6. Explizite Zeit und Zeitautomaten

Transkript

1 6. Explizite Zeit und Zeitautomaten Bisher: Zeit nur als Ordnungsrelation zwischen Zuständen/Ereignissen Jetzt: Zeit als explizite kontinuierliche Größe modelliert (reelle Werte) Uhren: stückweise kontinuierliche Funktionen der Zeit. Alle Uhren laufen gleich schnell (uniforme, synchrone Uhren). Uhren können zurückgesetzt werden, als Teil einer Aktion. Zeitautomat (timed automaton) Verallgemeinerung der bisher betrachteten Zustandsautomaten durch Hinzufügen von Uhren Grundlage für die Modellierung und Analyse (Verifikation) von Systemen mit Echtzeit- Verhalten. Transitionen im Automaten können mit Uhren-Einschränkungen (clock constraints) verbunden sein. Eine Uhren-Einschränkung ist ein Prädikat über den (Werten der) Uhren. v.henke: Computergestützte Modellierung und Verifikation SS

2 Ä Æ Ä ËÁË Ç ÌÁÅ Ë ËÌ ÅË Beispiel: Bahnübergang ½ System Bahnübergang besteht aus 3 Komponenten: Zug (train) Schranke (gate) Kontrolleinheit (Controller) System ÙÖ wird ½º½ modelliert Ê ÐÖÓ ÖÓ Ò ÓÒØÖÓÐÐ Öº als nebenläufige ( parallele ) Komposition von 3 Zeitautomaten. Ð ØØ Ò Ø Ñ Ð Ô ÓÒØ ÒÙÓÙ ÐÝ Û Ð Ø Ý Ò Ò ÐÓ Ø ÓÒ ÐÓÒ Ø Ò Ø Ò Ø Ô Ø Ø Ò Ø ÐÓ Ø ÓÒº Ý Ø Ñ Ö ÓÒ ØÖÙØ Ý Ñ Ò Ó Ô Ö ÐÐ Ð ÓÑÔÓ Ø ÓÒ Ó Ø Ñ ÙØÓÑ Ø º ÔÓ Ý Ø Ñ Ø Ñ Ô ÝÒ ÖÓÒÓÙ ÐÝ ÓÖ ÐÐ ÓÑÔÓÒ ÒØ Û Ð Ø Ö Ø ÓÖÑ ÝÒ ÖÓÒÓÙ ÐÝ ÙÒÐ ÓÑ Ó Ø ÓÑÔÓÒ ÒØ ÓÑÑÙÒ Ø ÒÛ ÖÓÒ Þ º ½ ÔÐ Ý Ö ÐÖÓ ÖÓ Ò Ò Ö Ó ÓÒ Ø Ò Ó Ø ØÖ Ò Ò ÓÒ¹ v.henke: Computergestützte Modellierung und Verifikation SS

3 Beispiel: Bahnübergang (2) Informelle Beschreibung: Zug (train) sendet Signal approach an Controller wenigstens 2 ZE (Zeit-Einheiten) vor Erreichen des Bahnübergangs, bleibt max. 3 ZE im Übergang, sendet Signal exit beim Verlassen. Controller sendet Kommando lower an Schranke (gate) genau 1 ZE nach Erhalt des Signals approach, und sendet Kommando raise nicht mehr als 1 ZE nach Erhalt des Signals exit. Schranke benötigt max. 1 ZE für das Schließen, 1 2 ZE für das Öffnen. v.henke: Computergestützte Modellierung und Verifikation SS

