Certification of an Instruction Set Simulator

Cette these expose nos travaux de certification d'une partie d'un programme C/C++ nomme SimSoC (Simulation of System on Chip), qui simule le comportement d'archi- tectures basees sur des processeurs tels que ARM, PowerPC, MIPS ou SH4. Un simulateur de System on Chip peut etre utilise pour developper le logiciel d'un systeme embarque specifique, afin de raccourcir les phases des developpement et de test, en particulier quand la vitesse de simulation est realiste (environ 100 millions d'instructions par seconde par cœur dans le cas de SimSoC). Les reductions de temps et de cout de developpement obtenues se traduisent par des cycles de conception interactifs et rapides, en evitant la lourdeur d'un systeme de developpement materiel. SimSoC est un logiciel complexe, comprenant environ 60 000 de C++, integrant des parties ecrites en SystemC et des optimisations non triviales pour atteindre une grande vitesse de simulation. La partie de SimSoC dediee au processeur ARM, l'un des plus repandus dans le domaine des SoC, transcrit les informations contenues dans un manuel epais de plus de 1000 pages. Les erreurs sont inevitables a ce niveau de complexite, et certaines sont passees au travers des tests intensifs effectues sur la version precedente de SimSoC pour l'ARMv5, qui reussissait tout de meme a simuler l'amorcage complet de linux. Un probleme critique se pose alors : le simulateur simule-t-il effectivement le materiel reel ? Pour apporter des elements de reponse positifs a cette question, notre travail vise a prouver la correction d'une partie significative de SimSoC, de sorte a augmenter la confiance de l'utilisateur en ce similateur notamment pour des systemes critiques. Nous avons concentre nos efforts sur un composant particulierement sensible de SimSoC : le simulateur du jeu d'instructions de l'ARMv6, faisant partie de la version actuelle de SimSoC. Les approches basees sur une semantique axiomatique (logique de Hoare par exemple) sont les plus repandues en preuve de programmes imperatifs. Cependant, nous avons prefere essayer une approche moins classique mais plus directe, basee sur la semantique operationnelle de C : cela etait rendu possible en theorie depuis la formalisation en Coq d'une telle semantique au sein du projet CompCert et mettait a notre disposition toute la puissance de Coq pour gerer la complexitite de la specification. A notre connaissance, au dela de la certification d'un simulateur, il s'agit de la premiere experience de preuve de correction de programmes C a cette echelle basee sur la semantique operationnelle. Nous definissons une representation du jeu d'instruction ARM et de ses modes d'adressage formalisee en Coq, grâce a un generateur automatique prenant en entree le pseudo-code des instructions issu du manuel de reference ARM. Nous generons egale- ment l'arbre syntaxique abstrait CompCert du code C simulant les memes instructions au sein de Simlight, une version allegee de SimSoC. A partir de ces deux representations Coq, nous pouvons enoncer et demontrer la correction de Simlight, en nous appuyant sur la semantique operationnelle definie dans CompCert. Cette methodologie a ete appliquee a au moins une instruction de chaque categorie du jeu d'instruction de l'ARM. Au passage, nous avons ameliore la technologie disponible en Coq pour effectuer des inversions, une forme de raisonnement utilisee intensivement dans ce type de situation.