Formale Techniken in der Software-Entwicklung: Reaktive Systeme

Transkript

1 Formle Techniken in der Softwre-Entwicklung: Rektive Systeme Christin Prehofer LMU München uf Bsis von Mterilien von Mrtin Wirsing SS 2012 C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 1

2 Rektive Systeme Informtionsverrbeitung ls Rektion uf Umgebungs-Eingben Betriebssysteme Kommuniktionsprotokolle Steuergeräte Mobilfunkgeräte Verkufsutomten... Eigenschften Interktion nebenläufiger, kommunizierender Prozesse Nichtdeterminismus Nichtterminierung C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 2

3 Nebenläufigkeit Sequentielle Progrmmierung Denottionelle Semntik: prtielle Funktionen von Zuständen nch Zuständen Termintion erwünscht deterministisch Prllele, interktive, rektive Progrmmierung Denottionelle Semntik: Ereignisstrukturen, Potenzbereiche, Trnsitionssysteme Nichttermintion evtl. erwünscht nichtdeterministisch C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 3

4 Formle Methoden für rektive Systeme Verhlten nebenläufiger und rektiver Systeme oft schwer zu verstehen mthemtische Modelle zur formlen Beschreibung und Anlyse formle Sprchen zur Spezifiktion des Verhltens nebenläufiger und rektiver Systeme Verifiktions- und Implementierungstechniken Abstrktion Kompositionlität C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 4

5 Überblick Modelle Trnsitionssysteme Spezifiktion Nebenläufige Termersetzungssysteme (Rewriting Logic) Prozesslgebren Temporle Logik Verifiktion und Verfeinerung Model checking Temporl Logic of Actions (TLA) C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 5

6 Litertur Edmund M. Clrke, Jr., Orn Grumberg, Doron A. Peled. Model Checking. MIT Press, Gerrd J. Holzmnn. Design nd Vlidtion of Computer Protocols. Prentice Hll, Fred Kröger, Stephn Merz. Temporl Logic nd Stte Systems. Springer, Leslie Lmport. Specifying Systems. Addison-Wesley, Nrciso Mrtí-Oliet, José Meseguer. Rewriting Logic s Logicl nd Semntic Frmework. In: Dov M. Gbby, Frnz Guenthner (Hgg.), Hndbook of Philosophicl Logic, Vol. 9, Kluwer, 2002, S Robin Milner. Communiction nd Concurrency. Prentice Hll, Robin Milner. Communicting nd Mobile Systems: The π-clculus. Cmbridge University Press, Klus Schneider. Verifiction of Rective Systems. Springer, Jose Meseguer: Progrm Verifiction. Vorlesung, University of Illinois t Urbn-Chmpign, Rocco De Nicol: Process Algebrs nd Concurrent Systems. Vorlesung, Universitá di Firenze, Mrtin Wirsing. Modellierung, Spezifiktion und Verifiktion rektiver Systeme. Vorlesung, Ludwig-Mximilins-Universität München, Sommersemester Alexnder Knpp. Modellierung, Spezifiktion und Verifiktion rektiver Systeme. Vorlesung, Universität Augsburg, Sommersemester C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 6

7 Trnsitionssysteme (1) (Mrkiertes) Trnsitionssystem (LTS) Γ = (A, S, δ, I) Aktionsmenge A Zustndsmenge S Zustndsübergngsreltion δ S A S Anfngszustndsmenge I S totl s S. A, s S. (s,, s ) δ (Unendlicher) Abluf von Γ s s1 3 s2... s 0 I (s i, i, s i+1 ) δ für lle i 0 Endlicher Abluf von Γ s n 1 s1... s n Anfngsstück (Präfix) eines (unendlichen) Ablufs C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 7

8 Trnsitionssysteme (2) Trnsitionssysteme ähnlich zu endlichen Automten, ber keine Endzustände Definitionen in der Litertur uneinheitlich ein Anfngszustnd s 0 S, sttt Anfngszustndsmenge Totlität von δ nicht gefordert, gelegentlich uch endliche Abläufe erlubt explizite Stotterktion τ mit (s, τ, s ) δ s = s Aktionsmenge oft implizit Zustndsmenge knn unendlich (uch überbzählbr) sein Zustndsmenge oft gegeben durch Belegungen von Zustndsvriblen (evt. eingeschränkt durch Zustndsinvrinte) Zustndsübergänge durch tomre Aktionen ohne zeitliche Duer C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 8