4 v.henke: Computergestützte Modellierung und Verifikation SS Ø ØÖ Ò ÐÓ Ø ÓÒ ÖÓÑ Ø ¼ ØÓ Ø ½ º ËÙ Ú ÒØ Ø ÔÐ Ò Ø ÒØ Ò ÓÙ ÐÝ Ò Ö Ø Ö ÓÖ ½ Beispiel: Bahnübergang À ÈÌ Ê (3) ½º ÁÆÌÊÇ Í ÌÁÇÆ Ø ¼ ÔÔÖÓ Ü ¼ Ø ½ Ü ¼ ÐÓÛ Ö Ý ¼ ½ Ý ½ Ü Ø ÌÖ Ò Ü ¾ Ò Ý ½ ÙÔ Ø ÓÛÒ Ø Ü ÓÙØ Ø ¾ Ü Ý ¾ Ö Ý ¼ ¾ ¼ ÔÔÖÓ Þ ¼ ½ Þ ½ Ö ÓÒØÖÓÐÐ Ö Þ ½ ÐÓÛ Ö Þ ½ Ü Ø Þ ¼ ¾ ÙÖ ½º¾ ÌÖ Ò Ø ÓÒØÖÓÐÐ Öº

5 Zeitautomaten: informell Zeitautomaten haben Kontrollzustände und diskrete Übergänge zwischen diesen. Den Zeitautomaten sind Uhren zugeordnet. Im Beispiel: eine Uhr je Komponente x, y, z (Diskrete) Transitionen zwischen Zuständen entsprechen Ereignissen. Sie finden in einem Zeitmoment statt, d.h. verbrauchen keine Zeit. Transitionen können mit Uhren-Einschränkungen (guard, Wächter ) versehen werden. Eine Transition kann nur stattfinden, wenn die augenblicklichen Werte der Uhren die einschränkende Bedingung erfüllen. Im Beispiel: Transition von t 1 nach t 2 erst, nachdem 2 ZE verstrichen sind. Mit Kontrollzuständen können Invarianten verbunden werden: Prädikate über den lokalen Uhren. Die Verletzung einer Invariante kann gegebenenfalls nur durch einen Zustandsübergang verhindert werden. v.henke: Computergestützte Modellierung und Verifikation SS

6 Uhren x reset guard x =1 0 t Fig. 1. A clock (x) is a piece-wise continuous function of time (t). v.henke: Computergestützte ymodellierung und Verifikation SS

7 Uhren (2) Lokale Uhren: repräsentiert durch Variablen x, y, z,... aus einer Menge C. Eine Belegung ν der Uhren mit Werten ordnet jeder Uhr (in C ) eine nichtnegative relle Zahl zu. V C : Menge der Belegungen der Uhren in C Uhren-Einschränkungen: Konjunktionen von atomaren Vergleichsaussagen der Form x d oder x y d mit d ganzzahlig, eine Vergleichsoperation aus {<,, =,, >}. Uhren-Einschränkungen werden relativ zu Belegungen der Uhren ausgewertet. Ψ C bezeichne die Menge der Uhren-Einschränkungen über der Uhrenmenge C v.henke: Computergestützte Modellierung und Verifikation SS

8 Zeitautomaten: formal Zeitautomat A = (S, S 0, Σ, C, I, E) mit S (endliche) Menge von Kontrollzuständen ( locations ) S 0 S Anfangszustände Σ endliches Alphabet (Markierungen der Transitionen) C endliche Menge von Uhren I : S P(Ψ C ) ordnet jedem Kontrollzustand eine Menge von Invarianten zu Variante: auch Zustände markiert L : S P(AP) AP Menge atomarer Aussagen v.henke: Computergestützte Modellierung und Verifikation SS

9 Zeitautomaten: formal (2) E Zustandsübergangsrelation: E S Σ Ψ C Γ C S Ein Element e = (s 1, a, ψ, γ, s 2 ) E bezeichnet: eine Transition von s 1 nach s 2 mit Markierung a, einer einschränkenden Uhren-Bedingung ψ; die Transition ist nur ermöglicht ( enabled ), wenn die Bedingung erfüllt ist. und einer Wertzuweisung zu Uhren γ; γ drückt das Zurücksetzen von Uhren aus. v.henke: Computergestützte Modellierung und Verifikation SS

