ees sur la construction de produits entre les EMs et la combinaison des op´erations d’enforcement par rapport au treillis complet(Ops,⊑).

D´efinition 48 (Union de EMs). Etant´ donn´es deux EMs, (Q^A↓1,qinit

A_↓1,−→A_↓1,Ops,Γ^A↓1), (Q^A↓2,qinit

A_↓2,−→A_↓2,Ops,Γ^A↓2) d´efinis relativement `a un mˆeme langage d’entr´ee Σ, nous d´efinissons A_↓⊔ =Union(A↓1,A_↓2)avec Q^A↓⊔ =(Q^A↓1×Q^A↓2), qinit

A_↓⊔ =(qinit

A_↓1,qinit

A_↓2) etHalt^A↓⊔ =Halt^A↓1×Halt^A↓2. La relation de transition de ce moniteur d’enforcement est d´efinie en prenant la borne sup´erieure (⊔) des op´erations d’enforcement. Plus formellement →_A↓⊔: Q^A↓⊔×Σ×Ops → Q^A↓⊔ est d´efini comme

∀a∈Σ,∀q=(q1,q₂)∈Q^A↓⊔,

q₁−→^a A_↓1q₁^′ q₂−→^a A_↓2q₂^′ A↓⊔

(q1,q₂)−→^aA_↓⊔(q1′,q₂^′) Γ^A↓⊔((q₁,q₂))=⊔n

Γ^A↓1(q₁),Γ^A↓2(q₂)o

Notons que cette construction n’introduit pas de non-d´eterminisme dans l’EM r´esultant. En effet, comme les deux EMs initiaux sont d´eterministes, il y a toujours une et une seule transition avec un ´element deΣ dans l’EM r´esultant.

Notons queA⊔peut ˆetre d´efini ´egalement de mani`ere ´equivalente en utilisant des versions⊥-complet´ee deA₁ etA₂ avec la construction pr´edemment d´efinie de l’op´eration union lorsqueA₁ et A₂ ne sont pas d´efinis sur des vocabulaires identiques. Ceci est du au fait que⊥est idem-potente pour⊔, et ainsi lorsque l’on compose une op´erationop∈Opsavec⊥en utilisant⊔, le r´esultat estop.

Exemple 20 (Union de EMs) Sur la droite de la Fig.6.1 est repr´esent´e l’EM union A↓⊔ construit depuis les EMs A↓e₁,A↓e₂. Suivant la d´efinition de la construction, l’ensemble d’´etats est le produit cart´esienQ^A↓1×Q^A↓2 dans lequel l’´etat(1,2)n’est pas atteignable. L’´etat initial est(1,1). Notons qu’il n’y a pas d’´etatHaltdans l’EM r´esultant carHalt^A↓e1×Halt^A↓e2 =∅.

L’op´eration d’intersection entre les moniteurs d’enforcement est d´efinie de mani`ere similaire en utilisant l’op´eration borne inf´erieure⊓entre les op´erations d’enforcement :

D´efinition 49 (Intersection d’EMs). Etant donn´es deux EMs´ (Q^A↓1,qinitA↓1,−→_A↓1,Ops,Γ^A↓1), (Q^A↓2,qinitA↓2,−→A_↓2,Ops,Γ^A↓2) d´efinis relativement `a un mˆeme langage d’entr´ee Σ et un ensemble d’op´erations d’enforcementOps, nous d´efinissons l’EM intersection(Q^A↓⊓,qinitA↓⊓,−→A_↓⊓,Ops,Γ^A↓⊓)avec Q^A↓⊓ =(Q^A↓1×Q^A↓2),qinit

A_↓⊓=(qinit

A_↓1,qinit

A_↓2)etHalt^A↓⊓ =Halt^A↓1×Q^A↓2∪Q^A↓1×Halt^A↓2. La relation de transition de ce moniteur d’enforcement est d´efinie en prennant la borne inf´erieure (⊓) des op´erations d’enforcement. Plus formellement→A_↓⊓:Q^A↓⊓×Σ×Ops→Q^A↓⊓est d´efinie par∀a∈Σ,∀q=(q₁,q₂)∈Q^A↓⊓,

6.4 : Operations de composition sur les moniteurs d’enforcement

1

2 b/off 1

2

Σ\ {a}/halt

Σ\ {b}/store a/dump

Σ/off

1,1

2,2 2,1 Σ\ {a, b}/store

Σ/off

Σ\ {b}/store

A∪

Σ/halt

a/dump

A_↓Π2

b/off b/off

A_↓Π1

1,2

Figure6.1 – Union de deux moniteurs d’enforcement :A↓e₁ et A↓e₂

q₁−→^a A_↓1q₁^′ q₂−→^a A_↓2q₂^′ A↓⊓

(q₁,q₂)−→^a_A↓⊓(q₁^′,q₂^′)

La fonction de sortie des op´erations d’enforcement Γ^A↓⊓ est d´efinie par :

∀(q₁,q₂)∈Q^A↓⊓,Γ^A↓⊓((q₁,q₂))=⊓n

Γ^A↓1(q₁),Γ^A↓2(q₂)o

Notons que entre la transformation r´ealisant l’union et celle r´ealisant l’intersection, seule la mani`ere de composer la fonction de sortie change.

