Modellierung und Analyse mittels FSPs Analysevefahren am Beispiel Wechselseitiger Ausschluß

Transkript

1 Modellierung und Analyse mittels FSPs Analysevefahren am Beispiel Wechselseitiger Ausschluß Analyse von nebenläufigen Prozessen 1

2 Übersicht Beispielproblem: Interferenz von Prozessen und wechselseitiger Ausschluß (mutual exclusion). Modellierung:FSP Modell Analyse: Testen Komposition mit Fehlerdetektionsprozeß Zustandsraumexploration Minimierung Analyse von nebenläufigen Prozessen 2

3 Interferenz Ornamental Garden Problem: Besucher betreten einen Park durch zwei Eingänge mit Drehkreuzen. Die Verwaltung möchte zu jedem Zeitpunkt über die aktuelle Anzahl Besucher informiert sein. Park West Turnstile Besucher East Turnstile Das nebenläufige Programm besteht aus zwei Threads und einem geteilten Objekt zur Zählung der Besucher. Analyse von nebenläufigen Prozessen 3

4 Ornamental Garden Programm - Klassendiagramm Applet Thread Garden east,west Turnstile people Counter init() go() run() increment() eastd, westd, counterd NumberCanvas setvalue() display display Der Turnstile Thread simuliert periodische Ankünfte von Besuchern (1 je Sekunde) durch Warten und Aufruf der Methode increment() für das Counter Objekt. Analyse von nebenläufigen Prozessen 4

5 Ornamental Garden Programm - Display Nachdem East und West Turnstile Threads jeweils 20 mal ein increment() durchgeführt haben, zeigt der Zähler nicht die Summe der beiden Turnstile Aufrufe! Einige Zählererhöhungen sind verloren gegangen, warum? Analyse von nebenläufigen Prozessen 5

6 Aktivierung nebenläufiger Methoden Die Aktivierung von Java Methoden ist nicht atomar- Threads East und West können gleichzeitig den Code für die Inkrement Methode ausführen. west PC program counter geteilter Code increment: read value write value + 1 east PC program counter Analyse von nebenläufigen Prozessen 6

7 Ornamental Garden Modell go end go end arrive value east: TURNSTILE go end arrive value west: TURNSTILE value:var read write GARDEN display Der Prozeß VAR modelliert Lese- und Schreibzugriffe auf den geteilten Zähler value. Increment() intern in TURNSTILE modelliert, weil Aktivierung von Java Methoden nicht atomar. Interleaving bei Lese- und Schreibzugriffen Analyse von nebenläufigen Prozessen 7

8 Ornamental Garden Modell const N = 4 range T = 0..N set VarAlpha = { value.{read[t],write[t]} } VAR = VAR[0], VAR[u:T] = (read[u] ->VAR[u] write[v:t]->var[v]). Alphabet des Prozesses VAR explizit als set Konstante, VarAlpha. TURNSTILE = (go -> RUN), RUN = (arrive-> INCREMENT end -> TURNSTILE), INCREMENT = (value.read[x:t] -> value.write[x+1]->run )+VarAlpha. GARDEN = (east:turnstile west:turnstile { east,west,display} ::value:var) /{ go /{ east,west}.go, end/{ east,west}.end}. Alphabet von TURNSTILE um VarAlpha erweitert damit keine freien Aktionen in VAR auftreten, dh alle Aktionen in VAR sind von TURNSTILE kontrolliert. Analyse von nebenläufigen Prozessen 8

9 Fehlersuche mittels Testen - Animation Testen eines Szenario - erzeuge einen Trace. Ist dieser Trace korrekt? Analyse von nebenläufigen Prozessen 9

10 Testalgorithmus - rudimentär s ist initialer Zustand while ( s STOP ) do for all od return od ( s, x, s ) ask user if selected then append(trace,x) ; s = s ; Wesentliche Anforderung an Modellwelt ist eine berechenbare Funktion (genauer Relation) zur Bestimmung aller Übergänge für einen Zustand s. In FSP durch Angabe einer syntaktischen Ableitungsregel je Operator. Analyse von nebenläufigen Prozessen 10

11 Ableitungsregeln für Transitionsrelation Beispiel: parallele Komposition sei P Π, Q Π a A Für P Q wird durch folgende Regeln erzeugt: Π ist ERROR Prozeß P a P P a Q P Q a αq P Q Q a Q a P Q a αp P a a P, Q Q a P Q P Q a τ Analyse von nebenläufigen Prozessen 11