10 Zeitautomaten: formal (3) Zeit-Zustand oder Konfiguration eines Automaten (s, ν) : Kontrollzustand plus augenblickliche Wertbelegung der Uhren Zustandsübergänge im Zeitautomaten: 1. das Ablaufen von Zeit: Zeitschritt (timed step, delay) 2. Diskrete Übergänge Zeitschritt: Kontrollzustand bleibt gleich, Werte der Uhren werden uniform um einen positiven Wert δ erhöht: (s, ν) δ (s, ν + δ) Ein Zeitschritt ist nur möglich, solange die neuen Werte der Uhren die Invariante des Kontrollzustands erfüllen. v.henke: Computergestützte Modellierung und Verifikation SS

11 Zeitautomaten: formal (4) Diskrete Transition: entsprechend einem Element der Transitionsrelation (entlang einer Kante in der graphischen Darstellung) (s, ν) a (s, ν ) für ein Element e = (s, a, ψ, γ, s ); ν muss die Bedingung ψ erfüllen; ν ergibt sich aus ν durch Anwendung von γ; ν muss die Invariante I (s ) von s erfüllen. v.henke: Computergestützte Modellierung und Verifikation SS

12 Zeitautomaten: formal (5) Konfigurationen zusammen mit Zeitschritten und (diskreten) Transitionen ergeben ein Zustandsübergangssystem: mit (Q,, L ) Q := {(s, ν) S V ν = I (s)} Q (Σ R + ) Q Kombination von diskretentransitionen und Zeitschritten L (s, ν) := L(s) Zustandsübergangssystem kann als Formalisierung der Semantik von Zeitautomaten angesehen werden Übertragung des Pfad-Begriffs usw. auf Zeitautomaten v.henke: Computergestützte Modellierung und Verifikation SS

13 º ÌÁÅ ÍÌÇÅ Ì Zeitautomaten: Beispiel 2 Ð ¼ Ü ¼ Ü ½ Ð ½ Ü ¾ Im Beispiel: ÙÖ ¾º½ Ü ÑÔÐ Ó Ø Ñ ÙØÓÑ ØÓÒº zeitlicher Abstand zwischen Ereignissen a und b ist immer zwischen 1 und 2 ZE. Ò Ø ÓÒ ¾º Ì Ñ ËØ Ô µ Ä Ø Ë Ø Ñ ÙØÓÑ ØÓÒ Û Ø ÐÓ Ø Ò ÓÖ Æ ¼ Û Ý Ø Ø Ø Ø Ñ ÓÒ ÙÖ Ø ÓÒ Ð Æµ Ó Ø Ò ÖÓÑ Ð µ Ý Ô Ð µ µ Ð Æ Æµ Ø ÒÚ Ö ÒØ ÓÒ ØÖ ÒØ Æ Á Ðµ ÓÐ º Ø Ø ØÖ Ò Ø ÓÒ µ µ Ð ¼ ¼ µ ÓÙÖ Ø Ö Ü Ø Ò Ð Ö Ð ¼ ¾ Ò ¼ Ö ¼ Á Ð ¼ µº Ì ÙÒ ÓÒ Ó Ð Ý Ò Ø Ø ØÖ Ò Ø ÓÒ Ø Ô Ò Ø Ø Ñ ØÖ Ò Ø ÓÒ v.henke: µ Ó Computergestützte Ø ØÖ Ò Ø ÓÒ Modellierung Ý Ø Ñ und VerifikationÅ SS2007 Ë º Ï ÓÑ Ø Ø Ù Ö ÔØ Ë Ø Ø Ñ 6 13 ÙØÓÑ

14 Parallele Komposition von Zeitautomaten Komposition von Zeitautomaten, die zusammen ein komplexes System modellieren (vgl. Beispiel): Produkt-Automat synchroner Zeitverlauf verschachtelte diskrete Schritte Kommunikation durch Synchronisation auf Aktionen, wenn Transitionen gleich markiert sind. Gegeben 2 Zeitautomaten mit disjunkten Uhrenmengen A i = (S i, S 0,i, Σ i, C i, I i, E i ) (i = 1, 2) Produkt-Automat: Zeitautomat A 1 A 2 := (S 1 S 2, S 0,1 S 0,2, Σ 1 Σ 2, C 1 C 2, I, E) I definiert durch I (s 1, s 2 ) := I (s 1 ) I (s 2 ) v.henke: Computergestützte Modellierung und Verifikation SS

