Die in der formalen Hardware Verifikation verwendeten Sprachen sind jedoch mit ihrem

Transkript

1 Formale Spezifikation und Verifikation mit VHDL Ralf Reetz, Klaus Schneider und Thomas Kropf 1 Institut für Rechnerentwurf und Fehlertoleranz (Prof. D. Schmid) Universität Karlsruhe, Postfach 6980, Karlsruhe, Germany {reetz,schneide,kropf}@informatik.uni-karlsruhe.de fax: , www: Zusammenfassung Die formale Verifikation einer VHDL Beschreibung bestand bisher aus drei Teile: die Erstellung einer formalen Implementierung aus einer gegebenen VHDL Beschreibung, die Erstellung einer formalen Spezifikation in einer temporalen Logik und dem formalen Beweis, daß die Implementierung die Spezifikation erfüllt. In dieser Arbeit wird mit der Verifikationsbeschaltung (engl. verificationbench) ein neues Konzept zur Spezifikation vorgestellt. Eine Verifikationsbeschaltung ermöglicht es, sowohl die formale Spezifikation als auch die Implementierung in VHDL selbst zu beschreiben. Der Entwerfer kann somit in seinem gewohnten Paradigma spezifizieren. Es entfällt die Notwendigkeit, Logik zu verwenden und sich dabei auf die formale Implementierung beziehen zu müssen. Zur Umsetzung dieses Konzepts werden zwei neue Sprachkonstrukte für VHDL vorgeschlagen, die zu Simulationszwecken auf bestehende Sprachkonstrukte zurückgeführt werden können. 1 Einleitung VHDL [1] ist ein bedeutender IEEE Standard zur Beschreibung digitaler Schaltungen. Es gibt eine Vielzahl von auf VHDL basierenden, kommerziellen Entwurfswerkzeugen, die im digitalen Schaltungsentwurf verwendet werden. In den letzten Jahren ist die formale Hardware Verifikation im Schaltungsentwurf als eine vielversprechende, neue Methode entwickelt worden, um die Korrektheit des Schaltungsentwurfs zu gewährleisten [2]. Die Grundlage der formalen Hardware Verifikation ist zum einen eine aus zwei (nicht immer verschiedenen) Teilsprachen und zusammengesetzte Sprache mit einer formal gesicherten Semantik und zum anderen ein zu passendes formales System zur Bestimmung des Wahrheitsgehalts der in getätigten Aussagen. Die formale Verifikation einer Schaltung umfaßt drei Aufgaben: 1. Die Schaltung (Implementierung) ist in zu beschreiben. 2. Die zu verifizierenden Eigenschaften (Spezifikation) sind in zu beschreiben. 3. In dem formalen System ist der Beweis zu führen, daß die Implementierung die Spezifikation erfüllt. Die in der formalen Hardware Verifikation verwendeten Sprachen sind jedoch mit ihrem Modellierungsparadigma weit von VHDL entfernt. Der IEEE Standard zu VHDL ist nicht formal gesichert. Daher sind in VHDL entworfene Schaltungen in der Hardware Verifikation bzgl. der Punkte 1 und 2 direkt nicht verwendbar. Es gibt eine Vielzahl von Arbeiten, die sich mit VHDL bzgl. Punkt 1 beschäftigt haben. Unterschiedlichste Sprachteilmengen von VHDL wurden in eine formal gesicherte Sprache übersetzt. Punkt 1 bezeichnet man auch mit eine formale Semantik für VHDL 1 Diese Arbeit wurde durch den SFB 358 der deutschen Forschungsgemeinschaft gefördert.