12 Beispielberechnung zur Transitionsrelation (east:turnstile west:turnstile {east,west,display}::value:var) /{ go/{east,west}.go, end/{east,west}.end } go (east:run west:run {east,west,display}::value:var) /{ go/{east,west}.go, end/{east,west}.end } east.arrive west.arrive (east:increment west:run {east,west,display}::value:var) /{ go/{east,west}.go, end/{east,west}.end } Nachfolgerberechnung durch textuelle Manipulation der Prozeßbeschreibung textuelle Ersetzung gemäß Regeln für ->,, und Rekursion. Analyse von nebenläufigen Prozessen 12

13 Spezielles Problem bei Prozeßalgebren Transitionsrelation liefert jeweils vollständige Prozeßbeschreibung als Nachfolgezustand Gleichheit von Zuständen als Gleichheit von Prozessen in FSP Unterschiedliche Definitionsmöglichkeiten Gleichheit als Gleichheit von Strings (naheliegend) Gleichheit unter Berücksichtigung von geltenden Kommutativ- und Assoziativgesetzen z.b. bzgl Choice und Parallel Composition Gleichheit falls jeweils gleiche Übergänge möglich sind und diese auch zu wechselseitig gleichen Nachfolgern führen (Bisimulation,starke Äquivalenz) Test auf Gleichheit in jedem Fall aufwendig, hier Gleichheit von Strings betrachtet Analyse von nebenläufigen Prozessen 13

14 Zustandsraumexploration - Abbildung FSP -> LTS Unterschiedliche Sichtweisen Ableitung des LTS aus FSP Transitiver Abschluß der Erreichbarkeitsrelation Γ wobei ( s0, s0) Γ und x T ( s, x, s ) ( s, bei nebenläufigen Prozessen tritt kombinatorische Explosion auf (Zustandsraumexplosion) Unterschiedliche Implementierung von Explorationsverfahren Graphalgorithmen (DFS,BFS) zum Durchlaufen gerichteter Graphen : s ) Γ Bitstate Hashing (SPIN) verteilte Algorithmen, Zuordnung von Adreßbereichen zu Prozessoren Divide&Conquer mit Perfect Hashing (Kronecker Verfahren) Matrixpotenzierung (zu aufwendig) Symbolic Modelchecking: BDDs zur Kodierung einer binären Relation und zur Berechnung des transitiven Abschlusses i.a. zusätzliches Problem: Erkennung unendlicher Zustandsräume Analyse von nebenläufigen Prozessen 14

15 Algorithmus zur Zustandsraumexploration - DFS/BFS s ist initialer Zustand, while ( N {} ) do entferne s aus N for all od od if then S = N = {s} ( s, x, s ) s S S = S { s }; N = N { s } Resultat: Menge aller erreichbaren Zustände S Wesentliche Anforderungen an die Modellwelt sind: a) Nachfolgerelation, b) Test auf Gleichheit. Datenstruktur für N: bei DFS Stack, bei BFS Queue Crux: Platzbedarf, eff. Such-/Einfügeoperation bei großem S und N. Analyse von nebenläufigen Prozessen 15

16 Zustandsraumexploration - Eigenschaften ermitteln Welche Eigenschaften sind erkennbar? Erreichbarkeit von Zuständen mit besonderen Eigenschaften Durchführbarkeit von Abläufen, Sequenzen von Aktionen Wie lassen sich Eigenschaften beschreiben & erkennen? Spezielle Zustände als Teilmenge des Zustandsraum leicht charakterisierbar, Erkennung entspricht Existenztest im Zustandsraum Beschreibung von Abläufen oder Zuständen durch zusätzliches beobachtendes Teilmodell, das ggfs Deadlock/ERROR bewirkt. Impliziert Transformation des Modells und Existenztest bzgl spezieller Zustände im LTS Eigenschaftsbeschreibung durch eigene Sprache (Modale Logik) und Evaluation am LTS durch spezielle Verfahren (Graphalgorithmen) Für Benutzerinteraktion wichtig: Angabe eines Zeugen, falls eine Eigenschaft vorliegt Angabe eines Gegenbeispiels, falls eine Eigenschaft nicht gilt Analyse von nebenläufigen Prozessen 16