15 Parallele Komposition von Zeitautomaten (2) E zusammengesetzte Transitionen, definiert für e i = (s i, a i, ψ i, γ i, s i) (i = 1, 2): Falls a 1 = a 2 Σ 1 Σ 2 : e := ((s 1, s 2 ), a 1, ψ 1 ψ 2, γ 1 γ 2, (s 1, s 2)) Falls a i Σ 1 Σ 2 für i = 1, 2: verschachtelte Kombination ( interleaving ) der Transitionen e := ((s 1, s 2 ), a 1, ψ 1, γ 1, (s 1, s 2 )) e := ((s 1, s 2 ), a 2, ψ 2, γ 2, (s 1, s 2)) v.henke: Computergestützte Modellierung und Verifikation SS

16 Ereignis-Automaten genauer: ereignis-aufzeichnende Automaten (event-recording automata) Unterklasse der Zeitautomaten feste, im voraus festgelegte Zuordnung von Uhren zu Symbolen in Σ Die dem Symbol a Σ zugeordnete Uhr C (a) gibt den Zeitpunkt des letzten Auftretens des durch a beeichneten Ereignisses an, relativ zur gegenwärtigen Zeit das Zurücksetzen der Uhr C (a) wird nicht vom modellierten System kontrolliert, sondern durch das Auftretem eines Ereignisses Menge der ereignis-aufzeichnenden Uhren: C Σ := {C (a) a Σ} v.henke: Computergestützte Modellierung und Verifikation SS

17 Ereignis-Automaten (2) Formale Definition von Ereignis-Automaten: wie bei Zeitautomaten, aber mit modifizierter Zustandsübergangsrelation E E S Σ Ψ C S Ein Element e = (s 1, a, ψ, s 2 ) bezeichnet: eine Transition von s 1 nach s 2 mit Markierung a, einer einschränkenden Uhren-Bedingung ψ; anstatt einer Wertzuweisung zu Uhren wird implizit die Uhr C (a) zurückgesetzt v.henke: Computergestützte Modellierung und Verifikation SS

18 º Î ÆÌ¹Ê ÇÊ ÁÆ Ereignis-Automaten: ÍÌÇÅ Ì Beispiel Ð ¼ Ð ½ Ë µ ¾ Ë µ ½ ÙÖ ¾º¾ Ò Ú ÒØ¹Ö ÓÖ Ò ÙØÓÑ ØÓÒº vgl. mit Beispiel 2: zeitlicher Abstand zwischen Ereignissen a und b ist ebenfalls immer zwischen 1 und 2 ZE. Ø ÒÓÒÒ Ø Ú Ö Ð ÒÙÑ Ö Ø ¾ ÁÊ ¼ Ù Ø Ø Ø ÕÙ Ò Ø Ø ¼ Ø ½ Ó Ø Ñ ¹ Ø ÑÔ ÒÓÒ Ö Ò Ø Ø Ø Ø ½ ÓÖ ÐÐ ¼µº ÁØ ÙÑ Ø Ø Ø ¼ ¼º Ú Ò Ò Ò Ø Ø Ñ ÛÓÖ Û ¼ Ø ¼ µ ½ Ø ½ µ Ø Ú ÐÙ Ó Ø ÐÓ Ú Ö Ð Ë µ Ø ÔÓ Ø ÓÒ Û ÕÙ Ð Ø Ø Û Ö Ø Ð Ø ÔÓ Ø ÓÒ ÔÖ Ò Û Ø º Á Ø Ö ÒÓ Ù Ø ÓÒ Ø Ò Ø Ú ÐÙ Ó Ë µ ÙÒ Ò Ò ÒÓØ Ý º Ï ÛÖ Ø ÁÊ ¼ ÁÉ ¼µ ÓÖ Ø Ó ÒÓÒÒ Ø Ú Ö Ð Ö Ø ÓÒ Ðµ ÒÙÑ Ö ØÓ Ø Ö Û Ø Ø Ú ÐÙ º Ì ÒÓØ ÓÒ Ó v.henke: Computergestützte Modellierung und Verifikation SS Ú ÐÙ Ø ÓÒ Ò ÐÓ ÓÒ ØÖ ÒØ Ö Ò Ø Ó Ø Ñ ÙØÓÑ Ø Û Ø Ø ÒÓØ Ð