2 erstellen. Zu Details sei hier aus Platzgründen auf die Übersicht in [9] verwiesen. Im allgemeinen kann jedoch gesagt werden, daß eine aus einer VHDL Beschreibung automatisch erzeugte, in beschriebene formale Implementierung relativ kompliziert und daher nur noch sehr schwer verständlich ist. Dem Punkt 2 kommt in der formalen Hardware Verifikation eine entscheidende Bedeutung zu, da die Korrektheit einer Implementierung immer nur bzgl. der Spezifikation gewährleistet werden kann. Eine falsche Spezifikation führt zu falschen Schlüssen bzgl. der Korrektheit der Implementierung. Zur einfachen und klaren Spezifikation einer VHDL Beschreibung in VHDL selbst gibt es nur sehr frühe Ansätze [7, 4], die in der Hardware Verifikation nicht weiter verfolgt worden sind. Heute werden i.a. immer noch formal gesicherte Sprachen, üblicherweise temporale Logiken, zur Spezifikation von VHDL Beschreibungen verwendet. Es ist nicht immer einfach, Spezifikationen in temporalen Logiken zu erstellen und zu plausibilisieren, wie es in einer Fallstudie bereits an dem einfachen Beispiel des Single Pulser gezeigt wurde [12]. Besonders schwierig wird es jedoch, wenn man bedenkt, daß die Spezifikation einer VHDL Beschreibung nicht direkt auf die VHDL Beschreibung selbst, sondern auf die automatisch erzeugte formale Beschreibung der Implementierung Bezug nehmen muß. Hier setzt diese Arbeit an: es wird das Konzept der Verifikationsbeschaltung vorgestellt, das mit neuen Spracherweiterungen für VHDL ermöglicht, eine Spezifikation zusammen mit einer Implementierung direkt in VHDL zu beschreiben. Aus einer Verifikationsbeschaltung kann die formale Spezifikation und die formale Implementierung für die Verifikation automatisch generiert werden. Die Besonderheit des Ansatzes liegt darin, daß die Semantik existierender Sprachkonstrukte von VHDL nicht für die Bedürfnisse der Spezifikationen abgeändert werden, sondern daß hierzu neue Spracherweiterungen vorgeschlagen werden. Weiterhin ist das Konzept der Verifikationsbeschaltung unabhängig von einer bestimmten formalen Semantik für VHDL. Abschnitt 2 stellt den Aufbau einer Verifikationsbeschaltung vor. Die zur Umsetzung des Konzeptes der Verifikationsbeschaltung benötigten neuen Sprachkonstrukte für VHDL werden in Abschnitt 3.2 vorgestellt. Abschnitt 4 deutet anhand einiger Beispiele die Ausdrucksmöglichkeiten an. In Abschnitt 5 wird der Zusammenhang dieser Arbeit mit bisherigen Arbeiten erläutert. 2 Verifikationsbeschaltung deterministischer Stimuli-Generator Die gängige Methode, die Korrektheit von VHDL Beschreibungen zu Eingabe Implementierung Beobachter Ausgabe gewährleisten, ist die Simulation in Verbindung mit dem Konzept der Validierungsbeschaltung ( testbench ). Bericht Eine Validierungsbeschaltung ist eine VHDL Beschreibung, welche die Abbildung 1: Validierungsbeschaltung drei Komponenten deterministischer Stimuli Generator, Implementierung und Beobachter enthält, deren Verschaltung in Abb. 1 gezeigt wird. Der Stimuli Generator erzeugt in deterministischer Weise Eingaben für die Implementierung. Die

