Model Checking some basic aspects regarding LTL. DECS Workshop 31 st of January 2006

Transkript

1 Model Checking some basic aspects regarding LTL DECS Workshop 31 st of January 2006

2 0 - Näherung Eine Kuh ist in nullter Näherung eine Kugel mit ca 2m Durchmesser Department of Embedded Systems 2

3 0 Näherung: Überblick LTL sys spec (spec) (sys) x (spec) ( clue ) Sys: Einen Springbrunnen im Garten bauen Benötigte Werkzeuge u Material: Kelle, Schaufel, Bohrer u Mörtel, Sand, Kupferrohre usw. Spec: Wo will ich daß es rausplätschert (=Fontänenbedingung) zb aus d Statue, d Wand, über der Säule. Invertierung der Spec (=Nichtfontänenbed.; in SPIN Never Claim), dh: Kein Wasserstrahl aus Statue, Wand, Säule usw. > Realisierung mit Korkstoppeln Sys & Spec verknüpfen ( Produkt v Sys & inverser Spec): mit Korkstoppel Löcher verschließen Produktautomat testen = Wasser aufdrehen Alles trocken: Spec erfüllt! Spec nicht erfüllt: Fehler (=Wasserverlust woanders ) sofort ersichtlich Pfad zum Fehler auch sofort ersichtlich (Fontäne oder anderer Hinweis ) Department of Embedded Systems 3

4 1 - Näherung Eine Kuh ist in erster Näherung ein Organismus bestehend aus den Teilen: Kopf (mit Hörnern), Hals, Körper, Beinen, Euter und Schwanz. Diese Teile fügen sich zu Kuh zusammen wie auf dem Bild oben. Department of Embedded Systems 4

5 1 Näherung: Die benötigten Elemente Sys: Auf bestimmte Vorgänge beschränke Programmarten (Automata) bei denen Kontrollfluß im Vordergrund steht die nichtdeterministisch modelliert werden die in der Regel nicht terminieren Beispiele: Kommunikationsprotokolle, Kontroll- und Steuerungssysteme (Embedded Systems..) Spec: Spezifikation Anforderungen an unendliche Programmabläufe formuliert in temporaler Logik mit CTL = Computation Tree Logic (Clarke, Emerson 1982) LTL = Linear Temporal Logic (Pnuelli 1977) tataa! Department of Embedded Systems 5

6 1 Näherung: Endliche Transitionsgraphen Wenn Kontrollfluss im Vordergrund, dann häufig nur endlich viele Boolesche Variablen im Spiel Zustandsraum ist dann endlich und daher mit endlichem Transitionsgraphen darstellbar Transitionsgraphen sind Automata mit ganz bestimmten Eigenschaften bzw. Einschränkungen Nur diese speziellen Automata lassen sich für das symbolische Model Checking verwenden Department of Embedded Systems 6

7 1 Näherung: Die benötigten Elemente Wiederholung: Deterministischer endlicher Automat Zustandsgraph Automat A = (Q,Σ,q0,Δ,F) ( das ist ein 5-Tupel!) Q: (nichtleere) Menge der Zustände; Q = {q0, q1, q2, q3} Σ: Eingabeparameter; Σ = {a,b,c} ( wie ein kleines Alphabet - hint!) q0: Anfangszustand Δ: Menge der Übergänge δ: δ {Q x Q} (= merke: klein Delta geht von Kuh nach Kuh ) F: Endzustand (kann auch eine Menge von Endzuständen sein) hat einen Start und ein Ende Kann eine Eingabesequenz verarbeiten ; zb Folge < a, b, a, b, c > ( Hinweis: Diese Sequenz heißt später Wort α über dem Alphabet Σ ) Nimmt dabei die Zustände < q0, q1, q2, q1, q2, q3 > an Department of Embedded Systems 7

8 1 Näherung: Die benötigten Elemente Nichtdeterministischer endlicher Automat Zustandsgraph Automat A = (Q,Σ,q0,Δ,F) ( das ist ein 5-Tupel!) Kennen wir schon alles! Q: (nichtleere) Menge der Zustände; Q = {q0, q1, q2, q3} Σ: Eingabeparameter; Σ = {a,b,c} ( wie ein kleines Alphabet - hint!) q0: Anfangszustand Δ: Menge der Übergänge Q x Q F: Endzustand (kann auch eine Menge von Endzuständen sein) hat einen Start und ein Ende Kann eine Eingabesequenz verarbeiten ; zb Folge < a, b, a, b, c > ( Hinweis: Diese Sequenz heißt später Wort α über dem Alphabet Σ ) Nimmt dabei die Zustände < q0, q1, q2, q1, q2, q3 > an Department of Embedded Systems 8