19 Ereignis-Automaten (3) Konstruktion eines Zustandsübergangssystems aus einem Ereignis-Automaten wie bei Zeitautomaten mit Unterschied: Wertbelegung von Uhren kann auch undefiniert sein im initialen Zustand sind die Werte aller Uhren undefiniert Definition der Transitionen analog wie für Zeitautomaten, mit impliziten Uhren- Wertzuweisungen bei diskreten Transitionen v.henke: Computergestützte Modellierung und Verifikation SS

20 TCTL Nachzuweisende Aussagen über Zeitautomaten erfordern explizite Angaben von Zeitschranken. Daher: TCTL Timed CTL, oder CTL mit expliziter Zeit Erweiterung der Logik CTL um Zeitbeschränkungen Syntax von CTL (als abstrakte BNF): über einer Menge atomarer Aussagen AP φ ::= p ( φ) (φ 1 φ 2 )... E [φ 1 U d φ 2 ] A [φ 1 U d φ 2 ] p AP d Uhren-Einschränkung (vgl. Folie 6 7) v.henke: Computergestützte Modellierung und Verifikation SS

21 TCTL (2) Die anderen Temporal-Operatoren lassen sich analog zu CTL aus den hier angegebenen ableiten; insbesondere: EF d φ E [ U d φ] AF d φ A [ U d φ] AG d φ EF d φ EG d φ AF d φ v.henke: Computergestützte Modellierung und Verifikation SS

22 TCTL: Semantik Intuitive Bedeutung von E [φ 1 U d φ 2 ] ist im wesentlichen wie für einfache CTL, nur mit einer expliziten Zeiteinschränkung: E [φ 1 U d φ 2 ] gilt in einem Zeit-Zustand (einer Konfiguration), wenn innerhalb der durch d gegebenen Zeitschranke ein Zustand erreicht ist, der φ 2 erfüllt, und in jedem (Kontroll-)Zustand und zu jedem Zeitpunkt vorher φ 1 gilt. Formal: Semantik definiert relativ zu geeignet definierten Zustandsübergangssystemen als Modellen s-pfad für s S, S eine Menge von Zuständen: Abbildung ρ : R + S mit ρ(0) = s s-pfad unendlich, zumindest bezgl. Fortschreiten der Zeit v.henke: Computergestützte Modellierung und Verifikation SS

23 TCTL: Semantik (2) TCTL-Struktur: M := (S, S 0, f, L) mit S S 0 Menge der Zustände Menge der Anfangszustände L Markierung von Zuständen mit Atomen aus AP: L : S P(AP) f Abbildung, die jedem s S eine Menge von s-pfaden in S zuordnet Aus einem Zeitautomaten A = (S, S 0, Σ, C, I, E) mit Zustandsmarkierungen L wird eine TCTL-Struktur M A := (Q, Q 0, f, L ) abgeleitet (vgl. Folie 6 12): Zustände: Zeitzustände Q := {(s, ν) S V ν = I (s)} Anfangszustände: Q 0 := {(s, ν) S 0 V ν(c) = 0 für alle Uhren c C } Markierung: L (s, ν) := L(s) f (s, ν) ist die Menge aller Pfade in Q, die mit (s, ν) beginnen. v.henke: Computergestützte Modellierung und Verifikation SS