3 Eingaben können von den Ausgaben der Implementierung abhängig sein. Der Stimuli Generator beschreibt somit konkrete Testfälle der Umgebung, innerhalb der die Implementierung eingesetzt werden soll. Der Beobachter analysiert die Ein- und Ausgaben der Implementierung und faßt die Ergebnisse der Analyse in einem Bericht an die Außenwelt zusammen. Eine Validierungsbeschaltung stellt somit ein geschlossenes System, d.h. ein System ohne freie Eingaben dar und kann damit ohne extern zu erzeugende Stimuli direkt simuliert werden. nichtdeterministischer Stimuli-Generator Eingabe Implementierung Beobachter reach/hold s i s j P Abbildung 2: Verifikationsbeschaltung Ausgabe die Implementierung erfüllen soll, um korrekt zu sein. 2.1 Stimuli Generator Das Konzept der Verifikationsbeschaltung ist die Anpassung des Konzepts der Validierungsbeschaltung an die Anforderungen der formalen Verifikation (Abb. 2). Ein nichtdeterministischer Stimuli Generator spezifiziert die Umgebung, innerhalb derer die Implementierung korrekt sein soll. Ein Beobachter spezifiziert die Eigenschaften, die In der formalen Verifikation werden nicht konkrete, sondern symbolische Testfälle betrachtet. Ein symbolischer Testfall ist eine beliebige, nichtdeterministische Wahl aus der Menge aller möglichen Testfälle. Wenn die Implementierung also für einen beliebigen, nichtdeterministisch gewählten Testfall korrekt sein soll, so muß sie für alle möglichen Testfälle korrekt sein. Um nichtdeterministisch einen Testfall generieren zu können, muß in einer Verifikationsbeschaltung der Stimuli Generator nichtdeterministisch realisiert werden. Somit ist auch eine Verifikationsbeschaltung ein geschlossenes System. Daher werden keine freien Eingaben benötigt, so daß bei der Verwendung einer Verifikationsbeschaltung für die Spezifikation eine bestehende formale Semantik für VHDL nicht abgeändert werden muß, um freie Eingaben zu ermöglichen Beobachter Zur Erzeugung einer formalen Spezifikation wird der unscharfe Begriff des Berichts auf eine Menge von Eigenschaften konkretisiert. wird in temporaler Logik 3 definiert durch: "!#! Informell bedeutet dies: immer wenn $ wahr ist, so wird irgendwann % wahr und dann muß auch gleichzeitig wahr sein. $ und werden als Bezugspunkte aufgefaßt. Die Standardsemantik für VHDL ist operational und kann daher als Transitionssystem verstanden werden. Die Bezugspunkte kann man somit als Zustände des Transitionssystem 2 In VHDL sind freie Eingaben nicht vorgesehen. Wenn ein Eingang freigelassen worden ist, so ist im IEEE Standard definiert, daß dann der Eingang auf einen konstanten Wert gesetzt wird [1, Seite 165, Zeilen ]. 3&(' ist wahr gdw.' von nun an immer wahr ist [3].'*) + ist wahr gdw.' gilt, wenn + zum ersten Mal gilt und + muß irgendwann gelten [5].

4 auffassen, welches die Semantik der Verifikationsbeschaltung darstellt. Somit bedeutet eine Eigenschaft: immer wenn der Zustand eingenommen wird, so wird irgendwann der Zustand % erreicht und im Zustand % gilt. Wie man aus einer VHDL Beschreibung die Zustände und identifiziert, hängt von einem Sprachkonstrukt in VHDL zur Beschreibung von Eigenschaften und von der jeweiligen verwendeten formalen Semantik für VHDL ab (siehe Abschnitt 3.2). Aus den Eigenschaften kann dann automatisch eine Formel in einer temporalen Logik erzeugt werden, die als formale Spezifikation der Verifikationsbeschaltung für die formale Verifikation dient. In einer Verifikationsbeschaltung muß nicht jede zu spezifizierende Eigenschaft als Eigenschaft beschrieben werden. Vielmehr ist eine Eigenschaft als eine allgemeine Basiseigenschaft zu verstehen, auf die sich die gängigen Eigenschaften, die man zur Spezifikation benötigt, zurückführen lassen. Wählt man z.b., so erhält man eine Sicherheitseigenschaft: Im Zustand gilt immer. Wählt man z.b. für " den Anfangszustand, so erhält man eine Lebendigkeitseigenschaft: irgendwann wird der Zustand erreicht, in dem dann gelten muß. Weitere, konkrete Beispiele findet man im Abschnitt 4. 