Eigenschaftsprüfung. Model Checking mit temporaler Logik

Transkript

1 Eigenschaftsrüfung Model Checking mit temoraler Logik

2 Srache, Modell, Methode Die formale Verifikation digitaler Ssteme erfordert: ein mathematisches Modell des Sstems, was die zu verifizierenden Eigenschaften genau genug erfasst eine zu dem Modell assende Srache, in der die für uns wichtigen Eigenschaften des Modells formuliert werden können eine Methode, die überrüft, ob eine in dieser Srache formulierte Eigenschaft für das Modell gültig ist.

3 Möglicher Ansatz Denkbarer allgemeiner Ansatz: Modell:Beschreibung des mikroelektronischen Sstems auf unterschiedlichen Abstraktionsebenen (Mehrebenenmodellierung) Srache: Prädikatenlogik Methode: allgemeine Verfahren des automatischen Beweisens Problem: je genauer das Modell und je ausdrucksfähiger die Srache desto komlexer die Beweismethode!

4 Industrielle Praxis Welche Eigenschaften eines digitalen mikroelektronischen Sstems sollen überhaut betrachtet werden? Problemeingrenzung: Wir beschränken uns darauf, zu untersuchen, welche Signalwerte bzw. welche Booleschen Zusammenhänge für die Signalwerte unter Berücksichtigung bestimmter zeitlicher Umstände gelten Aussagenlogik erweitert um modallogische und temorale Oeratoren

5 Beisiel Amelsteuerung mit Kontaktschleife Eine Nebenstraße kreuzt eine vielbefahrene Hautstraße. Der Verkehr soll durch eine Amelsteuerung mit einer Kontaktschleife für die Nebenstraße gesteuert werden. Die Hautstraßenamel zeigt mindestens für eine Zeiteriode T (lange Periode) grün an. Ist die Zeit T verstrichen und befindet sich dann ein Fahrzeug auf der Kontaktschleife, schaltet die Hautstraßenamel erst auf gelb und dann auf rot. Die Gelbhase dauert eine Periode t (kurze Periode). Die Nebenstraßenamel wechselt entsrechend von rot auf grün. (Zur Vereinfachung gibt es keine Rotgelbhase.) Sobald alle Autos durchgefahren sind, sätestens aber nach der Zeit T, geht die Nebenstraßenamel auf gelb und nach der Periode t wieder auf rot. Jetzt geht die Hautstraßenamel auf grün.

6 Beisiel Imlementierung Imlementierung durch folgende Blöcke und Signale: Sensor: setzt das Signal car auf 1, falls ein Fahrzeug auf der Kontaktschleife steht Beachte: das Erscheinen eines Fahrzeuges wird durch ein Zufallssignal z modelliert Zeitgeber: wird zurückgesetzt, falls start = 1. Nach dem Rücksetzen ist zunächst timeout = 0 und Timeout = 0. Zum Zeitunkt t nach dem Rücksetzten wird timeout auf 1 gesetzt. Zum Zeitunkt T wird Timeout auf 1 gesetzt. Beide Signale bleiben 1 bis wieder rückgesetzt wird. Beachte: zur Vereinfachung der Imlementierung werden die Perioden t und T durch ein Zufallssignal r imlementiert,

7 Beisiel Imlementierung Imlementierung durch folgende Blöcke und Signale: Nebenstraßensteuerung: durchläuft einen Amelzklus gesteuert durch den Zeitgeber, falls Hautstraßensteuerung enable_n = 1 setzt und car = 1 erfüllt ist. Hautstraßensteuerung: durchläuft einen Amelzklus gesteuert durch den Zeitgeber, falls Nebenstraßensteuerung enable_h = 1 setzt.

8 Beisiel - Blockschaltbild Sensor car Nebenstraßensteuerung start_n enable_h enable_n Zeitgeber Timeout timeout Hautstraßensteuerung start_h start Blockschaltbild der Amelsteuerung

9 Beisiel Zustandsdiagramme start oder!r!start und!r / timeout!z z / car!start und r z START t Nein Ja start / timeout!z / car start / timeout, Timeout!start und r / timeout T Sensor!start / timeout, Timeout Zeitgeber

10 Beisiel Zustandsdiagramme!car oder!timeout!timeout car und!timeout!timeout grün car und Timeout / start_h gelb grün!car oder Timeout / start_n gelb enable_h / start_h timeout / enable_n enable_n / start_n timeout / enable_h rot rot!enable_h!enable_n Hautstraßensteuerung Nebenstraßensteuerung

11 Beisiel - Verifikation Welche Eigenschaften sollen (formal) verifiziert werden? z.b.: 1) Die Hautstraße und die Nebenstraße haben nicht gleichzeitig grün. 2) Wenn auf der Nebenstraße ein Auto kommt, dann bekommt es irgendwann grün. 3) Die Hautstraße hat irgendwann sicher grün, egal was auf der Nebenstraße assiert. usw.

