MODEL CHECKING 2 - AUTOMATEN

Transkript

1 MODEL CHECKING 2 - AUTOMATEN Sommersemester 2009 Dr. Carsten Sinz, Universität Karlsruhe

2 Model Checking 2 System (Hardware/ Software) Model Checking, Formalisierung, Beweis Übersetzung in Logik Gewünschte Eigenschaft Formalisiertes System (Model) Formalisierte Eigenschaft (Property)

3 Systeme 3 Vielfalt an Systemen: Hardware / Software Verschiedene Programmiersprachen Verschiedene Typen von Systemen: reaktiv, offen / geschlossen Systembegriff Geht auf Johann Heinrich Lambert ( ) zurück Kybernetik / Informationstheorie / Systembiologie System: Menge von Elementen und deren Vernetzung

4 Modellbildung: Naturwissenschaften 4 Beispiel (mathematisches) Pendel Idealisierungen: keine Reibung Pendelmasse in einem Punkt konzentriert (Massenmittelpunkt) Nur kleine Auslenkungen betrachten Dynamik beschrieben durch Differentialgleichung g l m m l ϕ = m g sin(ϕ) Unabhängig von Masse!

5 Modellbildung 5 Abstraktion Z.B. hinsichtlich Implementationsdetails, Zeitverhalten, low-level-funktionen Restriktion auf bestimmte Komponenten des Systems Bsp.: Prozessmodell im Betriebssystem wartend Kontext-Wechsel Unterbrechung laufend Systemaufruf abgearbeitet unterbrochen Systemaufruf

6 Modellierungsfragen 6 Offenes oder geschlossenes System? Offen: Interaktion mit der Umgebung (z.b. Sensorwerte lesen, Netzwerkkommunikation, Ausgabe an Aktoren) Geschlossen: keine Interaktion mit der Umgebung (Funktionsberechnung; Umgebung mit modelliert) Grad der Abstraktion Welche Aspekte sind wesentlich? Bsp. Betriebssystem: Swapping? Prozesserzeugung? Fairness? Garantierte Antwortzeiten?

7 Model Checking 7 Grundfrage: Gilt eine Eigenschaft für ein gegebenes System? Modellierung des Systems als (endlicher) Automat Modellierung der zu prüfenden Eigenschaft in passender Logik (bzw. ebenfalls als Automat) Definition Model Checking: Model Checking ist ein Verfahren zur vollautomatischen Verifikation einer Systembeschreibung (Modell) gegen eine Spezifikation (Eigenschaft, Formel)

8 Endliche Automaten 8 Definition: Ein endlicher Automat (EA) ist ein Tupel S: Zustandsmenge (häufig endlich) I S: Menge der Initialzustände : Eingabealphabet T S S: Übergangsrelation Notation: A =(S, I, Σ, T, F ) s a s für (s, a, s ) T [auch: T (s, a, s ) gilt. ] F S: Menge der Endzustände

9 Akzeptierte Sprache eines EA 9 Definition: Ein endlicher Automat A akzeptiert ein Wort w * genau dann, wenn es eine Sequenz gibt mit s 0 a 1 a 2 a s1 3 a n 1 s2 s n 1 n 0,s 0 I, s n F, w = a 1 a n a n s n Definition: Die Sprache L(A) eines Automaten A ist die Menge der von A akzeptierten Worte. Verwendung zur Modellierung: Offene Systeme (Verarbeitung von Ereginisstömen), endliche Läufe Prüfung, ob implementierter Ereignisstrom Spezifikation erfüllt

10 Produktautomat 10 Definition: Der Produktautomat EAs und mit ist definiert durch A =(A 1 A 2 ) zweier A 1 =(S 1,I 1, Σ 1,T 1,F 1 ) A 2 =(S 2,I 2, Σ 2,T 2,F 2 ) Σ 1 = Σ 2 S = S 1 S 2 I = I 1 I 2 Σ = Σ 1 = Σ 2 F = F 1 F 2 T ((s 1,s 2 ), a, (s 1,s 2)) gdw. T 1 (s 1, a, s 1) und T 2 (s 2, a, s 2) Theorem: Sei A =(A 1 A 2 ). Dann L(A) =L(A 1 ) L(A 2 ). Beispiel: Automat, der alle Worte mit Präfix ab und Suffix ba akzeptiert

11 Produktautomat: abσ Σ ba 11 A 1 : [L(A 1 )=abσ ] A 1 A 2 : a b A B C a, b A1 a A 2 : a, b [L(A 2 )=Σ ba] b B1 C1 b b C2 a C3 b a a, b

12 Eigenschaften von Endl. Automaten 12 Definition: Für s S, a Σ ist s a die Menge der Nachfolger von s, d.h. s a = {s S T (s, a, s )}. Definition: Ein EA ist vollständig gdw. s a > 0 für alle s S, a Σ. I > 0 Definition: Ein EA ist deterministisch gdw. s a 1 für alle s S, a Σ. und I 1 Daher: EA deterministisch und vollständig gdw. und s a =1für alle s S, a Σ. Und I =1

13 Potenzautomat, Teilmengenkonstruktion 13 Definition: Der Potenzautomat ist wie folgt definiert: A p = P(A) eines EA S p = P(S) I p = {I} Σ p = Σ F p = {F S F F } A T p (S, a, S ) gdw. S = {s S s S mit T (s, a, s )} Satz: Sei A p = P(A) der Potenzautomat eines EA A. Dann ist L(A p )=L(A) und A p ist deterministisch und vollständig.