24 TCTL: Semantik (3) Für TCTL-Struktur M = (Q, Q 0, f, L ) und TCTL-Formel φ: [φ] M Menge der Zeitzustände aus M, in denen φ erfüllt ist in der üblichen Weise induktiv definiert: [p] M := {q Q p L (q)} [ p] M := Q \ [p] M [φ 1 φ 2 ] M := [φ 1 ] M [φ 2 ] M [E [φ 1 U d φ 2 ]] M := {q Q es gibt einen Pfad π f (q), für den gilt: es gibt einen Zeitpunkt t mit t d, so dass π(t) [φ 2 ] M und π(t ) [φ 1 ] M für alle 0 t < t} [A [φ 1 U d φ 2 ]] M := {q Q für jeden Pfad π f (q) gilt: es gibt einen Zeitpunkt t mit t d, so dass π(t) [φ 2 ] M und π(t ) [φ 1 ] M für alle 0 t < t} v.henke: Computergestützte Modellierung und Verifikation SS

25 Verifikation von Zeitautomaten Erste Beobachtung: Zustandsraum (Raum der Konfigurationen) ist unendlich Zweite Beobachtung: Mögliche Aussagen über Zeitautomaten beziehen sich typischerweise auf Zeit-Intervalle, deren Anzahl in der Regel endlich ist. Grundidee: Zerlegung (Patitionierung) des Raums der Uhrenwerte (genauer: Wertbelegungen der Uhren) in Regionen und Zonen Regionen werden durch eine Äquivalenzrelation zwischen Wertbelegungen von Uhren definiert Im folgenden seien: Ψ Ψ C eine Menge von Uhren-Einschränkungen ν 1, ν 2 V C Uhren-Wertbelegungen d x die größte (ganzzahlige) Konstante in einer Einschränkung für x aus Ψ (der Form x d oder x y d) für jedes x C v.henke: Computergestützte Modellierung und Verifikation SS

26 Regionen-Äquivalenz ν 1 =Ψ ν 2 definiert als größte reflexive und symmetrische Relation mit (für alle x, y C ): 1. Aus ν 1 (x) > d x folgt ν 2 (x) > d x 2. Mit der Zerlegung einer reellen Zahl r in ganzzahligen und Dezimal-Anteil: r = r + fract(r) 0 fract(r) < 1 Falls ν 1 (x) d x, dann ν 1 (x) = ν 2 (x) fract(ν 1 (x)) = 0 impliziert fract(ν 2 (x)) = 0 3. Für alle Uhren-Einschränkungen der Form x y d mit d N eine natürliche Zahl und d d x, ν 1 = x y d impliziert ν 2 = x y d v.henke: Computergestützte Modellierung und Verifikation SS

27 Regionen-Äquivalenz (2) Transitivität von = Ψ folgt aus den obigen Bedingungen. =Ψ ist eine Äquivalenzrelation mit einer endlichen Anzahl von Äquivalenzklasse, die Regionen-Äquivalenzrelation für die Uhren-Einschränkungen Ψ. [ν] bezeichnet Äquivalenzklasse oder Region von ν bzgl. Ψ v.henke: Computergestützte Modellierung und Verifikation SS

28 Regionen-Äquivalenz Eigenschaften Jede Region läßt sich durch eine Uhren-Einschränkung charakterisieren. Die Anzahl der Regionen hängt exponentiell von der Anzahl der Uhren ab. Für ν 1 =Ψ ν 2 und jedes ψ Ψ: ν 1 = ψ g.d.w. ν 2 = ψ Mit Ψ Menge aller Uhren-Einschränkungen in einem Zeitautomaten A und ν 1 = Ψ ν 2 : (1) ν 1 [γ] = Ψ ν 2 [γ] für alle γ Γ C (2) Für alle δ R + gibt es ein δ R +, so dass ν 1 + δ = Ψ ν 2 + δ ρ eine Region, so dass für ν mit [ν] = ρ gilt ν(x) > d x für alle x C. Dann gilt [ν + δ] = ρ für alle δ R +. Eine solche Region ist unbeschränkt. v.henke: Computergestützte Modellierung und Verifikation SS