12 Modale Oeratoren Feststellung der Gültigkeit von Aussagen unter Berücksichtigung zeitlicher Umstände (Modalitäten) Erweiterung der Aussagenlogik um modale Oeratoren E und A zur Beschreibung von Möglichkeit und Notwendigkeit (modallogische Aussagenlogik) Ist eine Formel, dann ist auch E eine Formel (lies: "es ist möglich, dass gilt") Ist eine Formel, dann ist auch A eine Formel (lies: "es ist notwendig, dass gilt") z.b.: : "es regnet", E: "es ist möglich, dass es regnet" (je nach Ort, Zeit)

13 CTL Nähere Beschreibung der Umstände durch zeitliche Angaben Modellierung der Zeit in CTL (comutation tree logic) 1) Diskrete Zeit: Jeder Zeitunkt hat genau einen unmittelbar nachfolgenden und unmittelbar vorausgegangenen Zeitunkt 2) Linearität: für beliebige Zeitunkte t 1 und t 2 gilt stets genau eine der drei folgenden Beziehungen: t 1 < t 2, t 1 > t 2, t 1 = t 2 3) Baumartig verzweigender Zeitstruktur (branching time temoral logic)

14 Comutation Tree Abrollen eines Zustandsdiagramms in einen (unendlichen) Baum grün gelb rot grün rot gelb grün grün rot rot rot gelb Darstellung eines Zustandsdiagramms als comutation tree

15 Temorale Oeratoren Erweiterung der modallogischen Aussagenlogik um temorale Oeratoren: F, G, X, U Ist eine Formel, dann ist auch F eine Formel. (lies: "zu mindestens einem zukünftigen Zeitunkt wird gültig sein") Ist eine Formel, dann ist auch G eine Formel. (lies: "zu jedem zukünftigen Zeitunkt wird gültig sein") Ist eine Formel, dann ist auch X eine Formel. (lies: "zum nächsten Zeitunkt wird gültig sein") Sind und q eine Formel, dann ist auch U q eine Formel. (lies: "zu einem zukünftigen Zeitunkt wird q gültig sein, bis zu diesem Zeitunkt wird gültig sein")

16 Krike-Modell Die Semantik von CTL beruht auf dem Krike-Modell: Definition: Ein Krike-Modell ist ein Quintuel K = (S, S 0, R, A, l). Dabei ist: S: eine endliche Menge von Zuständen S 0 : eine Menge von Anfangszuständen mit S 0 S R: eine Übergangsrelation, R S S, die die möglichen Zustandsübergänge des Modells beschreibt A: eine Menge von atomaren Formeln, A = {, q,...}, die jeweils den Wert true oder false annehmen können l: eine Funktion, l: A 2 S, die für jede atomare Formel aus A die Menge aller Zustände aus S angibt, für welche die atomare Formel gültig (true) ist Das Krike-Modell kann leicht aus der Zustandsgrahbeschreibung

17 CTL-Sntax Definition: (CTL-Sntax) Jede atomare Formel ist eine CTL-Formel. Sind und q CTL-Formel dann sind auch, q, q, EX, E(Uq), EG, EF, AX, A(Uq), AG, Af CTL-Formeln. Beachte: Die fettgedruckten CTL-Formeln sind ausreichend, alle anderen können daraus hergeleitet werden. Nach den modalen Oeratoren (A, E) muss stets ein temoraler Oerator (F, G, U, X) folgen. Jedem temoralen Oerator muss ein modaler Oerator vorangehen.

