Verlässliche Echtzeitsysteme

Transkript

1 Verlässliche Echzeisyseme Absrake Inerpreaion Gliederung Fabian Scheler Friedrich-Alexander-Universiä Erlangen-Nürnberg Lehrsuhl Informaik 4 (Vereile Syseme und Beriebssyseme) www4.informaik.uni-erlangen.de 25. April /40 Fragesellungen Gliederung Warum is es so schwierig Korrekheisaussagen zu formulieren? auch wenn nur eine besimmen Programmeigenschaf relevan is Wie hilf uns Absrake Inerpreaion bei diesem Problem? Was sind die mahemaischen Grundlagen absraker Inerpreaion? eine informelle Sichweise auf die Zusammenhänge Ziel: grobes Versändnis absraker Inerpreaion enwickeln! 3/40 4/40

2 Sag mir, wie häls du es mi den Defeken? Die Grechenfrage der Sofwareenwicklung... 1 unsigned in average ( unsigned in * array, 2 unsigned in size ) 3 { 4 unsigned in emp = 0; 5 6 for ( unsigned in i = 0; i < size ; i ++) { 7 emp += array [ i]; 8 } 9 10 reurn emp / size ; 11 } Wo könne es hier klemmen? Is der Zugriff auf Feld array in Zeile 7 korrek? Kann die Addiion in Zeile 7 überlaufen? Kann in Zeile 10 eine Division durch 0 aufreen? Warum is das so schwer zu beanworen? Es gib alleine 2 32 verschiedene Größen für das Feld array In jedem Elemen des Felds können 2 32 verschiedene Were sehen viel zu viel für eine konkree Berachung Konkree Programmsemanik Eine informelle Einführung in die Prinzipien absraker Inerpreaion [1] die konkree Semanik (engl. concree semanics) beschreib alle möglichen Ausführungen eines Programms uner allen möglichen Ausführungsbedingungen sie beschreib ein unendliches mahemaisches Objek im Allgemeinen nich berechenbar durch einen Algorihmus alle nich-rivialen Fragesellungen sind nich enscheidbar mögliche Abläufe 5/40 6/40 Sicherheiseigenschaf Absrake Inerpreaion Verboene Zone mögliche Abläufe Verboene Zone mögliche Abläufe Sicherheiseigenschafen (engl. safey properies) sellen sicher, dass keine fehlerhafen Zusände eingenommen werden ein Sicherheisnachweis (engl. safey proof) garanier, dass die konkree Semanik nie eine verboene Zone durchläuf das is ein unenscheidbares Problem die konkree Programmsemanik is nich berechenbar Absrake Inerpreaion (engl. absrac inerpreaion) berache eine absrake Semanik (engl. absrac semanics) sie umfass also alle Fälle der konkreen Programmsemanik is die absrake Semanik sicher konkree Semanik is sicher 7/40 8/40

3 Vergleich: Tesen Verboene Zone Fehler! Tesen berache nur eine Teilmenge aller möglichen Ausführungen gu geeigne, um die Exisenz von Defeken zu zeigen ungeeigne, um ihre Abwesenhei zu zeigen evl. ha man die fehlerhafe Ausführung einfach nich geese Problem: unzureichende Abdeckung der konkreen Semanik mögliche Abläufe Formale Mehoden sind absrake Inerpreaionen Die absrake Semanik wird aber auf unerschiedliche Weise besimm Model Checking absrake Semanik wird explizi vom Nuzer angegeben endliche Beschreibung der konkreen Programmsemanik z.b. endliche Auomaen, Aussagen- oder Prädikaenlogik auomaische Ableiung durch saische Analyse Dedukive Mehoden absrake Semanik wird durch Nachbedingungen beschrieben Nuzer gib sie durch indukive Argumene an z.b. Vorbedingungen und Invarianen auomaische Ableiung durch saische Analyse Saische Analyse absrake Semanik wird ausgehend vom Quellex besimm Abbildung auf vorab besimme, wohldefiniere Absrakionen Anpassungen (auomaisch/durch den Nuzer) sind möglich 9/40 10/40 Eigenschafen absraker Semaniken Gliederung Vollsändigkei und Korrekhei keine poenieller Defek darf übersehen werden nur so kann die Abwesenhei von Defeken gezeig werden ansonsen wäre gegenüber reinem Tesen nichs gewonnen Präzision weigehende Vermeidung von Fehlalarme (engl. false alarms) synonyme englische Bezeichnung: false posiives ermöglich ers eine vollkommen auomaisiere Anwendung geringe Komplexiä Berechnung der absraken Semanik in akzepabler Laufzei Vermeidung der kombinaorischen Explosion des Zusandsraums 11/40 12/40