3 Sprachkonstrukte für Verifikationsbeschaltungen Der hier verwendete Sprachgebrauch zur informellen Vorstellung der Spracherweiterungen wird dem IEEE Standard entnommen. Auf eine formale Definition, deren Aufbau von der jeweiligen verwendeten formalen Semantik von VHDL abhängt, wird hier aus Platzgründen verzichtet. 3.1 Stimuli Generator VHDL bietet als Simulationssprache keine Sprachkonstrukte, um den für eine Verifikationsbeschaltung benötigten Nichtdeterminismus im Stimuli Generator ausdrücken zu können. Hierfür wird vorgeschlagen, eine neue VHDL Funktion T ARBITRARY einzuführen. Das Präfix ist irgendein Typ T, der Resultatstyp ist der gleiche Typ T. Jedesmal, wenn während der Ausführung die Funktion aufgerufen wird, ist das Resultat irgendein beliebiger, nichtdeterministisch bestimmter Wert. Der Aufruf dieser Funktion führt nie zu einem Fehler. Die formale Semantik für T ARBITRARY kann in einem Transitionssystem durch eine Zustandsvariable mit dem durch T festgelegten Wertebereich definiert werden, für die weder Anfangszustand noch Zustandsübergang festgelegt ist. Damit erfolgen die Wertebelegungen dieser Zustandsvariablen nichtdeterministisch. Zur Simulation mit einem bestehenden VHDL Simulator kann T ARBITRARY durch beliebige, konkrete Werte vom Typ T ersetzt werden. Dies bietet sich insbesondere bei einer fehlgeschlagenen Verifikation an, welche einen konkreten Testfall als Gegenbeispiel liefert. Dieser Testfall beinhaltet auch konkrete Werte zur Ersetzung von T ARBITRARY.

5 3.2 Beobachter Zur Erstellung eines Berichts durch den Beobachter einer Verifikationsbeschaltung stellt VHDL die sequentielle Berichtsanweisung (engl. assertion statement ) zur Verfügung: assert report " nicht erfüllt" severity ERROR; Damit lassen sich nur Sicherheitseigenschaften und damit insbesondere keine " - Eigenschaften darstellen. Die Berichtsanweisung ist für formale Spezifikationen i.a. nicht ausreichend. Deshalb wird hier vorschlagen, mit der Spezifikationsanweisung 4 eine neue sequentielle Anweisung in VHDL einzuführen: reach_hold_statement ::= reach sequence_of_statements hold boolean_expression ; Die Elaboration oder die Ausführung einer Spezifikationsanweisung führt zu einem Fehler, wenn die Elaboration oder die Ausführung ihres Ausdrucks (boolean_expression) zu einem Fehler führt oder wenn die Berechnung des Ausdrucks nicht FALSE oder TRUE ergibt. Im fehlerfreien Fall ist die Ausführung einer Spezifikationsanweisung gleich der Ausführung ihrer Liste von sequentiellen Anweisungen. Eine Spezifikationsanweisung hat also keinen Einfluß auf die Ausführung einer VHDL Beschreibung (d.h. in dieser Arbeit einer Verifikationsbeschaltung). Stattdessen legt eine Spezifikationsanweisung einer VHDL Beschreibung eine Teilspezifikation für diese VHDL Beschreibung wie folgt fest: Es gilt immer, daß wenn die letzte Anweisung vor der Spezifikationsanweisung ausgeführt worden ist, so wird irgendwann die Ausführung der Liste von Anweisungen zwischen den Schlüsselwörtern reach und hold beendet und nach dieser Beendigung wird der Wert des