9 1 Näherung: Die benötigten Elemente nichtdeterministischer Automat: Warum? Ein Beispiel: Alle Zeichenfolgen die einen Einser an der dritten Position haben (von rechts gesehen) Deterministischer Automat (konkrete Konstruktion): Hint: Alle Endzustände sind 2x eingekreist Nichtdeterministischer Automat (formal): Department of Embedded Systems 9

10 1 Näherung: Die benötigten Elemente Büchi Automat ω -run ω - Acceptance Department of Embedded Systems 10

11 1 Näherung: Die benötigten Elemente Büchi Automat - einfach Michls Klartext: Füttere den Büchi Automaten mit einem (unendlich langen) Wort bestehend aus Buchstaben Der Büchi Automat akzeptiert das Wort, wenn einer seiner Endzustände immer wieder erreicht wird und das unendlich oft. Nochmal: Füttere die Büchi Kuh mit (unendlich viel) Heu bestehend aus Gräsern Die Büchi Kuh akzeptiert das Heu, wenn sie immer wieder zb ein süßes Kleeblatt (=Buchstabe) auf der Zunge spürt (..dann erreicht das Heu in der Büchi Kuh einen Endzustand ) Frage: Wo hinkt dieser Vergleich? Department of Embedded Systems 11

12 1 Näherung: Die benötigten Elemente Büchi Automat - Beispiel q 0 q 1 q 2 α = q 0 q 1 q 2 q 2 q 2 q 2 q 2.Wort wird vom Büchi Automaten akzeptiert α = q 0 q 1 q 2 q 1 q 2 q 1 q 2.Wort wird vom Büchi Automaten akzeptiert α = q 0 q 1 q 2 q 1 q 1 q 1 q 1.Wort wird NICHT vom Büchi Automaten akzeptiert Department of Embedded Systems 12

13 1 Näherung: Die benötigten Elemente Kripke Struktur = Büchi Automat mit Beschriftung (=Beschriftungsfolge) Vektor P = p 1 p 2... p n-1 p n Department of Embedded Systems 13

14 1 Näherung: Die benötigten Elemente Kripke Struktur = Büchi Automat mit Beschriftung (=Beschriftungsfolge) Beschriftungsfolge: Department of Embedded Systems 14

15 1 Näherung: Die benötigten Elemente Kripke Struktur - Abwicklungsbaum Merke: Nur Kripkestukturen, die unendlich lange Abwicklungsbäume erzeugen, sind brave Kripkestrukturen! Department of Embedded Systems 15

16 1 Näherung: Die benötigten Elemente Bemerkung: Model Checking Symbolic Model Checking Explizite Darstellung des Tansitionsgraphen: zb 20 Prozesse mit jeweils 10 Zuständen ergibt ca Zustände Kompaktere Darstellung benötigt! Binäre Kodierung & Darstellung durch OBDDs OBDD: Ordered Binary Decision Diagram (Bryant 86) Boolesche Funktionen dargestellt durch azyklische Graphen. Jede Belegung der Variablen entspricht einem Pfad von der Wurzel zu einer mit 0 oder 1 beschrifteten Senke. Department of Embedded Systems 16

17 1 Näherung: Die benötigten Elemente Zusammenfassung: Die Büchi Kuh frißt nur spezielles Heu - und kaut es unendlich oft wieder Programm mit unendlich langer Laufdauer & endlich vielen Zuständen als endlicher Büchi Automat darstellbar Büchi Automat bekommt Label (= bei diesem Zustand gültiger Eingabebzw. Inputvektor) verpasst und heißt nun Kripke Struktur Kripke Strukturen dürfen nur unendlich lange Abwicklungsbäume haben Die Label sind die Buchstaben des Alphabets aus der Kripke Struktur Büchi Automat akzeptiert nur bestimmte, aber unendlich lange Worte = Abfolge von Buchstaben Büchi Automaten als Boolesche Ausdrücke darstellbar OBDDs helfen das Problem auf eine berechenbare Größe zu schrumpfen Department of Embedded Systems 17

18 1 Näherung: Die benötigten Elemente KP KKP KPP Department of Embedded Systems 18

