1. Motivation und Begriffe. Modelchecking. Hintergrund. Hintergrund. Schwache Fairness. Progress

Transkript

1 1. Motivtion un Begriffe Moelheking VI. Firness Motivtion un Begriffe Firness in Kripkestrukturen Fires CTL*, CTL un LTL Fires Moelheking für CTL Firness in NuSMV Hintergrun Progress Shwhe Firness Strke Firness 2 Hintergrun Hintergrun Wir hen ereits Beispiele gesehen, in enen wir erzwingen wollen, ß estimmter Üergänge in einem Aluf uh irgenwnn usgewählt weren. Mit Hilfe von Firness für estimmte Üergänge zw. Moule eshreien wir, welhe Üergänge unter welhen Umstänen irgenwnn usgewählt weren müssen. Es git vershieene Ausprägungen un Astufungen von Firness un elegnte mthemtishe Moelle un Theorien zum Them Firness. Leier wir s Them Firness im Moelheking sehr stiefmütterlih ehnelt. Es folgt ein informeller Üerlik üer ie vershieenen Konzepte. In Ashnit weren Kripkestrukturen um ein Firnesskonzept erweitert In Ashnitt 3 wir ie Firness für CLT* efiniert In Ashnitt 4 weren ie Moelheking- Algorithmen für Firness erweitert. 3 4 Progress Shwhe Firness Progressnnhme für t : Wenn Trnsition t ktiviert ist un unhängig von neren Trnsitionen ist, shltet t uh irgenwnn! Shwhe Firness für t : Wenn eine Trnsition t irgenwnn für immer ktiviert ist, nn shltet sie uh irgenwnn! (1,0,1,0) [ (0,1,1,0) [ (1,0,1,0) [ (0,1,1,0) [ (1,0,1,0) [ (0,1,1,0) [ (1,0,1,0) [ (0,1,1,0) [ Dieser Aluf erfüllt ie Progressnnhme für t 3 niht, t 3 ktiviert ist un unhängig von un ist, er trotzem niht shltet. (1,0,1,0) (0,1,1,0) Dieser Aluf erfüllt ie shwhe Firnessnnhme für t 3 niht, t 3 immer ktiviert ist, er trotzem niht shltet. (1,0,1,0) (0,1,1,0) (1,0,0,1) (0,1,0,1) (1,0,0,1) (0,1,0,1) 5 6

2 Progress vs. Shwhe Firness Gleihe Kripkestruktur (1,0,1,0,1) [ (0,1,1,0,1) [ (1,0,1,0,1) [ (0,1,1,0,1) [ Dieser Aluf erfüllt ie Progressnnhme für t 3 ( t 3, niht unhängig von ist). Der Aluf erfüllt er ie shwhe Firnessnnhme für t 3 niht, t 3 immer ktiviert ist, er trotzem niht shltet. e (1,0,1,0,1) (1,0,0,1,1) (0,1,1,0,1) (0,1,0,1,1) 7 e (1,0,1,0) (1,0,0,1) (1,0,1,0,1) (1,0,0,1,1) Die Kripkestrukturen sin im wesentlihen gleih! (0,1,1,0) (0,1,0,1) (0,1,1,0,1) (0,1,0,1,1) 8 Progress vs. shwhe Firness Shwhe Firness Es git zwr einen wihtigen Untershie zwishen Progress un shwher Firness, er in Kripkestrukturen (un vielen neren Systemmoellen) läßt er sih nur uf Umwegen formulieren. Deshl wir meistens shwhe Firness enutzt um Progress uszurüken. Informelle Formulierung von shwher Firness in Pseuo-LTL: ( F G ktiviert(t) ) ( G F shltet(t) ) Können wir einfh ls ussgenlogishe Formel formulieren. ktiviert(t 3 ) e Ds Shlten einer Trnsition knn mn niht ussgenlogish formulieren. Oft knn s Shlten er inirekt urh eine ussgenlogishe Formel formuliert weren. shltet(t 3 ) 9 10 Shwhe Firness Shwhe Firness ist shwh Informelle Formulierung von shwher Firness in Pseuo-LTL: ( F G ktiviert(t) ) ( G F shltet(t) ) Können wir einfh ls ussgenlogishe Formel formulieren. ktiviert(t 3 ) e Mit Hilfe es Opertors X knn mn s Shlten einer Trnsition esser (er immer noh niht gnz exkt) formulieren. shltet(t 3 ) (e ) X (e ) reques t ritil 1 semphor ritil 2 reques ile 1 ile 2 (ile 1,, 1, ile 2 ) (reques,, 1, ile 2 ) (reques,, 1, reques ) (reques,, 0, ritil 2 ) (reques,, 1, ile 2 ) (reques,, 1, reques ) (reques,, 0, ritil 2 )... Die Trnsition t wir in iesem Aluf shwh fir ehnelt, t niht immer ktiviert ist (nur immer wieer)