9 Trnsitionssysteme: Beispiel (1) Getränkeutomt 0 1Euro 2Euro 1 2 coffee te coffee te output output output output 7 return C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 9

10 Trnsitionssysteme: Beispiel (2) Stoppuhr Progrmme ls Trnsitionssysteme vr x, y : int = 0, 0 cobegin α : while y = 0 do β : x x + 1 od γ : y 1 coend Zustände Belegung der Progrmmvriblen progrm counter Aktionen Progrmmnweisungen α, β, γ Stotterktion τ (m Progrmmende) C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 10

11 Trnsitionssysteme: Beispiel (2b) vr x, y : int = 0, 0 cobegin α : while y = 0 do β : x x + 1 od γ : y 1 coend Mögliche Abläufe Aktion α β α β α γ β α τ... x y Aktion α β α β α β α β α... x y C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 11

12 Trnsitionssysteme: Beispiel (3) Signlsteuerung onbridge signle tsignl signlw enroute Zustände us Informtion über Signlstellung Position, Geschwindigkeit und Beschleunigung der Züge Zustndsübergänge Erfssen neuer Zugdten durch Sensoren Schlten der Signle C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 12

13 Trnsitionssysteme: Beispiel (3b) Abstrktere Modellierung zur Beschränkung des Zustndsrums Einführung von Nichtdeterminismus Für jeden Zug (trinw, trine) Trnsitionssystem sty [signl = red] sty move enroute tsignl move onbridge move [signl = green] sty C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 13

14 Trnsitionssysteme: Beispiel (3c) Kombintorische Signlsteuerung trinw trine signlw signle enroute tsignl red green tsignl enroute green red tsignl tsignl?? sonst red red Lösungsmöglichkeiten für Konfliktfll Priorität für trinw trinw trine signlw signle tsignl tsignl green red Nichtdeterministische Auswhl trinw trine signlw signle tsignl tsignl red green umgekehrt C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 14

15 Firness Im Trnsitionssystem oft unfire Abläufe, die im modellierten System nicht vorkommen Prllelität ls Nichtdeterminismus Stoppuhr : Aktion γ wird nie usgeführt. Abstrktion führt zu Nichtdeterminismus Signlsteuerung : Zug bleibt immer uf Brücke. Ausschluß unfirer Abläufe durch Firnessbedingungen Stoppuhr : Ein Prozess, der (b einem gewissen Zeitpunkt) ständig usführbereit ist, führt irgendwnn eine Aktion us. Signlsteuerung : Enthält ein Abluf unendlich viele Bewegungen eines Zugs usgehend von onbridge, so befindet sich der Zug unendlich oft nicht in onbridge. C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 15

16 Schwche und strke Firness Aktion usführbr in Zustnd s, flls (s,, s ) δ für ein s S Schwche Firness (wek firness, justice) Abluf s s1 3 s2... schwch fir bzgl. Aktion : existiert n N, sodß in llen s m mit m n usführbr, dnn i = für unendliche viele i N Strke Firness (strong firness, compssion) Abluf s s1 3 s2... strk fir bzgl. Aktion : existieren unendliche viele m N, sodß in s m usführbr, dnn i = für unendliche viele i N Strke Firness impliziert schwche Firness C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 16

17 Fire Trnsitionssysteme Trnsitionssystem mit Firness (FLTS) Γ f = (Γ, J, C) Trnsitionssystem Γ = (A, S, δ, I) Aktionsmenge für schwche Firness J A Aktionsmenge für strke Firness C A Abluf von Γ f s s1 3 s2... Abluf von Γ schwch fir für lle J strk fir für lle C C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 17

18 Fire Trnsitionssysteme: Beispiel Stoppuhr Schwche Firness für γ Signlsteuerung Strke Firness für move Whl geeigneter Firnessbedingungen häufig schwierigster Teil der Modellierung C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 18

19 Implementierung schwcher Firness Round-robin-Verfhren Stz Sei Γ f = (Γ, {j 0,..., j m 1 }, ) ein FLTS mit Γ = (A, S, δ, I). Sei s 0 n s n ein endlicher Abluf von Γ und ρ = s 0, 0, s 1, 1,..., n 1, s n, n... eine Folge mit {s i i N} S und { i i N} A. Dnn ist ρ ein Abluf von Γ f, flls für lle k n gilt: 1. k = j k mod m, flls j k mod m in s k usführbr ist; 2. (s k, k, s k+1 ) δ. C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 19