4 Transiionssyseme Definiion: Transiionssysem Ein Transiionssysem is ein Quadrupel (S, I, F, ) S is eine Menge von Zusänden I S is eine nich-leere Menge von Sarzusänden F S is eine opionale Menge von Endzusänden S S is die Übergangsrelaion Beispiel: euklidischer Algorihmus [2, Woche 1] S = N N I = {(x, y) x, y N} F = {(n, n) n N} Übergangsrelaion : { (n, m) (n m, m) ; n > m : (n, m) (n, m n) ; m > n Pfadsemanik berache durch ein Transiionssysem beschriebene Programmpfade Ausgehend von ausgezeichneen Sarzusänden, beschreiben sie eine (unendliche) Abfolge von Programmzusänden, deren Reihenfolge durch die Übergangsrelaion besimm wird. die Gesamhei dieser Programmpfade heiß Pfadsemanik Wie die konkree Programmsemanik is sie nich berechenbar. Redukion der Komplexiä durch Absrakion unendliche Pfade (endliche) Pfadpräfixe Unerscheidung einzelner Zusände Sammelsemanik mögliche Abläufe 13/40 14/40 Pfadpräfixe Pfadpräfixe und Fixpunke endliche Präfixe unendlicher Pfad endlicher Pfad Pfadsemaniken enhalen alle endlichen und unendlichen Pfade Pfadpräfixe enhalen nur die Anfänge dieser Pfade das is eine verlusbehafee Absrakion Beispiel: berache Wore der Sprache a n b Frage: Gib es Wore mi unendlich vielen aufeinanderfolgenden a? Pfadsemanik: {a n b n 0} Nein Pfadpräfixe: {a n n 0} {a n b n 0}??? Menge der Präfixe is rekursiv: Präfixe = {x x I } {x 1 x 2 x 3 x 1 x 2 Präfixe x 2 x 3 } zu lösen is die Fixpunkieraion Präfixe = F (Präfixe) üblicherweise besiz diese Gleichung mehrere Lösungen ordne die Lösungen nach der Teilmengenbeziehung wähle die kleinse Teilmenge als Lösung leas fixpoin prefix race semanics Vereinfachungen ermöglichen effekive, ieraive Analysealgorihmen Vereinfachung im Sinne von Absrakion bzw. Approximaion 15/40 16/40