29 Regionen-Äquivalenz Beispiel y 2 1 b v c Regionen-Äquivalenz für Uhren x und y mit d x = 3 und d y = 2 ν liegt in Region definiert durch Einschränkung 2 < x < 3 a 1 < y < 2 x y < S ª ` 5{}wºµJ {}z` Tw{yx} w z dx}v5wº{yw z wñf 5 ªw 5 w x v.henke: Computergestützte Modellierung und Verifikation SS

30 Regionen-Äquivalenz Beispiel (2) (a) mit Wertzuweisung y := 0: 2 < x < 3 y = 0 ν[y := 0] gehört zu Region (b) mit Wertzuweisung x := y: 1 < x < 2 1 < y < 2 x = y ν[x := y] gehört zu Region (c) Jeder zeitliche Nachfolger von ν gehört zu einer Region, die von der Geraden in Richtung des Pfeils bei (c) gekreuzt wird. v.henke: Computergestützte Modellierung und Verifikation SS

31 Regionen-Graph (Q, ) Zustandsübergangsystem zu Zeitautomaten A Regionen-Äquivalenz = Ψ wird auf Zustände in Q erweitert: q = (s, ν) und q = (s, ν ) sind regionen-äquivalent: q = Ψ q g.d.w. s = s und ν = Ψ ν [q] bezeichnet Äquivalenzklasse von q Regionen-Graph: abgeleitetes Transitionssystem (Q =, ) = Regionen-Äquivalenz über den Uhren-Einschränkungen in A Q = := {[q] q Q} ρ a ρ g.d.w. es q, q Q gibt mit ρ = [q], ρ = [q ], q a q Zeitschritte in (Q, ) kollabieren zu (a) Schleifen in einem Zustand in unbeschränkten Regionen, oder (b) Schritten zwischen (benachbarten) Regionen v.henke: Computergestützte Modellierung und Verifikation SS

32 Regionen-Graph (2) Generelle Eigenschaft: regionen-äquivalente (Zeit-)Zustände sind nicht unterscheidbar z.b. bezgl. Erreichbarkeit, Erfüllen von TCTL-Formeln z.b. q von q erreichbar g.d.w. [q ] von [q] erreichbar (im jeweiligen Transitionssystem) Modell-Überprüfung für Zeitautomaten wird reduziert auf Modell-Überprüfung auf dem durch den abgeleiteten Regionen-Graph gegebenen Transitionssystem v.henke: Computergestützte Modellierung und Verifikation SS

33 Zonen Eine Uhren-Zone wird definiert durch eine Konjunktion von Uhren-Einschränkungen (s.o.) Zone ist allgemeiner als Region ; genauer: eine Zone ist eine (konvexe) Vereinigung von Regionen (ergibt sich aus der Art der erlaubten Einschränkungen). ψ Menge der Uhren-Wertzuweisungen, die ψ erfüllen: ψ := { ν V C ν = ψ } v.henke: Computergestützte Modellierung und Verifikation SS

34 Zonen - Beispiele ¾ À ÈÌ Ê ¾º Ã ÊÇÍÆ y y 2 y (a) regions x x (b) zones: convex unions of regions x ÙÖ ¾º Ê ÓÒ Ò ÞÓÒ Ò ÁÊ ¾ ¼º ½º Á ÐÓ Ü ÓÖ ÐÓ «Ö Ò Ü Ý Ü Ø Ú ÐÙ Ó Ø Ð Ö Ø ÓÒ Ø ÒØ Ø Ú Ö ÓÑÔ Ö Û Ø Ø Ò Ø ØÙ Ð Ú ÐÙ Ó ÒÓ ÓÒ ÕÙ Ò Ò Ò Ø Ø Ð ØÝ Ó Ì ÌÄ ÓÖÑÙÐ º ¾º Á Ø ÓÒ Ø ÒØ Ò Ø Ý Ø Ñ Ö ÒØ Ö Ø Ò ÐÐ ÐÓ Ú ÐÙ Ø ÓÒ Ø Ø Ö ÓÒ Ø v.henke: Computergestützte Modellierung und Verifikation SS ØÖÙØ Ú ÐÙ ÓÒ Ò Ø Ø Ó ÓÒ ØÖ ÒØ ÒÒÓØ Ø Ò Ù Ý Ñ Ò Ó Ø ÐÓ