19 Wiederholung - Was ist bis jetzt geschehen? Sys: Einen Springbrunnen im Garten bauen Benötigte Werkzeuge u Material: Kelle, Schaufel, Bohrer u Mörtel, Sand, Kupferrohre usw. Spec: Wo will ich daß es rausplätschert (=Fontänenbedingung) zb aus d Statue, d Wand, über der Säule. Invertierung der Spec (=Nichtfontänenbed.; in SPIN Never Claim), dh: Kein Wasserstrahl aus Statue, Wand, Säule usw. > Realisierung mit Korkstoppeln Sys & Spec verknüpfen ( Produkt v Sys & inverser Spec): mit Korkstoppel Löcher verschließen Produktautomat testen = Wasser aufdrehen Alles trocken: Spec erfüllt! Spec nicht erfüllt: Fehler (=Wasserverlust woanders ) sofort ersichtlich Pfad zum Fehler auch sofort ersichtlich (Fontäne oder anderer Hinweis ) Keine PANIK! - Der Rest geht viel, viel schneller...versprochen!! Department of Embedded Systems 19

20 1 Näherung: Die benötigten Elemente SPEC von 1 - Näherung Department of Embedded Systems 20

21 1 Näherung: Die benötigten Elemente LTL Einführung - Idee LTL: Linear time temporal logic - vorgeschlagen als Spezifikationssprache durch A. Pnueli Idee: Eine LTL-Formel beschreibt eine Eigenschaft unendlicher Pfade. Interpretation ist dann auch in Kripke-Struktur möglich: Die K.Struktur erfülle die LTL-Formel ϕ genau dann wenn alle (unendlichen) Pfade des Abwicklungsbaums erfüllen ϕ. Wir beziehen uns jetzt auf unendliche Pfade als Modelle von LTL- Formeln. Department of Embedded Systems 21

22 1 Näherung: Die benötigten Elemente Temporalquantoren - Der Wortschatz von LTL X f ( next time; SPIN: ): Im nächsten Zustand gilt Eigenschaft f F f ( in the Future, Finally; SPIN: <> ): In mindestens einem Zustand auf dem Pfad gilt Eigenschaft f ( dafür braucht man eben einen nichtdeterministischen Automaten..) G f ( Globally ; SPIN: [] ): In allen Zuständen auf dem Pfad gilt Eigenschaft f f U g ( Until ; SPIN: U (weak) oder U (strong)): Mindestens ein Zustand auf dem Pfad erfüllt g und alle vorherigen Zustände erfüllen f f R g ( Release): Umkehroperator von Until, dh Gültigkeiten von f und g sind vertauscht Department of Embedded Systems 22

23 1 Näherung: Die benötigten Elemente Was gibt es noch? (Der Wortschatz von LTL) Implikation (SPIN: -> ), und, oder (SPIN:, ) nicht (SPIN:! ) Department of Embedded Systems 23

24 1 Näherung: Die benötigten Elemente Beispielformeln Department of Embedded Systems 24

25 1 Näherung: Die benötigten Elemente Beispielautomaten für LTL - Formeln über p 1, p 2 GFp 1 ( immer wieder 1 ) Beispielwort: q0 1 q1 1 0 FGp1 ( schließlich nur noch 1 ) 0,1 Beispielwort: p1up2 Beispielwort: 1 Department of Embedded Systems 25

26 2 - Näherung Eine Kuh ist ein weibliches Säugetier (weibliches Hausrind), das Gras und Heu frißt (mit dem Maul, vorne am Kopf), das Futter verdaut, und, wenn es ein Muttertier ist, zum Teil in Milch umwandelt ( und diese über den Euter, unten, kurz vor den hinteren Beinen, zugängig macht zum Abrufen). Department of Embedded Systems 26

27 2 Näherung: Die Interaktionen 2 - Näherung: Spiel mit allen Karten Programm schreiben als Kripke Struktur (M,s) ( = Ich baue mir einen Springbrunnen ) LTL Formel formulieren ( = Wo soll es rausplätschern - Fontänenbedingung) LTL Formel invertieren ( Never Claim ) und in einen Büchi Automaten umwandeln (ist automatisierbar) ( = Korkstoppel zuschneiden ) Produktautomat von Kripke Struktur und Büchi Automat bilden ( = Korkstoppel in die Löcher ) Produktautomat testen auf Leerheit ( = Wasser aufdrehen ) Jubeln oder: Versuch das Gegenbeispiel anhand des Pfades zu verstehen ( = Dicht oder nicht dicht, das ist hier die Frage ) Department of Embedded Systems 27