5 Sammelsemanik (engl. collecing semanics) Inervallabsrakion Als Approximaion der Sammelsemanik Pfadsemanik Sammelsemanik sammel die Zusände aller Pfade zu einem besimmen Zeipunk aufgrund der Größe, wird sie i. d. R. approximier das is eine verlusbehafee Absrakion Beispiel: Exisier der roe Pfad? Pfadsemanik Nein Pfadpräfixe??? Der Laufzeigewinn wird durch Unschärfe erkauf! das Ergebnis Weiß nich... is ypisch für solche Mehoden und die Ursache vieler Vorbehale... die Sammelsemanik verwale Zusandsmengen die Inervallabsrakion nur ihre oberen und uneren Schranken die zu verwalenden Daen werden dadurch berächliche reduzier allerdings wird auch die Präzision reduzier besimme Zusände im appromixieren Zusandsraum werden nich erreich 17/40 18/40 Beispiel: Inervallabsrakion für ein C-Programm 1 unsigned shor x = 1; 2 3 while ( x < 10000) { 4 x = x + 1; 5 } 6 7 reurn x; Die Inervallabsrakion liefer: Zeile 4 x 4 = (x 1 x 5 ) [, 9999] Zeile 5 x 5 = x 4 [1, 1] Zeile 7 x 7 = (x 1 x 5 ) [10000, ] die Inervallabsrakion is eine manuell vorgegebene, absrake Inerpreaion der Semanik der Programmiersprache C C-Programme werden dann auomaisier darauf abgebilde z. B. durch einen Übersezer oder ein saisches Analysewerkzeug nur Elemene, die den Werebereich von x bereffen, sind relevan dies is bereis eine sarke Vereinfachung angenommen x wäre eingangs nich bekann es gäbe verschiedene Pfade durch den Zusandsraum nehme eine Schleifenobergrenze unsigned shor y sa an es gäbe (2 16 ) 2 verschiedene Pfade durch den Zusandsraum Beispiel: Inervallabsrakion (Fors.) 1 unsigned shor x = 1; 2 3 while ( x < 10000) { 4 x = x + 1; 5 } 6 7 reurn x; Die Inervallabsrakion liefer: Zeile 4 x 4 = (x 1 x 5 ) [, 9999] Zeile 5 x 5 = x 4 [1, 1] Zeile 7 x 7 = (x 1 x 5 ) [10000, ] Approximaion durch chaoische Ieraion (engl. chaoic ieraion) Ieraion 1: Zeile 4 x 4 = [1, 1] Zeile 5 x 5 = [2, 2] Zeile 7 x 7 = Ieraion 2: Zeile 4 x 4 = [1, 2] Zeile 5 x 5 = [2, 3] Zeile 7 x 7 = 19/40 20/40

6 Beispiel: Inervallabsrakion (Fors.) Gliederung 1 unsigned shor x = 1; 2 3 while ( x < 10000) { 4 x = x + 1; 5 } 6 7 reurn x; Die Inervallabsrakion liefer: Zeile 4 x 4 = (x 1 x 5 ) [, 9999] Zeile 5 x 5 = x 4 [1, 1] Zeile 7 x 7 = (x 1 x 5 ) [10000, ] Approximaion durch chaoische Ieraion (engl. chaoic ieraion) Ieraion 3: Zeile 4 x 4 = [1, 3] Zeile 5 x 5 = [2, 4] Zeile 7 x 7 = viele, viele Ieraionen späer: Zeile 4 x 4 = [1, 9999] Zeile 5 x 5 = [2, 10000] Zeile 7 x 7 = [10000, 10000] 21/40 22/40 Warum funkionier das eigenlich...? Pariell geordnee Mengen Wann is eine Absrakion korrek? Wenn sie durch eine Galoisverbindung beschrieben wird! Fixpunke... wer sag, dass die Ieraion überhaup konvergier? Aufseigende Keenbedingung! Das waren ziemlich viele Ieraionen... geh das auch schneller? Die Verwendung von Widening- und Narrowing-Operaoren hilf! Jez: Grundlegende mahemaische Zusammenhänge erfassen! Was is das und was ha es mi absraker Inerpreaion zu un? Nich: Warum is das korrek? keine Beweisführung... Pariell geordnee Mengen (engl. parially ordered ses) Eine pariell geordnee Menge is ein Tupel (S, ): S is eine Menge, S S is eine Ordnungsrelaion mi folgenden Eigenschafen: reflexiv x S : x x anisymmerisch x, y S : x y y x x = y ransiiv x, y, z S : x y y z x z Beispiele: (N, ) is ein pariell geordnee Menge (P(S), ) is ein pariell geordnee Menge 23/40 24/40