Ausdrucks der Spezifikationsanweisung berechnet und muß gleich TRUE sein. Eine Spezifikationsanweisung beschreibt also eine Eigenschaft. Hierbei beschreibt den Zustand vor dem Erreichen der Spezifikationsanweisung und den Zustand nach der Beendigung der Spezifikationsanweisung. beschreibt den Ausdruck der Spezifikationsanweisung. Die Spezifikation einer VHDL Beschreibung ergibt sich aus der konjunktiven Verknüpfung der Teilspezifikationen aller Spezifikationsanweisungen der VHDL Beschreibung. Die erlaubten Positionen der Schlüsselwörter reach und hold innerhalb einer Liste sequentieller Anweisungen hängt von der jeweiligen verwendeten formalen Semantiken für VHDL ab. Bei der Verwendung einer formalen Semantik auf der niedrigsten Ebene der möglichen Zeitabstraktionen für formale Semantiken für VHDL [9], der Ebene des vollständigen Simulationszyklus, sind die Positionen beliebig. Bei der Verwendung einer formalen Semantik mit einer Zeitabstraktion, bei der durch einen Zustandsübergang des aus der VHDL Beschreibung erzeugten Transitionssystems alle sequentielle Anweisungen zwischen zwei Synchronisationsanweisungen (engl. wait statement ) in einem Schritt abgearbeitet werden, dürfen reach und hold nur direkt hinter einer Synchronisationsanweisung stehen. Zur Simulation mit einem bestehenden VHDL Simulator kann die Spezifikationsanweisung durch Kombinationen entsprechender Berichtsanweisungen ersetzt werden. Somit 4 engl. specification statement

6 kann insbesondere durch Simulation getestet werden, ob die in einer Verifikationsbeschaltung beschriebenen Eigenschaften tatsächlich der gewünschten Spezifikation entsprechen. reach s hold ; kann z.b. ersetzt werden durch 1 report "reach/hold gestartet..." severity NOTE; 2 s 3 report "...reach/hold beendet." severity NOTE; 4 assert report " nicht erf"ullt" severity ERROR; Wenn zu einer generierten Meldung aus der Zeile 1 keine entsprechende Meldung aus der Zeile 3 generiert wird oder eine Meldung aus der Zeile 4 generiert wird, so ist die beschriebene Eigenschaft verletzt. 4 Beispiele Im folgenden werden Beispiele wiedergegeben, die einige typische Eigenschaften darstellen, die die Umgebung besitzen soll (Abschnitt 4.1) oder die für die Implementierung spezifiziert werden sollen (Abschnitt 4.2). 4.1 Stimuli Generator Man stelle sich eine Aufzugsteuerung vor, bei der ein Detektor das Signal door_open genau dann auf TRUE setzt, wenn die Aufzugtür offen ist. door_open soll mit der steigenden Flanke des Takts Clk synchronisiert sein: 1 process is begin 2 wait until Clk = 1 ; 3 door_open <= BOOLEAN ARBITRARY; 4 end process; Man kann z.b. auch ausdrücken, daß door_open nicht genau synchron mit der steigenden Flanke des Takts ist, sondern zwischen 2 ns und 7 ns nachläuft (sei ns hier die kleinste Zeiteinheit): 1 process is 2 type R is range 2 to 7; 3 begin 2 wait until Clk = 1 ; 3 door_open <= 4 BOOLEAN ARBITRARY after TIME VAL(R ARBITRARY); 5 end process;