20 Implementierung strker Firness Dynmic priorities-verfhren Stz Sei Γ f = (Γ,, {c 0,..., c m 1 }) ein FLTS mit Γ = (A, S, δ, I). Sei s 0 n s n ein endlicher Abluf von Γ und ρ = s 0, 0, s 1, 1,..., n 1, s n, n,... eine Folge mit {s i i N} S und { i i N} A. Dnn ist ρ ein Abluf von Γ f, flls eine Folge π n, π n+1,... von Permuttionen von M = {0,..., m 1} existiert, sodß für lle k n gilt: 1. flls i M existiert, sodß c i in s k usführbr, dnn ist mit l M miniml, sodß c πk (l) usführbr in s k, π k (i), flls i < l k = c πk (l), i M. π k+1 (i) = π k (i + 1), flls l i < m 1 ; π k (l), flls i = m 1 2. flls kein i M existiert, sodß c i in s k usführbr, dnn ist k A und π k+1 = π k ; 3. (s i, i, s i+1 ) δ. C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 20

21 Implementierung von Firnessbedingungen Γ f = (Γ, J, C) Ist Γ usführbr (Übergngsreltion berechenbr), so lssen sich fire Abläufe von Γ f systemtisch erzeugen. Scheduler knn zu beliebigem Zeitpunkt gestrtet werden. Mn erhält i. A. nicht lle firen Abläufe von Γ f. überbzählbr viele fire Abläufe uch für endliches Γ Prioritätsbsierter Scheduler für Γ f mit J und C einsetzbr C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 21

22 Eigenschften (1) Anlyse von Trnsitionssystemen Abläufe Die Züge können zu keinem Zeitpunkt beide in onbridge sein. Ein Zug in tsignl wird zu einem späteren Zeitpunkt in onbridge sein. Jede empfngene Nchricht wurde zuvor vom Sender verschickt. Die Reihenfolge der empfngenen Nchrichten entspricht der Reihenfolge beim Senden. Jede gesendete Nchricht trifft irgendwnn beim Empfänger ein. Verzweigungsstruktur Aktionen 1 und 2 sind unbhängig. Von jedem Zustnd us knn ein Anfngszustnd erreicht werden. C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 22

23 Eigenschften (2) LTS Γ = (A, S, δ, I) Γ, Γ ω (endliche) Abläufe von Γ ebenso für fire Trnsitionssystem LTS-Signtur Σ = (A, S) Σ, Σ ω (endliche) Abläufe von (A, S, S A S, S) Σ-Eigenschft Teilmenge von Σ ω Beispiele Menge der Abläufe eines Trnsitionssystems Menge der Abläufe, die strk fir sind bzgl. Aktion Stoppuhr : Menge ller Abläufe s s1..., sodß sn (y) = 1 für ein n N C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 23

24 Sicherheits- und Lebendigkeitseigenschften (1) Sicherheitseigenschft something bd never hppens Die Züge können zu keinem Zeitpunkt beide in onbridge sein. Die Reihenfolge der empfngenen Nchrichten entspricht der Reihenfolge beim Senden. Lebendigkeitseigenschft something good eventully hppens Ein Zug in tsignl wird zu einem späteren Zeitpunkt in onbridge sein. Jede gesendete Nchricht trifft irgendwnn beim Empfänger ein. Informelle Chrkterisierung: Lmport 1977 C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 24

25 Sicherheits- und Lebendigkeitseigenschften (2) Formle Chrkterisierung: Alpern, Schneider 1985 P Σ ω Σ-Sicherheitseigenschft Für lle ρ = s s1... Σ ω gilt ρ P genu dnn, wenn es für jeden Präfix s 0 n s n von ρ ein σ = s 0 n s n n s n+1 n+1 s n+2 n+2... Σ ω mit σ P gibt. ρ / P genu dnn, wenn es einen endlichen Präfix von ρ gibt, der sich nicht zur einem σ P ergänzen läßt P Σ ω Σ-Lebendigkeitseigenschft Für jedes ρ = s 0 n s n Σ gibt es ein σ = s 0 n s n n+1 n sn+1... Σ ω mit σ P. Endliche Präfix werden nicht eingeschränkt C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 25

