Vérification automatique de programmes Ada effectuant des calculs en virgule flottante

In critical software systems like the ones related to transport and defense, it is common toperform numerical computations implemented using floating-point arithmetic. Safety conditions for suchsystems typically require strong guarantees on the functional behavior of the performed computations.Automatically verifying that these guarantees are fulfilled is thus desirable.Deductive program verification is a promising approach for verifying that a given code fulfills a functionalspecification, with a very high level of confidence. Yet, formally proving correct a program performingfloating-point computations remains a challenge, because floating-point arithmetic is not easily handled byautomated theorem provers.We address this challenge by combining multiple techniques to separately prove parts of the desired proper-ties. On the one hand, abstract interpretation computes numerical bounds for expressions that appear eitherin the original program, or in the ghost code added to instrument the program. On the other hand, we gen-erate verification conditions for different automated provers, relying on different strategies for representingfloating-point computations. Among these strategies, we try to exploit the native support for floating-pointarithmetic recently added in the SMT-LIB standard.Our approach is partly implemented in the Why3 environment for deductive program verification, and partlyimplemented in its front-end environment SPARK for the development of safety-critical Ada programs. Wereport on several examples and case studies used to validate our approach experimentally.Dans les logiciels critiques comme ceux liés aux transports et à la défense, il est courant d’effectuer des calculs numériques implémentés à l’aide de l’arithmétique à virgule flottante. Les exigences de sûreté de ces systèmes requièrent généralement des garanties fortes sur le comportement fonctionneldes calculs ainsi exécutés. Vérifier automatiquement que ces garanties sont remplies est donc souhaitable.La vérification déductive des programmes est une approche prometteuse pour vérifier formellementqu’un code donné satisfait une spécification fonctionnelle, avec un haut niveau de confiance. Néanmoins, prouver formellement qu’un programme qui effectue des calculs en virgule flottante est correct reste un défi, car l’arithmétique à virgule flottante n’est pas facilement traitée par les prouveurs automatiques.Nous abordons ce défi en combinant plusieurs techniques pour prouver séparément chaque partie despropriétés souhaitées. D’une part, l’interprétation abstraite calcule les bornes numériques pour les expressions qui apparaissent dans le programme d’origine, ou dans le code fantôme ajouté pour instrumenter le code. D’autre part, nous générons des obligations de preuve pour plusieurs prouveurs automatiques différents, s’appuyant sur différentes représentations des calculs en virgule flottante. En particulier, nous exploitons le support natif de l’arithmétique en virgule flottante récemment apparue dans le standard SMT-LIB.Notre approche est mise en oeuvre en partie dans la boîte à outils générique Why3 pour la vérificationdéductive, et en partie dans l’environnement SPARK pour le développement de programmes Ada critiques. Nous présentons des exemples et études de cas qui ont été utilisées pour valider notre approche expérimentalement