18 CTL-Semantik Notation: K, s f heißt, dass im Zustand s des Krike-Modells K die Formel f gültig ist (der Einfachheit halber wird K im Folgenden meist weggelassen). Seien f und g beliebige CTL-Formeln. Die Semantik von CTL bzgl. eines Krike-Modells K = (S, S 0, R, A, l) ist wie folgt: s s l(), für A s f f ist im Zustand s nicht gültig (false) s f g s f und s g s f g s f oder s g s 0 AXf für alle Pfade (s 0, s 1, s 2,...) ist s 1 f s 0 EXf es existiert ein Pfad (s 0, s 1, s 2,...), so dass s 1 f s 0 A(f U g) für alle Pfade (s 0, s 1, s 2,..., s i,... ) existiert ein i mit i 0, so daß s i g und es gilt s j f für alle 0 j < i s 0 E(f U g) es existiert ein Pfad (s 0, s 1, s 2,..., s i,... ), für den ein i mit i 0 existiert, so daß s i g und es gilt s j f für alle 0 j < i s 0 AGf für alle Pfade (s 0, s 1, s 2,...) ist s 0 f, s 1 f, s 2 f,... s 0 EGf es existiert ein Pfad (s 0, s 1, s 2,...), so dass s 0 f, s 1 f, s 2 f,... s 0 AFf für alle Pfade (s 0, s 1, s 2,..., s i,... ) existiert ein i mit i 0, so dass s i f s 0 EFf es existiert ein Pfad (s 0, s 1, s 2,..., s i,... ) für den ein i mit i 0 existiert, so dass s i f

19 Beobachtungen Anmerkung 1: Bei CTL gehört die Zukunft mit zur Gegenwart. Anmerkung 2: Im Folgenden identifizieren wir eine CTL-Formel f mit einer Teilmenge S' der Zustandsmenge S eines Krike-Modells. Dann bezeichnet f g die Schnittmenge der Zustandsmenge, in der f gilt und der Zustandsmenge, in der q gilt. Entsrechend bezeichnet f g die Vereinigungsmenge von f mit g und es bezeichnet f die Komlementmenge von f. True bezeichnet die Menge aller Zustände und false die leere Menge.

20 CTL Model Checking Allgemeine Vorgehensweise zur Verifikation einer Eigenschaft in einem Krike-Modell K: formuliere die zu verifizierende Eigenschaft als CTL-Formel f werte die Formel aus, d.h. berechne alle Zustände des Krike- Modells, für die die Formel gültig ist die Eigenschaft ist verifiziert, genau dann wenn S 0 f Wichtig: bei der Verifikation einer mikroelektronischen Schaltung dürfen in den CTL-Formeln keine Variablen auftreten, die lediglich von den Schaltungseingängen abhängen. Alle Variablen einer CTL-Formel müssen als Funktion der Zustandsvariablen beschreibbar sein.

21 Beisiel Amelsteuerung Formulierung zu verifizierender Eigenschaften in CTL: 1) Die Hautstraße und die Nebenstraße haben nicht gleichzeitig grün. Sei haut_grün ein nur von Zustandssignalen abhängiges Signal, welches 1 ist, falls die Hautstraßensteuerung im Zustand grün ist. Entsrechend sei neben_grün ein nur von Zustandssignalen abhängiges Signal der Nebenstraßensteuerung: AG( (haut_grün neben_grün))

22 Beisiel Amelsteuerung 2) Wenn auf der Nebenstraße ein Auto kommt und die Hautstraßenamel war mindestens für eine Periode T grün, dann wird die Nebenstraßenamel irgendwann grün. AG((car Timeout) AF neben_grün) 3) Die Hautstraße hat irgendwann sicher grün, egal was auf der Nebenstraße assiert. AG(AF haut_grün)

23 Ergebnis zu 1) Verifikation erfolgreich zu 2) Verifikation scheitert! zu 3) Verifikation scheitert! Problem: Zeitgeber schaltet nur weiter, falls Zufallsvariable r den Wert 1 liefert. Dies ist aber nicht garantiert.

24 FAIR CTL Erweiterung von CTL auf Fair CTL Definition: Sei f eine Formel in CTL und π = (s 0, s 1, s 2... ) ein Pfad, entlang dessen die Formel f in unendlich vielen Zuständen gültig ist. Dann heißt π fairer Pfad bezüglich f. ("Büchi-Fairness") Ein fairer Zustand ist ein Zustand, der auf einem fairen Pfad liegt. Sntax von Fair CTL: Zusätzlich zu der zu verifizierenden CTL-Formel wird eine Menge von CTL-Formeln angegeben, die als fairness constraints bezeichnet werden. Sonst wie CTL. Semantik von Fair CTL: Die modalen Oeratoren E und A (Pfadquantifizierer) berücksichtigen nur die Pfade, die bzgl. der angegebenen fairness constraints faire Pfade sind. Sonst wie CTL. (Im Folgenden srechen wir der Einfachheit halber von CTL, auch wenn Fair CTL

25 Beisiel Seien z START und z t Zustandsvariable, die den Wert 1 annehmen, wenn sich der Zeitgeber in den mit START bzw. t bezeichneten Zuständen befindet. Fairness constraints zur Verifikation der Amelsteuerung: z START z t Damit wird ausgeschlossen, dass der Zeitgeber irgendwann einen der Zustände t oder START nie wieder verlässt.