Th´eor`eme µ(Correction des op´erations d’union et intersection d’EMs) : Etant´ donn´es (Q^A↓Π1,qinit

A_↓Π1,−→A_↓Π1,Ops,Γ^A↓Π1)et(Q^A↓Π2,qinit

A_↓Π2,−→A_↓Π2,Ops,Γ^A↓Π2), deux moniteurs d’enforcement enforcant deux propri´et´esΠ₁,Π₂ ∈EPsur un programmePΣ, lar-propri´et´eΠ₁∨Π₂(resp.Π₁∧Π₂) est enforc´ee par le moniteur d’enforcement union (resp. intersection). Plus formellement :∀Π₁,Π₂⊆Σ^∗×Σ^ω,

Enf(A↓Π₁,Π₁,PΣ)∧Enf(A↓Π₂,Π₂,PΣ)⇒Enf(Union(A↓Π₁,A↓Π₂),Π₁∨Π₂,PΣ) Enf(A↓Π₁,Π₁,PΣ)∧Enf(A↓Π₂,Π₂,PΣ)⇒Enf(Intersection(A↓Π₁,A↓Π₂),Π₁∧Π₂,PΣ)

Preuve : Nous traitons la preuve pour l’op´erateurUnion. Pouri∈ {1,2}, nous avonsEnf(A↓Π_i,Π_i,PΣ), i.e., pour toutσ∈E xec(PΣ), il existeo_i∈Σ^∗:

σ⇓A_↓Πi oi (6.14)

Π_i(σ)⇒σ=oi (6.15)

¬Π_i(σ)∧Pref_≺(φi, σ)=∅ ⇒oi=ǫ (6.16)

¬Π_i(σ)∧Pref_≺(φi, σ),∅ ⇒oi=Max(Pref_≺(φi, σ)) (6.17)

NotonsA⊔=Union(A↓ϕ1,A↓ϕ2)(Q,qinit,−→,Ops,Γ),ϕ=ϕ₁∨ϕ₂, et⇒la relation de d´erivation multi-pas d´efinie sur les configurations deA_⊔ et−→. Nous devons montrerEnf(A⊔, ϕ,PΣ), ce qui signifie que, ´etant donn´eσ∈E xec(PΣ), nous devons prouver l’existence deo∈Σ^∗t.q.:

σ⇓A_↓Π o (6.18)

Π(σ)⇒σ=o (6.19)

¬Π(σ)∧Pref_≺(φ, σ)=∅ ⇒o=ǫ (6.20)

¬Π(σ)∧Pref_≺(φ, σ),∅ ⇒o=Max(Pref_≺(φ, σ)) (6.21)

Nous consid´erons tout d’abordσ∈Σ^∗, la preuve suivante est faite par r´ecurrence sur|σ|.

Cas de base. Pour le cas de base |σ|=0; nous avonsσ=ǫ. Ensuite nous avons facilement (6.18) car ǫ⇓_A↓Π ǫ. De plus,Pref_≺(φ, ǫ)=∅, ce qui donne (6.20).

Enonc´´ e d’induction. Soitn∈Net supposons que pour toutes les s´equencesσt.q.|σ|=n, nous avons l’existence d’une sortieo deA_⊔t.q.(6.19) et (6.20).

Comme σ ⇓A_⊔ o (hypoth`ese d’induction), il existe une configuration (q, ǫ,m) ∈ Q×Σ^∗×Σ^∗ t.q.

(qinit, σ, ǫ)⇒^o (q, ǫ,m). Ce qui implique(qinit, σ·a, ǫ)⇒^o (q,a,m). C’est-`a-dire, apr`es avoir luσ, l’EMA⊔ est dans un ´etatqaveca en entr´ee, etmcomme contenu m´emoire. Ensuite depuis la configuration(q,a,m), il

´evolue vers une configuration(q^′, ǫ,m^′), c’est-`a-dire(q,a,m) ^o

′

֒→(q^′, ǫ,m^′)avecα(a,m)=(o^′,m^′), α∈Ops.

En lisantσ·a,A⊔ produit une sortieo·o^′. Aussi, la lecture deσ·a surA↓Π_i,i∈ {1,2}, induit l’´evolution de configurations suivante :

(qinit, σ·a, ǫ)⇒^oi (qi,a,mi) ^o

′

֒→i (q^′_i, ǫ,m^′_i), avecαi(a,m_i)=(o^′_i,m^′_i);q_i,q^′_i∈Q^A↓Πi;m_i,m^′_i,o_i,o^′_i∈Σ^∗.

Il y a deux cas selon queφ(σ·a)ou non.