3 Strke Firness 2. Firness in Kripkestrukturen Die strke Firnessnnhme für eine Trnsition t verlngt, ß ie Trnsition t unenlih oft shltet, wenn sie im Aluf unenlih oft ktiviert ist: ( G F ktiviert(t) ) ( G F shltet(t) ) Viele wünshenswerte Eigenshften von Systemen gelten nur nn, wenn mn für estimmte Trnsitionen strke Firness forert un ie Formeln nur uf en firen Pfen interpretiert. In einer Kripkestruktur (S, S 0, R, L) weren ie firen Pfe urh eine Menge von Zustnsmengen F = { S 1, S 2,,, S n, } hrkterisiert. M = (S, S 0, R, L, F ) heißt nn Kripkestruktur mit Firnessnnhmen F. Die Menge F knn mn urh Zustnsformeln ϕ 1, ϕ 2,,, ϕ n repräsentieren; iese Formeln nennen wir nn Firnesseingungen Fire Pfe Bemerkungen Ein Pf π = s 0 s 1 s 2 s 3 heißt fir ezüglih F, wenn für jees S i us F n unenlih vielen Positionen ein Zustn us S i in π vorkommt;.h. für unenlih viele Positionen j N gilt s j S i. Mit Firness ht s nur eingt etws zu tun. Die Firnessnnhmen sin nur eine Krüke, um so etws wie Firness uszurüken. Entweer sin ie Forerungen zu shwh oer zu strk. Aer iese Firnessnnhmen sin esser ls gr niht üer Firness reen zu können. Im prktishen Geruh sollte mn ls erstes üerprüfen, o für ie Kripkestruktur für jee Firnesseingung ϕ i gilt AG EF ϕ i. Sonst git es Zustäne in enen kein firer Pf strtet. Ds knn zu ösen Üerrshungen führen Fires CTL*, CTL un LTL Definition Gültigkeit s F ϕ Für eine Kripkestruktur M = (S, S 0, R, L, F ) mit Firnessnnhmen efinieren wir ie Gültigkeit von CTL*-Formeln ezüglih F : s F ϕ Die Definition ist für lle Opertoren ußer en Pfquntoren wie ei CTL* ohne Firnessnnhmen. Aus tehnishen Grünen müssen wir uh ie Gültigkeit von tomren Aussgen neu efinieren (es könnte sein, ß in einem Zustn kein firer Pf nfängt; vgl. Bemerkung uf er vorngegngenen Folie). Für ie tomren Aussgen efinieren wir: s F p gilt genu nn, wenn ein ezüglih F firer Pf mit Anfngszustn s existiert un wenn gilt p L(s) Für ie Pfquntoren efinieren wir: s F E ϕ gilt genu nn, wenn ein ezüglih F firer Pf π mit Anfngszustn s existiert, in em gilt π F ϕ s F A ϕ gilt genu nn, wenn für jeen ezüglih F firen Pf π mit Anfngszustn s gilt π F ϕ Für ie neren Opertoren ist ie Gültigkeit F wie ei efiniert

4 Nottionen Firness in LTL Mnhml ist es zwekmäßig, irekt im Opertor uszurüken, ß er ezüglih einer Firnessnforerung gemeint ist: EG F p E F [ p U q ] E F ( p F q ) Mit er Definition er Gültigkeit von CTL*-Formeln ezüglih einer Firnessnnhme ist ntürlih uh ie Gültigkeit für LTL- un CTL-Formeln efiniert. Für eine LTL-Formel A ϕ können wir ie Firnessnnhme jeoh irekt in er LTL-Formel usrüken. Dzu nehmen wir n, ß ie Firnessnnhmen F urh ie Firnesseingungen ϕ 1,, ϕ n repräsentiert sin. Dnn gilt s F A ϕ genu nn, wenn s A (( ( G F ϕ 1 ) ( G F ϕ n ) ) ϕ) gilt. Pf ist fir zgl. F Firness in CTL Firness in CTL* In CTL läßt sih ie Firnessnnhme leier niht usrüken. Denn ie Üersetzung von AF F ϕ in A (( ( G F ϕ 1 ) ( G F ϕ n ) ) F ϕ ) ist leier keine CTL-Formel mehr. In CTL*-Formeln knn mn, wie für LTL- Formeln, ie Firnessnfoerung in er Formel selst oieren; llerings muß mn in CTL* ie Üersetzung für lle Pfquntoren urhführen. In CTL knn mn Pfe üer ie temporlen Opertoren niht festhlten Fires Moelheking für CTL Motivtion D mn sowohl für LTL- ls uh für CTL*-Formeln ie Firness in en Formeln selst koieren knn, ruhen wir für keine neuen Algorithmen. Motivtion EG F ϕ EX F ϕ E F [ ϕ U ψ ] Vorsiht: Die Formeln weren sehr viel größer un er Aufwn steigt exponentiell mit er Größe er Formel! CTL-Formeln können wir ntürlih uh in CTL*-Formeln mit en entsprehenen Firnessforerungen üersetzen un nn ls CTL*-Formeln üerprüfen; iese Algorithmen sin er viel ineffizienter ls ie für CTL-Formeln. Deshl üerlegen wir uns ein Verfhren, s irekt mit CTL- Formeln umgehen knn un effizienter ist ls s Verfhren für CTL*-Formeln