7 4.2 Beobachter Man betrachte wieder die Aufzugsteuerung. Der Aufzug soll mit dem Signal go_up gesteuert nach oben und mit go_down nach unten fahren. Man möchte spezifizieren, daß die Aufzugtür nie offen ist, wenn der Aufzug fahren soll: 1 process is begin 2 wait until door_open and (go_up or go_down); 3 reach hold FALSE; 4 end process; Wenn jemals die Aufzugtür offen ist und der Aufzug fährt, so wird die Spezifikationsanweisung in Zeile 3 erreicht. Dann soll FALSE gelten. Da FALSE nie gilt, ist damit auch die Spezifikation verletzt. Eine Spezifikationsanweisung muß nicht unbedingt immer an eine Synchronisationsanweisung gekoppelt sein. Man betrachte eine datenabhängige Schleife ohne Synchronisationsanweisung, wie sie in puren Verhaltensbeschreibungen auf hohen Entwurfsebenen vorkommen kann. Es soll spezifiziert werden, das die Schleife immer terminiert: 1 process is begin... 2 reach 3 while x < y loop... 4 end loop; 5 hold TRUE;... 6 end process; Man betrachte ein Protokoll: immer wenn eine steigende Flanke für das Signal request stattfindet, soll irgendwann eine fallende Flanke für das Signal enable folgen (Der Einfachheit halber sei im folgenden dabei davon ausgegangen, daß die Umgebung nach der Generierung einer einer steigenden Flanke für request solange keine weitere steigende Flanke für request generiert, bis eine fallende Flanke für enable stattgefunden hat): 1 process is begin 2 wait until request = 1 ; 3 reach 4 wait until enable = 0 ; 5 hold TRUE; 6 end process; Man kann auch den Begriff irgendwann weiter konkretisieren: immer wenn eine steigende Flanke für das Signal request stattfindet, soll spätestens nach 72 ns eine fallende Flanke für das Signal enable stattfinden:

8 1 process is begin 2 wait until request = 1 ; 3 reach 4 wait until enable for 72 ns; 5 hold enable = 0 ; 6 end process; Anstatt einer Zeit kann man auch ein Intervall spezifizieren: immer wenn eine steigende Flanke für das Signal request stattfindet, so soll frühestens nach 48 ns und spätestens nach 72 ns eine fallende Flanke für das Signal enable stattfinden: 1 process is begin 2 wait until request = 1 ; 3 reach 4 wait until enable for 48 ns; 5 hold not enable EVENT; 6 reach 7 wait until enable for 72 ns - 48 ns; 8 hold enable = 0 ; 9 end process; Die vorgestellten Beispiele erfassen natürlich nicht alle Ausdrucksmöglichkeiten einer Verifikationsbeschaltung. Weitere Verknüpfungen von Aussagen kann man durch die Beschreibung von zusätzlichen Automaten in einer Verifikationsbeschaltung durchführen, welche z.b. die Verknüpfungen von Ereignissen auf Signalen beschreiben. Die akzeptierenden Zustände dieser Automaten können dann durch die Spezifikationsanweisungen festgelegt werden. Ebenso lassen sich die unerwünschten Zustandsübergange durch Spezifikationsanweisungen ausschließen. Weiterhin kann man zeigen, daß sich in einer Verifikationsbeschaltung Spezifikationen in linearer temporaler Logik beschreiben lassen. Details hierzu findet man in [8]. 5 Implementierung Abb. 3 ordnet diese Arbeit in unsere anderen Arbeiten zur Hardware Verifikation ein. Die gestrichelt gekennzeichneten Teile sind noch nicht implementiert. Alle anderen Arbeiten sind bereits implementiert worden. Der Entwerfer erstellt zuerst seine Verifikationsbeschaltung. Diese kann er direkt vollständig in VHDL beschreiben oder durch das Verfahren in [5] den Beobachter aus einer LTL Beschreibung generieren lassen. Eine Umsetzung von Zeitdiagrammen zur Spezifikation wie z.b. in [10] in eine Verifikationsbeschaltung ist für zukünftige Arbeiten denkbar. Im nächsten Schritt kann der Entwerfer durch die Ersetzung der neuen Sprachelemente in der Verifikationsbeschaltung eine simulierbare VHDL Beschreibung erzeugen, um durch Simulation erste, einfache Fehler zu entdecken und um Vertrauen in seine Spezifikation zu gewinnen.