26 CTL-Formeln Beisiele für häufig benutzte CTL-Formeln 1. Nichts schlimmes kann jemals assieren. ( sei was schlimmes (z.b. verbotener Zustand)) AG 2. Unendlich oft tritt ein. AGAF 3. Irgendwann tritt sicher ein. AF 4. Irgendwann beschränkt sich das Sstem auf Zustände, wo immer gilt. AFAG

27 CTL Formeln 5. Egal, welche Zustände irgendwann erreicht werden, immer wenn gilt, dann wird zu einem säteren Zeitunkt q gelten. "freedom of starvation" AG( AFq) 6. Egal, welche Zustände irgendwann erreicht werden, wird zu einem säteren Zeitunkt immer möglich sein. "Liveness" AGEF 7. Berechne alle Zustände, die das Sstem jemals annehmen kann. AG true 8. Es ist möglich, dass irgendwann gilt. EF

28 Fixunktcharakterisierung von CTL-Oeratoren Notationen: Ein Funktional (Abbildung zwischen Mengen von Abbildungen) τ wird im Folgenden mit λ.f bezeichnet, wobei f eine Formel darstellt und eine in f enthaltene Variable. Wird das Funktional auf eine Formel angewandt, dann wird in f die Variable durch die Formel ersetzt. Im Folgenden wenden wir Funktionale stets auf CTL-Formeln an. Beisiel: Anwendung von Funktionalen auf aussagenlogische Formeln gegeben: τ = λ.(x ), = false berechne τ(): τ() = τ(false) = x false = x

29 Fixunktcharakterisierung Definition: Eine Formel heißt Fixunkt eines Funktionals τ, genau dann wenn gilt: τ() =. Beisiel: gegeben: τ = λ.(x ), = x z τ() = τ(x ) = x ( x z) = x z = Definition: Ein Funktional τ heißt monoton, genau dann wenn gilt: q τ() τ(q) Beisiel: gegeben: τ = λ.(x ) und, q mit q Es gilt: q (x ) (x q)

30 Fixunkte allgemein gilt: Jedes monotone Funktional τ = λ.f hat einen kleinsten Fixunkt µ.f, der durch die Schnittmenge aller Fixunkte gegeben ist, und es hat einen größten Fixunkt ν.f, der durch die Vereinigung aller Fixunkte gegeben ist [Tars55]. Notation: τ i () bezeichnet die Formel (Menge), die nach dem i-ten Iterationschritt des Funktionals für die Anfangsformel vorliegt. (i-fache funktionale Komosition von τ mit sich selbst) i τ i () bezeichnet die Vereinigung aller Formeln, die durch Iteration des Funktionals ausgehend von der Anfangsformel entstehen. i τ i () bezeichnet den Schnitt aller Formeln, die durch Iteration des

31 Beisiel gegeben: - ein Krike-Modell K mit einer Zustandsmenge S - eine Menge S 0 mit S 0 S Problemstellung: berechne die Zustände R, die in K von S 0 aus erreicht werden können reach(s 0 ): Prozedur zur Berechnung von R für gegebenes S 0 xreach(a): Prozedur zur Berechnung aller Zustände, die ausgehend von der Zustandsmenge A in einem Schritt erreicht werden können (unmittelbare Nachfolger von A) Prozedur zur Berechnung von R reach(s 0 ) { R it := ; do { R := R it ; R it := S 0 xreach(r); } until (R == R it ) return R; }

32 Beisiel betrachte reach() und xreach() als Oeratoren einer Logik basierend auf einem Krike-Modell K: (Mit jeder Formel assoziieren wir die Zustände des Krike-Modells, in denen die Formel gültig ist) REACH(): ist wahr für alle Zustände in K, die von den Zuständen, in denen wahr ist, erreichbar sind XREACH(): ist wahr für alle Zustände in K, die von den Zuständen, in denen wahr ist, in einem Schritt erreichbar sind Sei τ = λ.( XREACH()) ein Funktional und µ.( XREACH()) sein kleinster Fixunkt. Offensichtlich gilt: REACH()= µ.( XREACH()) = i (λ.( XREACH())) i (false)