5 Algorithmus für EG F ϕ : Iee Fire Zusmmenhngskomponente Wir etrhten wieer en Teilgrphen er Zustäne s, in enen s F ϕ gilt. Wieer wählen wir ie niht-trivilen Zusmmenhngskomponenten ieses Teilgrphen us un ie Zustäne, ie in sie hineinführen: ϕ ϕ ϕ ϕ ϕ S 1 S 2 Allerings wählen wir jetzt nur noh iejenigen Zusmmenhngskomponenten us, in enen für jee Firnessnnhme S i wenigstens ein Zustn us S i in er Zusmmenhngskomponente vorkommt. Denn nn knn mn innerhl ieser firen Zusmmenhngskomponente einen firen Pf ilen, uf em üerll ϕ gilt. Eine niht-trivile strke Zusmmenhngskomponente C heißt fire Zusmmenhngskomponente ezüglih er Firnessnnhmen S 1,..., S n, wenn für jees S i gilt S i C. Aus er Menge er niht-trivilen Zusmmenhngskomponenten { C 1,..., C m } einer Kripkestruktur knn mn mit Aufwn O( S n ) ie firen Zusmmenhngskomponenten uswählen Prozeur MrkiereEGfir(ϕ) Aufwn S := { s ϕ lel(s) }; SCC:= { C C ist fire Zusmmenhngskomponente zgl. S } ; T:= C SCC C for ll s T o lel(s):= lel(s) { EG ϕ }; while T <> {} o hoose s T; T:= T \ { s }; for ll t with s S n R(t,s) o if EG ϕ lel(t) then lel(t):= lel(t) { EG ϕ }; T:= T { t }; Hier ist er einzige Untershie zum Algorithmus ohne Firness! Die Prozeur MrkiereEGfir ist fst ientish mit MrkiereEG! Der einzige Mehrufwn esteht in er Selektion er firen Zusmmenhngskomponenten. Der Aufwn für einen Aufruf ist eutlih nieriger ls ei einer Üersetzung in eine CTL*-Formel: O( ( S + R ) n ) Anzhl er Firnessnnhmen Akürzung: fir EG true Akürzungen Die Formel fir EG F true gilt genu in en Zustänen, in enen ein firer Pf eginnt. Mit er Prozeur MrkiereEGfir(true) können wir lso ie Zustäne ientifizieren un mit Formel fir eshriften, in enen fire Pfe eginnen. Außerem können wir ie Gültigkeit von llen neren CTL-Opertoren unter Firness mit Hilfe er Formel fir uf ie Gültigkeit von CTL-Formel (ohne Firness) zurükführen. s F p gilt genu nn, wenn gilt s p fir s F EX ϕ gilt genu, wenn gilt s EX (ϕ fir) s F E[ ϕ U ψ] gilt genu, wenn gilt s E[ ϕ U (ψ fir) ] Für ie Opertoren EX un EU enötigen wir lso keine neuen Mrkierungslgorithmen. Wir üersetzen sttt essen ie lten Algorithmen für ie moifizierten Formeln

6 Gesmtufwn 4. Firness in NuSMV Der Aufwn für s fire CTL-Moelheking ist nn (gro): O( ( S + R ) ϕ n ) In NuSMV wir eine Firnesseingungen urh s Shlüsselwort FAIRNESS gefolgt von einer Zustnsformel ngeen. Die Beeutung ist genu wie ie ei firen Kripkestrukturen. Mn knn ie Firnesseingungen für jees Moul seprt formulieren Strke Firness knn mn in NuSMV nur urh usrüken, ß ie Beingung in eine LTL-Formel hineinoiert wir Beispiel Beispiel MODULE min VAR : oolen; : oolen; INIT! TRANS ( next() =! & next() = ) ( next() = & next() =! ) FAIRNESS FAIRNESS! FAIRNESS FAIRNESS! Firnesseingungen MODULE gent(semphor) VAR stte : { ile, request, ritil }; ASSIGN init(stte):= ile; next(stte):= se stte = ile : { ile, request }; stte = request & semphor : ritil; stte = ritil : ile; 1 : stte; es; next(semphor):= se stte = request & semphor : 0; stte = ritil : 1; 1 : semphor; es; FAIRNESS running Nur wenn s Moul synhron enutzt wir! Grntiert, ß s synhrone Moul immer wieer rnkommt Ahtung Durh ie Ange ungeshikter Firnesseingungen knn es sein, ß in estimmten Zustänen kein firer Pf mehr eginnen knn! Dnn knn plötzlih eine Formel AG FALSE whr sein! Dnn sin sogr lle ACTL-Formeln whr. Um solhe Üerrshungen zu vermeien, sollten mn immer erst üerprüfen, o im Moell von jeem Zustn ein firer Pf usgeht: NuSMV > hek_trns 35