– Le premier cas estφ(σ·a). Dans ce cas, cela signifie que soitφ₁(σ·a)ouφ₂(σ·a). Traitons le casφ₁(σ·a), le casφ₂(σ·a)est identique. CommeEnf(Π₁,A↓Π₁,PΣ), nous avons que∃o₁∈Σ^∗·σ·a⇓A_↓Π1 o₁. De plus,φ₁(σ·a)implique queo₁=σ·a. In´evitablement la derni`ere op´eration d’enforcement deA_↓Π₁est dumpouoff,i.e.,α₁={dump,off}(Propri´et´e11, p.105). Il s’en suit que α=⊔({α₁, α₂})∈ {dump,off}. Selon la d´efinition des op´erations d’enforcement et la Propri´et´e10, nous obtenons queσ·a⇓_A⊔σ·a, i.e., (6.18) et (6.19).

– Le deuxi`eme cas est ¬φ(σ·a). Ce qui implique que¬φ₁(σ·a)∧ ¬φ₂(σ·a). En utilisant la d´efinition des op´erations d’enforcement, nous avons quatre cas selon quePref_≺(φi, σ·a)=∅,i∈ {1,2}.

– Le premier cas estPref_≺(φi, σ·a),∅,i∈ {1,2}. Pouri∈ {1,2}, commeEnf(Π_i,A↓Π_i,PΣ), ¬φ_i(σ·a) nous donne∃o_i∈Σ^∗·o_i=Max(Pref_≺(φi, σ·a)). Maintenant, nous avons soito₁≺o₂,o₂ ≺o₁ soit o₁=o₂.

– Consid´erons le cas o₁ ≺o₂ (o2 ≺o₁ est identique). Dans ce cas, nous avons ∀o^′₁ ∈Σ^∗·o₁ ≺ o^′₁ σ·a· ¬φ₁(o^′₁), et ∀o^′₂ ∈ Σ^∗ ·o₂ ≺ o^′₂ σ·a· ¬φ₂(o^′₂). Ensuite o₁ ≺ o₂ implique que o₂ =Max(Pref_≺(φ, σ·a)). Nous devons montrer que σ·a⇓A_⊔ o₂. Examinons la s´equence des op´erations d’enforcement r´ealis´ee par A⊔. Nous avons queo₂⇓A_⊔ o₂, car la derni`ere op´eration d’enforcement r´ealis´ee en lisanto₂σ·aest undumpou unoff (A⊔est obtenu en prenant la borne sup´erieure des op´erations d’enforcement).

– Similairement au cas o₁ =o₂, nous avons queo₁=o₂=Max(Pref_≺(φ, σ·a)). Le raisonnement pr´ec´edent est v´erifi´e.

– Le deuxi`eme cas estPref_≺(φi, σ·a)=∅,i∈ {1,2}. Pouri∈ {1,2}, commeEnf(Π_i,A_↓Π_i,PΣ),¬φ_i(σ·a) cela nous donneσ·a⇓_A↓Π

i,i∈ {1,2}.

– Le trois`eme cas est Pref<sub>≺</sub>(φ1, σ·a)=∅ ∨Pref<sub>≺</sub>(φ2, σ·a)=∅. SupposonsPref<sub>≺</sub>(φ1, σ·a)=∅, le cas Pref<sub>≺</sub>(φ2, σ·a)=∅ est identique. CommeEnf(Π<sub>1</sub>,A<sub>↓</sub>Π<sub>1</sub>,PΣ), nous avons queσ·a⇓<sub>A↓</sub>Π1 ǫ. Il s’en suit que la s´equence des op´erations d’enforcement sur A↓Π<sub>1</sub> est(store+halt)<sup>∗</sup>. SurA↓Π<sub>2</sub>, comme Enf(Π<sub>2</sub>,A↓Π<sub>2</sub>,PΣ), nous avons que∃o<sub>1</sub> ∈Σ<sup>∗</sup>·o<sub>1</sub>=Max(Pref<sub>≺</sub>(φ1, σ·a)). Il s’en suit que la s´equence des op´erations d’enforcement r´ealis´ee par A↓Π<sub>2</sub> est(store+dump)<sup>k−1</sup>·dump·(halt+store)<sup>n−k</sup> o`u k=|o₂|. Ensuite la d´efinition suivante de la constructionUnion,A⊔ r´ealise la mˆeme s´equence d’op´erations d’enforcement. Avec un raisonnement similaire nous obtenons le r´esultat attendu.

Pour les s´equences infinies, le raisonnement est similaire au raisonnement fait pour le cas inductif.

Cela est fait sur la forme de la s´equences des op´erations d’enforcement r´ealis´ee et en distinguant deux cas selon queϕ(σ)ou¬ϕ(σ).

La preuve pour la construction intersection est conduite de mani`ere similaire. Une cons´equence de ce th´eor`eme est que la classeEPdes propri´et´es enfor¸cables est ferm´ee par union et intersection.

No documento Yliès Falcone (páginas 118-123)