26 Sicherheits- und Lebendigkeitseigenschften (3) Präfix von ρ = s s1... Σ ω ρ[..n] = s 0 n s n Konktention von ρ σ von ρ = s 0 n s n Σ und σ = s n n+1 n sn+1... Σ ω ρ σ = s 0 n s n n+1 n sn+1... Schreibweise für ρ Σ, P Σ ω ρ P σ P, n N. σ[..n] = ρ P Σ ω Σ-Sicherheitseigenschft ρ Σ ω. (( n N. ρ[..n] P) ρ P) P Σ ω Σ-Lebendigkeitseigenschft ρ Σ ω. n N. ρ[..n] P C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 26

27 Sicherheits- und Lebendigkeitseigenschften: Beispiele LTS Γ = (A, S, δ, I), Σ = (A, S) Menge ller Abläufe Σ-Sicherheitseigenschft FLTS Γ f = (Γ, J, C) J und C induzieren Σ-Lebendigkeitseigenschft Lemm Sei Σ eine LTS-Signtur. 1. Die Klsse der Σ-Sicherheitseigenschften ist unter beliebigen Durchschnitten bgeschlossen. 2. Ist P eine Σ-Lebendigkeitseigenschft, so ist uch jedes Q Σ ω mit P Q eine Σ-Lebendigkeitseigenschft. 3. Σ ω ist die einzige Σ-Eigenschft, die sowohl Σ-Sicherheitseigenschft ls uch Σ-Lebendigkeitseigenschft ist. C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 27

28 Sicherheitsbschluß (1) Sicherheitsbschluß (sfety closure) von P Σ ω C (P) = {ρ Σ ω n N. ρ[..n] P} Stoppuhr P Menge ller Abläufe s 0 0 s mit n N. ( m n. s m (y) = 0) ( m > n. s m (y) = 1) Sicherheitsbschluß C (P) enthält genu lle Abläufe ρ = s s1... mit ρ P oder sm (y) = 0 für lle m N. C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 28

29 Sicherheitsbschluß (2) Stz Sei Σ eine LTS-Signtur. 1. Ist P Σ ω, so ist C (P) bzgl. die kleinste Σ-Sicherheitseigenschft, die P enthält. 2. Ist P Σ ω eine Σ-Sicherheitseigenschft und Q Σ ω, so gilt C (Q) P genu dnn, wenn Q P. 3. P Σ ω ist eine Σ-Sicherheitseigenschft genu dnn, wenn C (P) = P. 4. P Σ ω ist eine Σ-Lebendigkeitseigenschft genu dnn, wenn C (P) = Σ ω. 5. Jedes P Σ ω läßt sich ls Durchschnitt einer Σ-Sicherheitseigenschft und einer Σ-Lebendigkeitseigenschft drstellen. C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 29

30 Mschinenbgeschlossenheit (1) Vermeidung von (Lebendigkeits-)Forderungen, die Sicherheitsforderungen einschränken P Σ-Sicherheitseigenschft, Q Σ-Eigenschft (P, Q) Σ-mschinenbgeschlossen (mchine closed), flls C (P Q) = P (P, Q) Σ-mschinenbgeschlossen: ρ Σ. ρ P ρ P Q Beispiel P lle Abläufe von τ τ s t und Q lle Abläufe, die unendlich oft den Zustnd s enthlten Dnn läßt sich s t nicht zu einem Abluf in P Q ergänzen. C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 30

31 Mschinenbgeschlossenheit (2) Stz Sei Σ eine LTS-Signtur, seien P und R Σ-Sicherheitseigenschften und Q eine Σ-Eigenschft. Ist (P, Q) Σ-mschinenbgeschlossen, so gilt P Q R genu dnn, wenn P R. Stz Sei Γ f = (Γ, J, C) ein FLTS mit LTS Γ = (A, S, δ, I) und Σ = (A, S), und seien J und C endlich. Dnn ist (Γ ω, Γ ω f ) Σ-mschinenbgeschlossen. gilt uch für bzählbre J und C (Abdi, Lmport 1994) C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 31

32 Zusmmenfssung Modellierung von rektiven Systemen durch Trnsitionssysteme Einschränkung von Abläufen von Trnsitionssystemen durch Firnessbedingungen Eigenschften von Trnsitionssystemen Klssifiktion nch Informtionsgehlt endlicher Abläufe Sicherheitseigenschften Lebendigkeitseigenschften Sicherheitsbschluß C (P) Mschinenbgeschlossenheit schwche und strke Firnessbedingungen mschinenbgeschlossen C. Prehofer: Formle Techniken in der Softwre-Entwicklung: Rektive Systeme 32