33 Beisiel τ 0 = false Beisiel zur Anwendung von λ.( XREACH()) Durchführung der Fixunktiteration: "" markiert die jewe berechnete Zustands menge. τ 1 = XREACH(false) = τ 2 = XREACH() τ 3 = XREACH( XREACH()) τ 4 = τ 3

34 Vereinigungsstetig Definition: Ein Funktional τ heißt vereinigungsstetig, wenn für eine beliebige unendliche Folge 0, 1, 2... mit gilt: i τ( i ) = τ( i i ). Entsrechend heißt ein Funktional τ schnittstetig, wenn für eine beliebige unendliche Folge 0, 1, 2... mit gilt: i τ( i ) = τ( i i ). Lemma: Sei τ = λ.f ein monotones Funktional und f eine CTL- Formel. Dann ist τ auch vereinigungs- und schnittstetig. Satz: Sei τ = λ.f ein monotones Funktional und f eine CTL-Formel. Dann gilt: µ.f = i τ i (false) ν.f = i τ i (true)

35 Berechnung von CTL-Formeln Satz: Für ein beliebiges Krike-Modell K gilt: EF = µ.( EX) EG = ν.( EX) E( U q) = µ.(q ( EX)) Da die betrachteten Funktionale monoton sind, folgt: EF = i (λ.( EX)) i (false) EG = i (λ.( EX)) i (true) E( U q) = i (λ.(q ( EX)) i (false)

36 Beisiel Beisiel zur Anwendung von EF = µ.( EX) Durchführung der Fixunktiteration: τ 0 = false τ 1 = EX(false) = τ 2 = EX τ 3 = EX( EX) τ 4 = τ 3

37 Beisiel Beisiel zur Anwendung von EG = ν.( EX) Durchführung der Fixunktiteration: τ 0 = true τ 1 = EX(true) = τ 2 = EX τ 3 = EX( EX) τ 4 = τ 3

38 Fairness Constraints Es bezeichne C = {c k } eine Menge von fairness constraints (CTL-Formeln) und E C f die Zustände für die Ef unter Berücksichtigung der fairness constraints C gültig ist. (d.h.: Formel E C G ist gültig, falls ein Pfad existiert, so daß entlang dieses Pfades jede Formel c k C unendlich oft gültig ist und in jedem Zustand gilt.) Es gilt: E C G = i (λ.( EX E( U c k ))) i (true) c k C

39 Eigenschaften Da die fairen Zustände eines Krike-Modells durch E C G true charakterisiert sind, gilt für die restlichen CTL-Oeratoren: E C X = EX( E C G true) E C F = EF( E C G true) E C (q U ) = E(q U ( E C G true))

40 Algorithmus Gegeben: ein Krike-Modell K mit Zustandsmenge S und eine CTL-Formel f Aufgabe: werte f aus, d.h. berechne alle Zustände S f in K, in denen f gültig ist Vorgehensweise: Sei com(f) eine Prozedur zur Lösung dieser Aufgabe. Dazu betrachten wir folgende Unterfunktionen: -comex(s f ) eine Prozedur zur Auswertung von EXf für bekanntes S f -comeu(s q, S, Y) eine Prozedur zur Auswertung von E(q U ) für bekannte S q und S (mittels einer Fixunktiteration über Y) -comeg(s f ) eine Prozedur zur Auswertung von EGf für bekanntes S f (mittels einer Fixunktiteration über Y) Die CTL-Formel wird rekursiv von innen nach außen berechnet. Alle Oeratoren werden auf Fixunktiterationen basierend auf der Berechnung

41 Routine zur Auswertung einer CTL-Formel com(f){ switch (sntaktische Form von f) { case: f ist atomare Formel S f := {s i S s i f}; case: f ist von der Form S f := S \ com(); case: f ist von der Form ( q) S f := com() com(q); case: f ist von der Form EX S f := comex(com()); case: f ist von der Form E( U q) S f := comeu(com(), com(q), false) case: f ist von der Form EG S f := comeg(com(), true); } return S f ;

42 Unterrozeduren zur Auswertung einer CTL-Formel comex(s ) { return (alle unmittelbaren Vorgänger der Elemente von S ); } comeu(s, S q, Y) { Y it := Y; do { Y := Y it ; Y it := S q (S comex(y)); } until (Y it == Y) return Y; } comeg(s, Y) { Y it := Y; do { Y := Y it ; Y it := S comex(y)); } until (Y it == Y) return Y; }