28 2 Näherung: Die Interaktionen LTL Formel invertieren (= in Negationsnormalform bringen) ( = Korkstoppel zuschneiden Teil 1) Inversionsregeln Wichtige Äquivalenzumformungen Department of Embedded Systems 28

29 2 Näherung: Die Interaktionen Beispiel: Umwandlung von LTL Formel zu Büchi Automat ( = Korkstoppel zuschneiden Teil 2 - per Hand ) 1 0 true false & false true false true false true true false Department of Embedded Systems 29

30 2 Näherung: Die Interaktionen LTL Formel in einen Büchi Automaten umwandeln (ist automatisierbar) ( = Korkstoppel zuschneiden Teil 3) LTL in nichtdeterministischen Büchi Automaten umwandeln NBA in alternierenden Büchi Automaten (ABA) umwandeln ABA in Generalisierten Büchi Automaten (GBA) umwandeln GBA in Büchi Automaten umwandeln Department of Embedded Systems 30

31 2 Näherung: Die Interaktionen Wozu die große Umwandlungsorgie? Department of Embedded Systems 31

32 2 Näherung: Die Interaktionen In der Theorie - Falle Department of Embedded Systems 32

33 2 Näherung: Die Interaktionen Anmerkung Modul für SPIN mit alt. Büchi A. Department of Embedded Systems 33

34 Des Dramas letzter Teil Department of Embedded Systems 34

35 2 Näherung: Die Interaktionen MAN NEHME : Kochrezept zur Konstruktion eines schmackhaften Produktautomaten (in 4-5 Minuten) Voraussetzung: Kripke Struktur (M,s) und (aus LTL gewonnener) Büchi Automat A verwenden das gleiche Alphabet Produktautomat M x A ist ein Büchi Automat: Nun checke die BESCHRIFTUNG DES PFADES - diese wird als Buchstaben eines Wortes akzeptiert, und NICHT Ereignisse von außen! Beginne im Anfangszustand der Kripke Struktur und des Büchi Automaten. Der Büchi A. muß die Beschriftung der Kripke S. in diesem Zustand lesen Diese Beschriftung legt fest, welche Transitionen der BA machen darf. Dann gehe den in der KS erlaubten Pfad weiter Ab hier Wiederholung: Schau nach, welche Beschriftung der BA nun lesen darf und welche (neuen) Transitionen er machen darf usw. bis Du durch bist. Wichtiger Tip: Endzustände sind die (und nur die), wo der Büchi Automat (!) in einem Endzustand ist Department of Embedded Systems 35

36 Produktautomat - Beispiel Kripkestruktur Produktautomat (s 0, q 0 ) (s 2, q 0 ) (s 1, q 0 ) (s 1,q 1 ) (s 2,q 1 ) Büchiautomat (s 3, q 1 ) (s 3, q 2 ) Endzustände des BA Fall 1: s 0, s 2, s 1, s 2, s 1, q 0, q 0, q 0, q 1, q 1, Fall 2: s 3, s 3, s 3, s 3, q 2, q 2, q 2, q 2 akzeptierend nicht akzeptierend Department of Embedded Systems 36

37 2 Näherung: Die Interaktionen Woran man erkennt, daß der selbstgebastelte Produktautomat wasserdicht ist (in Technobrabbel: nur das Leere Wort akzeptiert ) Kochrezept 2: Schau nach, ob es vom Anfang (s 0,q 0 ) einen Pfad zu einem Endzustand q gibt. Also, ob man überhaupt hinkommen kann vom Anfang zum Zustand q Nein? - Gratuliere, dein Springbrunnen ist wasserdicht Ja? - Nicht verzweifeln, noch ist Hoffnung: Fall A: Der Endzustand ist trivial, d.h. der Beschriftungspfad enthält nur den Endzustand, unendlich oft.. Uff! Glück gehabt! Das Ding ist doch dicht geworden! Fall B: Der Endzustand wird immer wieder duchlaufen, der Beschriftungspfad durchläuft aber mehr als ein Element immer wieder - inklusive des Endzustandes Hier ist also Dein Springbrunnen wirklich undicht! Department of Embedded Systems 37

38 THE END (für heute ) Department of Embedded Systems 38