9 LTL Zeitdiagramme [Schn96] Ausblick VHDL dieses Papier Ausblick dieses Papier [ReKr96] [Reet95] VHDL-Simulator Gegenbeispiel CTL-Formel Kripke-Struktur Theorem- beweiser Modellprüfer für HOL Abbildung 3: Verifikationsprozeß Im dritten Schritt kann dann aus der so verbesserten Verifikationsbeschaltung ein CTL Modellprüfungsproblem automatisch erzeugt werden, welches mit SMV [6] verifiziert werden kann. Hierzu wird durch das Verfahren in [9] eine Krikpe Struktur als formale Implementierung erzeugt. Die CTL Formel als formale Spezifikation entsteht aus der Konjunktion der entsprechenden CTL Teilformeln für die reach/hold Anweisungen in der Verifikationsbeschaltung. Durch das Theorem!!!! [5] wird aus der temporalen Formel für eine reach/hold Anweisung eine CTL Formel der Form: "! %!!. Falls die Verifikation fehlschlägt, so erzeugt SMV ein Gegenbeispiel. Für zukünftige Arbeiten ist es denkbar, aus dem Gegenbeispiel die Attribute T ARBITRARY durch die Werte aus dem Gegenbeispiel zu ersetzen, um das Gegenbeispiel durch die Möglichkeiten eines VHDL Simulators leichter verständlich zu machen. In diesem Papier ist nicht näher diskutiert worden, daß der hier vorgestellte Ansatz sich durch unsere Arbeit in [11] auch auf die formale Verifikation von VHDL Beschreibungen mit einem Theorembeweiser für Logik höherer Ordnung (HOL) angewandt werden kann. Weiterhin kann hier aus Platzgründen auch nicht im Detail auf experimentelle Ergebnisse eingegangen werden. Ergebnisse unter der Verwendung einer formalen Semantik für VHDL von [9] findet man in [8]. Dort werden verschiedene Ergebnisse für den Single Pulser [12] vorgestellt, einer Benchmarkschaltung für die formale Verifikation, bei der nicht die Größe der Verifikationsaufgabe, sondern die formale Spezifikation ein Problem darstellt. Durch die Verwendung eines Automaten als Beobachter einer Verifikationsbeschaltung konnte eine korrekte Implementierung durch Modellprüfung mit dem SMV in Sekunden auf einer SUN Sparc Ultra 1 verifiziert werden.

10 Literatur [1] ANSI/IEEE Std IEEE Standard VHDL Language Reference Manual. IEEE, New York, USA, Juni [2] A. Gupta. Formal hardware verification methods: A survey. Journal of Formal Methods in System Design, 1: , [3] E.A. Emerson. Temporal and Modal Logic. In J. van Leeuwen, editor, Handbook of Theoretical Computer Science, volume B, pages , Amsterdam, Elsevier Science Publishers. [4] J. van Tassel and D. Hemmendinger. Toward Formal Verification of VHDL Specifications. In International Workshop on Applied Formal Methods for Correct VLSI Design, pages IFIP WG 10.2/WG 10.5, North-Holland, 1990, [5] K. Schneider. Ein einheitlicher Ansatz zur Unterstützung von Abstraktionsmechanismen der Hardwareverifikation, volume 116 of DISKI (Dissertationen zur Künstlichen Intelligenz). Infix Verlag, Sankt Augustin, ISBN [6] K.L. McMillan. Symbolic Model Checking. Kluwer Academic Publishers, [7] L.M. Augustin, B.A. Gennart, Y.Huh, D.C. Luckham, and A.G. Stanculescu. Verification of VHDL designs using VAL. In Proc. of the 25th Design Automation Conference, pages ACM/IEEE, [8] R. Reetz, K. Schneider, and T. Kropf. Verificationbench: Specification and verification using VHDL. Technical Report SFB358-C2-7/96, Universität Karlsruhe, Institut für Rechnerentwurf und Fehlertoleranz, December [9] R. Reetz and T. Kropf. Evaluating possibilities for formally sound simulation and verification of VHDL. In Satnam Singh and M. Sheeran, editors, Designing Correct Circuits, Båstad, Schweden, September Workshops in Computing, Springer. [10] R. Schlör and W. Damm. Specification and verification of system-level hardware design using timing diagrams. In G. Goossens and B. Lin, editors, The European Conference on Design Automation with The European Event in ASIC Design, pages , Paris, France, February IEEE Computer Society Press. [11] R. Reetz. Deep Embedding VHDL. In E.T. Schubert, P.J. Windley, and J. Alves- Foss, editors, 8th International Workshop on Higher Order Logic Theorem Proving and its Applications, volume 971 of Lecture Notes in Computer Science, pages , Aspen Grove, Utah, USA, September Springer-Verlag. [12] S.D. Johnson, P.S. Miner, and A. Camilleri. Studies of the single pulser in various reasoning systems. In T. Kropf and R. Kumar, editors, Proc. 2nd International Conference on Theorem Provers in Circuit Design (TPCD94), volume 901 of Lecture Notes in Computer Science, pages , Bad Herrenalb, Germany, September Springer. published 1995.