14 Beispiel Potenzautomat 14 A : A p : a, b A1 a B1 b C1 b b C2 a C3 b {A1} {B1} a b a {C1,C2} b a b a Ø {C1,C3} b a {C1} a,b

15 Komplementautomat 15 Definition: Der Komplementautomat A k = K(A) eines EA A gleicht diesem bis auf die Menge der Finalzustände, für welche F k = S \ F gilt. Satz: Der Komplementautomat A k = K(A) ist deterministisch und vollständig, sofern A deterministisch und vollständig ist. Außerdem gilt L(A k )=L(A) =Σ \ L(A).

16 Model Checking mit Endl. Automaten 16 Idee: Modellierung und Spezifikation mit Endl. Automaten Ereignisströme einer Implementierung repräsentiert durch Automat A I. (Partielle) Spezifikation zulässiger Ereignisströme als Automat. A S Model Checking: Stimmt Impl. mit Spez. überein? L(A I ) L(A S ) gdw. L(A I ) L(A S )= gdw. A I K(P(A S )) besitzt keine erreichbaren Finalzustände

17 Algorithmus: MC mit Endl. Automaten 17 Algorithmus: 1. Gegeben: Implementation, Spezifikation. 2. Berechne Produktautomat. 3. Prüfe, ob es erreichbare Finalzustände in gibt. Wie kann Erreichbarkeitsanalyse durchgeführt werden? Tiefensuche (DFS) in Automat. Beispiel: Implementation I = ((s c) 2 ), Spezifikation S =(cs sc ss). A I A S A MC = A I K(P(A S )) A MC A MC

18 Beispiele Spezifikation 18 Zeitliche (temporale) Eigenschaften: Jedes 3. Zeichen im Eingabestrom ist a: Genau jedes 3. Zeichen ist a: (a a a) Einem a (acknowledge) muss ein r (request) vorangehen: r a Jedem a (acknowledge) muss ein r (request) vorangehen: (Σ a) r a Verfeinerung: (Prozessplanung für 3 Proz. a, b, c) Round robin: (abc acb bac bca cab cba) Round robin, a höhere Priorität als b? (Σ Σ a)

19 Beispiel: Locking 19 [Quelle: A. Biere]

20 Büchi-Automaten 20 Definition: Ein Büchi-Automat ist ein Tupel S: Zustandsmenge (häufig endlich) I S: Menge der Initialzustände : Eingabealphabet T S S: Übergangsrelation Notation: A =(S, I, Σ, T, F ) s a s für (s, a, s ) T [auch: T (s, a, s ) gilt. ] F S: Menge der akzeptierenden Zustände

21 Akzeptierte Sprache eines 21 Büchi-Automaten Läufe von Büchi-Automaten sind immer unendlich! Eingabeworte: w Σ ω (unendlich lange Worte) Definition: Sei inf(ρ) die Menge der Zustände, die unendlich oft in einem Lauf ρ auftreten. Ein Büchi- Automat A akzeptiert ein Wort w Σ ω genau dann, wenn auf dem zu w gehörigen Lauf ρ ein Finalzustand unendlich oft auftritt, d.h. inf(ρ) F Definition: Die Sprache L(A) eines Büchi-Automaten A ist die Menge der von A akzeptierten Worte.

22 Beispiel Büchi-Automat 22 a b a 1 2 b Wird (ab) ω akzeptiert? ja -reguläre Ausdrücke Akzeptierte Sprache? (b a) ω Worte, in denen a unendlich oft vorkommt

23 Eigenschaften von Büchi-Automaten 23 Abgeschlossen unter Schnitt und Komplement (wie Endliche Automaten) Berechnung des Komplements kompliziert

24 Model-Checking mit Büchi-Automaten 24 Gleiche Idee wie bei endlichen Automaten Modellierung und Spezifikation mit Büchi-Automaten Ereignisströme einer Implementierung repräsentiert durch Büchi-Automat. (Partielle) Spezifikation zulässiger Ereignisströme als Büchi-Automat. Model Checking: Stimmt Impl. mit Spez. überein? L(A I ) L(A S ) gdw. A S A I L(A I ) L(A S )=

25 Algorithmus: MC mit Büchi-Automaten 25 Wie im Falle von Endlichen Automaten Notwendige Sub-Routinen: Komplement, Produkt von Büchi-Automaten; Test auf leere Sprache L(A I ) L(A S )= Schnitt-Berechnung über Produktautomat Komplement-Berechnung schwierig Daher häufig direkte Angabe des Automaten A S, der fehlerhafte Läufe beschreibt (d.h. L(A S )=L(A S ) ).

26 Produkt-Büchi-Automat 26 Definition: Der Produktautomat Büchi-Automaten mit Für die Übergangsrelation gilt ((s 1,s 2,x), a, (s 1,s 2,y)) T, falls (s 1, a, s 1) T 1 und (s 2, a, s 2) T 2 ; wenn x = 0 und s 1 F 1, dann y = 1; zweier und ist definiert durch A =(A 1 A 2 ) A 1 =(S 1,I 1, Σ 1,T 1,F 1 ) A 2 =(S 2,I 2, Σ 2,T 2,F 2 ) Σ 1 = Σ 2 S = S 1 S 2 {0, 1, 2} I = I 1 I 2 {0} Σ =Σ 1 = Σ 2 F = F 1 F 2 {2} wenn x = 1 und s 2 F 2, dann y = 2; wenn x =2, dann y = 0; ansonsten : y = x.