Ma quête d'une solution fondée sur des principes pour les défaillances métastables m'a ramené à l'auto-stabilisation. Un article récent a relié le problème à la composition de systèmes auto-stabilisants, mais la recherche documentaire n'a rien donné d'utile. La stabilisation en couches était déjà en place au début des années 2000, et rien de fondamental ne semble avoir été ajouté depuis.

J'ai attaqué le problème en utilisant un exemple concret : un modèle TLA+ de rely-guarantee d'une tempête de réessais comme deux composants avec des contrats. Ce modèle reproduit la défaillance métastable parce que la composition fonctionnait à partir de bons états mais échouait lorsqu'un grand choc supprimait le cas de base. En cherchant la composition rely-guarantee à partir de chaque état, j'ai trouvé un article de théorie du contrôle de 2017 par Kim, Arcak et Seshia, « A Small Gain Theorem for Parametric Assume-Guarantee Contracts ». Cet article fait à peu près ce que je veux : décharger le raisonnement circulaire entre deux composants sans couches ni blocage. Mais il a de sérieuses limites. Un composant est une relation entrée-sortie sur des signaux, et les contrats relient une borne d'entrée à une borne de sortie. Cette vision sans mémoire ne peut pas exprimer l'arriéré accumulé des tours précédents, ce qui exclut les files d'attente. Elle n'a pas non plus de lien avec la stabilisation.

Pourtant, certaines pièces valent la peine d'être volées vers une théorie compositionnelle de l'auto-stabilisation et de la métastabilité. Ci-dessous, j'essaie d'élaborer cela... avec un certain échec.

Dans notre modèle original, la garantie du réessayeur était conditionnelle : « si la file d'attente est en dessous de 6, je n'envoie aucun réessai ». La grande idée de l'article paramétrique hypothèse-garantie est d'écrire une famille de contrats couvrant partout. Constantes : S=3 capacité du serveur, A_max=2 arrivées nouvelles, T=2 délai d'attente, seuil de latence S·T=6. Cela donne λ(L) = ⌊(L-6)/2⌋. L'ancien contrat est la rangée du haut : λ(6)=0. Chaque rangée obtient une promesse, donc nous obtenons un ensemble de contrats ordinaires, un par niveau de gravité p : φ_a = ∨_p ψ_a(p); φ_g = ∧_p (ψ_a(p) ⇒ ψ_g(λ(p))). Le côté hypothèse est une disjonction car les niveaux sont des alternatives. Le côté garantie est une conjonction ; les obligations sont cumulatives. Les rangées dont la condition est fausse ne coûtent rien ; les niveaux imbriqués signifient que le plus strict l'emporte.

Entités clés : Personnes : Kim, Arcak, Seshia

FAQ : Quelle est la principale limite de l'article sur les contrats paramétriques hypothèse-garantie pour l'auto-stabilisation ?

L'article utilise une vision sans mémoire des composants, donc il ne peut pas exprimer l'arriéré accumulé des tours précédents, ce qui exclut les files d'attente. Il n'a pas non plus de lien avec le raisonnement de stabilisation ou de convergence.

FAQ Q : Quelle est la principale limite de l'article sur les contrats paramétriques hypothèse-garantie pour l'auto-stabilisation ?

FAQ A : L'article utilise une vision sans mémoire des composants, donc il ne peut pas exprimer l'arriéré accumulé des tours précédents, ce qui exclut les files d'attente. Il n'a pas non plus de lien avec le raisonnement de stabilisation ou de convergence.