7 Obere und unere Schranken Sei (S, ) eine pariell geordnee Menge Obere Schranke (engl. upper bound) x S eine obere Schranke von P S y P : y x analog: unere Schranke (engl. lower bound) Kleinse obere Schranke (engl. leas upper bound) x S is eine kleinse obere Schranke von P S x is eine obere Schranke von P und x is kleiner als alle oberen Schranken von P: y S : ( z P : z y) x y analog: größe unere Schranke (engl. greaes lower bound) Vollsändige parielle Ordnungen ω-kee Sei (S, ) ein pariell geordnee Menge. Eine ω-kee einer pariell geordneen Menge is eine aufseigende Kee aus Elemenen x 0, x 1, x 2,... S für die gil: x 0 x 1 x 2 x i Eine pariell geordnee Menge erfüll die Aufseigende Keenbedingung, wenn jede aufseigende ω-kee endlich is. Vollsändige parielle Ordnung Sei (S, ) ein pariell geordnee Menge. Lieg für jede ω-kee die kleinse obere Schranke der Menge {x i i ω} in S, so heiß (S, ) vollsändige parielle Ordnung. 25/40 26/40 Verbände Vollsändiger Verband (engl. complee laice) Ein vollsändiger Verband is eine pariell geordnee Menge (S,,,,, ) mi folgenden Eigenschafen: (S, ) is eine pariell geordnee Menge für jede Teilmenge P S exisier eine eine kleinse obere Schranke P und eine größe unere Schranke P = S heiß Infimum von S = S heiß Supremum von S Beispiele: (P(S),,, S,, ) is ein vollsändiger Verband (Z {, + },,, +, max, min) is ein vollsändiger Verband die Menge der ganzen Zahlen erweier um und + Galoisverbindungen (a) c α(c) α (C, ) (A, ) Galoisverbindung (engl. galois connecion) Eine Galoisverbindung (C, ) (A, ) is ein Paar (α, ) von Abbildungen α : C A, : A C zwischen zwei pariell geordneen Mengen (C, ) und (A, ): α und sind monoon c, c C : c c α(c) α(c ) a, a A : a a (a) (a ) α is inensiv (verkleinernd): a A : α((a)) a α is exensiv (erweiernd): c C : c (α(c)) α a 27/40 28/40

8 Absrakion durch Galoisverbindungen konkree Objeke (a) Konkreisierung c α(c) α (C, ) Absrakion (A, ) a absrake Domäne wähle eine absrake Domäne (engl. absrac domain) ersez die Menge konkreer Objeke S auf ihre Absrakion α(s) verschiedene Domänen unerscheiden sich hinsichlich ihrer Präzision Vorzeichen, Inervalle, Okagon, Polyhedra,... Absrakionsfunkion α (engl. absracion funcion) bilde die Menge konkree Objeke auf ihre absrake Inerpreaion ab Konkreisierungsfunkion (engl. concreizaion funcion) bilde die Menge absraker Objeke auf konkree Objeke ab Absrake Inerpreaion häufig verwende man Galoiseinbeungen diese sind Galoisverbindungen (C, ) α (A, ) mi der Eigenschaf α((a)) = a Konkreisierung gefolg von Absrakion implizier keinen Präzisionsverlus nun benöig man noch lokal konsisene Funkionen Lokal konsisene Funkionen Sei (C, ) (A, ) eine Galoiseinbeung. Zwei Funkionen f : C C und f : A A heißen lokal konsisen, falls gil: α c C : f (c) (f (α(c))) sa die konkree Funkion f (c) zu berechnen kann man sie annähern, indem man die absrake Funkion f auf die Absrakion α(c) anwende und das Ergebnis f (α(c)) wieder konkreisier 29/40 30/40 Absrake Inerpreaion (Fors.) Absrake Inerpreaion Eine Absrakion Inerpreaion beseh aus einer Galoiseinbeung (C, ) α (A, ) und zwei lokal konsisenen Funkionen f : C C f : A A Approximaion von f durch die absrake Funkion f... da war noch was... Fixpunke! auch hierfür kann man auf absrake Funkion zurückgreifen kleinser Fixpunk (engl. leas fixpoin, lfp): lfp(f ) (lfp(f )) größer Fixpunk (engl. greaes fixpoin, gfp): gfp(f ) (gfp(f )) besimme den Fixpunk der absraken Funkion und konkreisiere ihn... erminier das? Terminierung der Fixpunkieraion Möglichkei 1: aufseigende Keenbedingung is erfüll aufseigende Keen sind endlich Fixpunkieraion erminier Möglichkei 2: aufseigende Keenbedingung is nich erfüll Terminierung kann durch einen Widening-Operaor erzwungen werden Widening-Operaor Sei V ein Verband, ein Widening-Operaor : V V V is eine Abbildung für die gil: x, y V : x x y y x y sicher Abschäzung der Elemene x und y nach oben durch x y ermöglich auch eine Beschleunigung der Fixpunkieraion Widening-Operaor Besimmung der kleinsen oberen Schranke in vollsändigen Verbänden mi aufseigender Keenbedingung 31/40 32/40