17 Algorithmus für erschöpfende Suche nach ERROR Zuständen mit BFS s ist initialer Zustand, while ( N {} und s ERROR) do entferne s aus Queue N for all od od ( s, x, s ) s S if then enqueue(n,s ); S = N = {s} S = S {s}; Falls ERROR gefunden, muß abschließend Pfad in S ermittelt werden. Alternativ: je Zustand s Triple (s,x,s ) merken,... BFS vorteilhaft zur Bestimmung kürzester Pfade. Analyse von nebenläufigen Prozessen 17

18 Fehlersuche mittels erschöpfender Suche Das Modell wird mit einem TEST Prozeß komponiert, der die Summe der Ankünfte mit dem angezeigten Wert vergleicht: TEST = TEST[0], TEST[v:T] = (when (v<n){east.arrive,west.arrive}->test[v+1] end->check[v] ), CHECK[v:T] = (display.value.read[u:t] -> (when (u==v) right -> TEST[v] when (u!=v) wrong -> ERROR ) )+{display.varalpha}. Wie STOP, nur ERROR ist ein vordefinierter FSP Prozeß mit fester Zustandsnummer -1 im LTS. Analyse von nebenläufigen Prozessen 18

19 Ornamental Garden Modell - Fehlersuche TESTGARDEN = (GARDEN TEST). Mit LTSA erschöpfende Suche nach ERROR. Trace zum Fehlerfall in TEST: go east.arrive east.value.read.0 west.arrive west.value.read.0 east.value.write.1 west.value.write.1 end display.value.read.1 wrong LTSA produziert den kürzesten Pfad zum ERROR Zustand. BFS oder DFS? Analyse von nebenläufigen Prozessen 19

20 Interferenz und wechselseitiger Ausschluß Ein destruktives Update, das durch beliebiges Interleaving aus Lese- und Schreiboperationen erzeugt wird, heißt Interferenz. Fehler durch Interferenz sind schwer zu lokalisieren. Generelle Lösung: Methoden dürfen nur im wechselseitigen Ausschluß auf geteilte Objekte zugreifen. Wechselseitiger Ausschluß kann durch atomare Aktionen modelliert werden. (klassisches Thema in Vorlesung Betriebssysteme) Analyse von nebenläufigen Prozessen 20

21 Wechselseitiger Ausschluß im Beispielproblem Java kann mit jedem Objekt einen lock assoziieren (synchronized). Bei Aufruf einer Methode wird zusätzlicher Code zur Belegung (Aquire, vor Ausführung) und Freigabe (Release nach Ausführung und vor Return) des Locks durchlaufen. Nebenläufige Prozesse müssen ggfs bei Belegung zunächst auf Freigabe des Locks warten. Analyse von nebenläufigen Prozessen 21

22 Modelierung eines wechselseitigen Ausschlusses Wir definieren einen LOCK Prozeß, komponieren in mit Prozeß VAR und modifizieren das Alphabet: LOCK = (acquire->release->lock). LOCKVAR = (LOCK VAR). set VarAlpha = {value.{read[t],write[t], acquire, release}} Wir ergänzen TURNSTILE um die Belegung/Freigabe des Locks: TURNSTILE = (go -> RUN), RUN = (arrive-> INCREMENT end -> TURNSTILE), INCREMENT = (value.acquire -> value.read[x:t]->value.write[x+1] -> value.release->run )+VarAlpha. Analyse von nebenläufigen Prozessen 22

23 Verbessertes Ornamental Garden Modell - Fehlersuche Animation eines Beispiel Traces go east.arrive east.value.acquire east.value.read.0 east.value.write.1 east.value.release west.arrive west.value.acquire west.value.read.1 west.value.write.2 west.value.release end display.value.read.2 right Mittels TEST und LTSA erschöpfende Suche: Ist TEST erfüllt? Analyse von nebenläufigen Prozessen 23

24 Zusammenfassung Konzepte Prozeß Interferenz Wechselseitiger Ausschluß Modellierung und Analyse mit FSPs Komposition mit TEST Prozeß, somit Abbildung des Fehlers auf Deadlock Erschöpfende Suche Allgemeiner: Zustandsraumexploration Minimierung mittels Bisimulation Analyse von nebenläufigen Prozessen 24