35 O Zonen und Uhren-Einschränkungen y 2 1 b ÿ * ( + - a =gw 5{}w yw Fx[ x} z =z ^ ywx} ºz {}w ` z 5 # g z* :š@ z 5 yx}{: Fx} H c x ψ Einschränkung für Uhren x und y: 1 < y < 2 2 < x x y < 2 definiert als Zone eine Vereinigung der 5 Regionen ρ 1,... ρ 5. v.henke: Computergestützte Modellierung und Verifikation SS

36 Zonen und Uhren-Einschränkungen (2) (a) mit Wertzuweisung y := 0 in allen Wertbelegungen ν ψ ergibt Zone charakterisiert durch 2 < x y = 0 (b) mit Wertzuweisung x := y: {ν[x := y] ν ψ } ergibt Zone definiert durch 1 < x < 2 1 < y < 2 x = y (c) Zone der Wertbelegungen, die sich aus ν ψ durch Verstreichen von Zeit ergeben, charakterisiert durch Einschränkung 1 < y 2 < x x y < 2 y x < 0 v.henke: Computergestützte Modellierung und Verifikation SS

37 Zonen und Uhren-Einschränkungen (3) Die Beispiele suggerieren, dass man direkt mit Einschränkungen (und damit Zonen) operieren kann, anstatt Regionen explizit zu berechnen. Mit s S, ψ s Ψ C, e = (s, a, ψ, γ, s ) E: Suc e (ψ s ): Prädikat über C, charakterisiert die Menge der Wertbelegungen von Uhren, die von Wertbelegungen in ψ s durch diskrete Transition mit e erreichbar sind. ν = Suc e (ψ s ) g.d.w. ν Q. ν = ν [γ] ν = (ψ s ψ) Suc ɛ (ψ s ): Prädikat über C, charakterisiert die Menge der Wertbelegungen von Uhren, die von Wertbelegungen in ψ s durch Verstreichen von Zeit erreichbar sind, während der Zeitautomat im Kontrollzustand bleibt. ν = Suc ɛ (ψ s ) g.d.w. δ R +. ν δ = ψ s δ R +. δ δ ( ν δ = I (s) ) v.henke: Computergestützte Modellierung und Verifikation SS

38 Zonen und Uhren-Einschränkungen (4) Berechnung der erreichbaren Regionen/Zonen durch Berechnung von Einschränkungen Für q Q: q stärkste Uhren-Einschränkung ψ Ψ, die die Uhren-Werte in q charakterisiert q = ψ ψ Ψ. (q = ψ ) (ψ ψ ) q charakterisiert exakt die Region (Äquivalenzklasse) [q]. Berechnung einer Folge von Uhren-Einschränkungen F 0, F 1,...: F 0 := q F i+1 := s S( Suc ɛ (F i,s ) e E Suc e (F i,s ) ) v.henke: Computergestützte Modellierung und Verifikation SS

39 Zonen und Uhren-Einschränkungen (5) F i,s impliziert F i+1,s für alle i 0 und s S Mit F := i 0 F i, q := (s, ν), q := (s, ν ) [q ] ist von [q] aus erreichbar g.d.w. q impliziert F s Ein analoges Verfahren kann auch für das Rückwärts-Berechnen angegeben werden. v.henke: Computergestützte Modellierung und Verifikation SS