9 Beispiel: Inervallabsrakion [2, Woche 5] Beispiel: Inervallabsrakion (Fors.) Approximaion der Poenzmenge über ganzen Zahlen P(Z) I = {[x, y] x Z { } y Z {+ } x y} die Galoiseinbeung (P(Z), ) α (I, ) is gegeben durch die Konkreisierungsfunkion { : [a, b] {n Z a n b} die Absrakionsfunkion α { α : S [min S, max S] Absrakion besimme die Randpunke des Inervalls Konkreisierung besimme den Inhal des Inervalls kleinse obere Schranke X = X Y = Y [a, b] [c, d] = [min(a, c), max(b, d)] größe unere Schranke X = Y = { [max(a, c), min(b, d)]; max(a, c) max(b, d) [a, b] [c, d] = ; sons 33/40 34/40 Beispiel: Inervallabsrakion (Fors.) Addiion von Inervallen Widening-Operaor Narrowing-Operaor X + = + X = [a, b] + [c, d] = [a + c, b + d] X = X X = X [{ { ] ; c < a + ; d < b [a, b] [c, d] = a; c a, b; d b X = X X = X [{ { ] c; a = d; b = + [a, b] [c, d] =, a; sons b; sons Beispiel: Inervallabsrakion nun mi Widening 1 unsigned shor x = 1; 2 3 while ( x < 10000) { 4 x = x + 1; 5 } 6 7 reurn x; Die Inervallabsrakion liefer: Zeile 4 x 4 = (x 1 x 5 ) [, 9999] Zeile 5 x 5 = x 4 [1, 1] Zeile 7 x 7 = (x 1 x 5 ) [10000, ] Approximaion mi Hilfe des Widening-Operaors Ieraion 1: Zeile 4 x 4 = [1, 1] Zeile 5 x 5 = [2, 2] Zeile 7 x 7 = Ieraion 2: Zeile 4 x 4 = [1, + ] Zeile 5 x 5 = [2, + ] Zeile 7 x 7 = 35/40 36/40

10 Beispiel: Inervallabsrakion nun mi Widening Gliederung 1 unsigned shor x = 1; 2 3 while ( x < 10000) { 4 x = x + 1; 5 } 6 7 reurn x; Die Inervallabsrakion liefer: Zeile 4 x 4 = (x 1 x 5 ) [, 9999] Zeile 5 x 5 = x 4 [1, 1] Zeile 7 x 7 = (x 1 x 5 ) [10000, ] Approximaion mi Hilfe des Widening-Operaors Ieraion 3: Zeile 4 x 4 = [1, 9999] Zeile 5 x 5 = [2, 10000] Zeile 7 x 7 = [10000, 10000] Konvergenz in der 3. Ieraion! 37/40 38/40 Zusammenfassung Konkree Programmsemanik is nich berechenbar Approximaion durch eine absrake Semanik Korrekhei der Approximaion is enscheidend nur so kann man einen Sicherheisnachweis führen die Approximaion muss präzise sein nur so kann man Fehlalarme vermeiden die Approximaion darf nich zu komplex sein nur so kann sie effizien berechne werden Transiionssysem beschreiben Programme Pfadsemaniken beschreiben die konkree Programmsemanik Approximaion durch Pfadpräfixe und Sammelsemanik absrake Inerpreaion approximier die Sammelsemanik Mahemaische Grundlagen absraker Inerpreaion (vollsändig) pariell geordnee Mengen, Verbände Galoiseinbeungen, lokale konsisene Funkionen, Widening Inervallabsrakion 39/40 Lieraurverzeichnis [1] Couso, P. : Absrac Inerpreaion. hp://web.mi.edu/16.399/www/, 2005 [2] Midgaard, J. : Absrac Inerpreaion. hp:// Bibliographie 40/40