Verifikations- und Spezifikationsmethoden

Transkript

1 Verifikations- und Spezifikationsmethoden Prof. Dr. Sibylle Schwarz Westsächsische Hochschule Zwickau Dr. Friedrichs-Ring 2a, RII WS 2012/13 1

2 Verifikations- und Spezifikationsmethoden Anwendung formaler Methoden beim Nachweis der Korrektheit von Programmen Spezifikation mathematisch korrekte Beschreibung von Anforderungen an Software und Systeme Was soll das Programm / System tun? Verifikation von Entwürfen, Software und Systemen relativ zu einer Spezifikation Erfüllt der Entwurf die Spezifikation? (Korrektheit bzgl. Spezifikation) Werkzeuge: formale Kalküle (Algebra, Logiken) präzise Aussagen über Eigenschaften von Programmen / Systemen formale Darstellung ermöglicht maschinelle Unterstützung 2

3 Dijkstra sagt: EWD13xx/EWD1305.html A programmer has to be able to demonstrate that his program has the required properties. If this comes as an afterthought, it is all but certain that he won t be able to meet this obligation: only if he allows this obligation to influence his design, there is hope he can meet it. Pure a posteriori verification denies you that whole-some influence and is therefore putting the cart before the horse, but that is exactly what happens in the software houses where programming and quality assurance are done by different groups. [Needless to say, those houses deliver without warranty.] aus dem Edsger W. Dijkstra Archiv 3

4 Informatik Informatik Wissenschaft von der Verarbeitung symbolischer Information durch Algorithmen Teilgebiete der Informatik: theoretische Informatik Sprachen zur Formulierung von Information und Algorithmen Möglichkeiten und Grenzen der Berechenbarkeit durch Algorithmen, Grundlagen formaler Methoden technische Informatik maschinelle Darstellung von Information Mittel zur Ausführung von Algorithmen (Rechnerarchitektur, Hardware-Entwurf,... ) Hardware-Verifikation praktische Informatik Entwurf und Implementierung von Algorithmen (Betriebssysteme, Compilerbau, SE,... ) Software-Verifikation, Model Checking angewandte Informatik Anwendung von Algorithmen (Textverarbeitung, Computergraphik, KI,... ) Model Checking 4

5 Sicherheitskritische Software Beispiel Auto, bis 80 Steuergeräte (Electronic Control Unit) Steuerung, Licht, Heizung Motorsteuerung ABS, Airbag (sicherheitskritisch) Anwendungen sicherheitskritischer Software: Medizin (OP-Assistenz-Steuerung) Verkehrssysteme (Stellwerk, Ampelschaltungen) Flugraumkontrolle Raumfahrt Kommunikation Wirtschaft 5

6 Wozu Programmverifikation? Vermeidung von Softwarefehlern mit schwerwiegenden Folgen für Leben und Gesundheit: Fahrzeug, Luftfahrt, Medizin, Militär,.. Wirtschaft: Steuerung von Industrieanlagen (z.b. Kraftwerk) Kommunikationssysteme: Ausfall zentraler Vermittlungen autonome Systeme: Marsmobil, Rettungssysteme 6

7 Prominente Software-Fehler Selbstzerstörung vieler Wetterballons (1971) durch falsche Interpretation einer Anweisung Bestrahlung falscher Stellen (1987) durch Strahlentherapiegerät falsche Divisionsberechnung (1993) im Pentium-Chip Absturz des Mars Polar Lander (1999) wegen falscher Interpretation von Sensorwerten Absturz des britischen Luftüberwachungssstems (2002) bei Aktualisierung falsche Steuerung der Kraftstoffzufuhr (2004) Mercedes falsche ALG2-Berechnung (2005) und Auszahlungsverzögerung durch falsche Kontonummern mehrfache -Weiterleitung (2005) Raketenabsturz (2005) durch Fehler in der Signalweiterleitung falsche Schaltjahrberechnung (2008) Datenschutzverletzungen (2008) durch mehrfache Vergabe derselben Bearbeitungsnummern bei Systemüberlastung 7

8 Entwicklung sicherer Software (Systeme) Entwurfsphase: Modellierung und Spezifikation System-Entwurf (Algorithmen) Verifikation des Entwurfes bezüglich der Spezifikation Eliminierung von Entwurfsfehlern Konstruktionsphase Implementierung (Konstruktion) Test der Implementierung Eliminierung von Implementierungsfehlern 8

9 Spezifikation Formale Methoden z.b. geeignet zum Nachweis von Eigenschaften von Modellen für Software digitale Schaltungen Systeme (z.b. Steuerung in Kraftfahrzeugen, Verkehrsanlagen, Industrieanlagen) Spezifikation eines Programmes / Systems: formale Beschreibung der funktionalen Anforderungen an das Program / System Zusammenhang zwischen Eigenschaften der Eingaben und Eigenschaften der Ausgaben Anforderungen an Spezifikationssprachen: präzise Beschreibung eindeutige Interpretation verständlich, modular 9

10 Beispiel: Spezifikation eines Sortierprogrammes Eingabe: Folge (x 1, x 2,..., x n ) von Zahlen Ausgabe: Folge (y 1, y 2,..., y n ) von Zahlen Vorbedingung: (x 1, x 2,..., x n ) ist eine Folge von Zahlen Nachbedingung: die Ausgabe (y 1, y 2,..., y n ) ist 1. eine Permutation (Umordnung) der Eingabe (x 1, x 2,..., x n ) und 2. aufsteigend geordnet y 1 y 2 y n+1. 10

11 Korrektheit von Programmen wichtigstes Qualitätskriterium System / Programm ist genau dann korrekt, wenn es seine Spezifikation erfüllt. Programm P ist für bestimmte Eingabe e total korrekt, falls P bei Eingabe von e terminiert und das spezifizierte Ergebnis liefert partiell korrekt, falls P, wenn es bei Eingabe von e terminiert, das spezifizierte Ergebnis liefert. Wie kann man Korrektheit zeigen? Tests wichtiger Spezialfälle (Suche nach Fehlern) für sicherheitskritische Software nicht ausreichend Verifikation formaler Beweis für alle Fälle für sicherheitskritische Software 11

12 Hoare sagt Computer programming is an exact science in that all the properties of a program and all the consequences of executing it in any given environment can, in principle, be found out from the text of the program itself by means of purely deductive reasoning. Tony Hoare: An Axiomatic Basis for Computer Programming,

13 Problem Beschreibung von Umgebung und Ausführung sind oft nicht formal gegeben. in einer beliebigen Umgebung ist abhängig vom Hard- und Software (z.b. korrekte Compiler) bescheidener, aber genauer: in einem beliebigen Umgebungs-Modell bei jeder Ausführung bescheidener, aber genauer: in jedem Modell der Programmausführung 13

14 Modelle Abstraktion von z.b. Hardware-Implementierung, Betriebssystem Fehler / Manipulation an Hard- oder Software Vorteile formaler Modelle: allgemein und wohldefiniert Nachweis über Eigenschaften jeder Programmausführung im Modell Klare Definition von Modellen und Beweisregeln ermöglichen Verwendung automatischer und interaktiver Beweiser und Beweis-Tester zum Nachweis von Programmeigenschaften (seit ca industriell eingesetzt) Nachteile formaler Modelle: nur Aussagen über Modelle Keine Aussagen über Eigenschaften in der tatsächlichen Umgebung Aussagen nur bei Wahl geeigneter Modelle praktisch sinnvoll Formalisierungsaufwand 14

15 Formale Methoden bei der Programmierung Spezifikation exakte Beschreibung von Programmeigenschaften Verifikation Nachweis, dass ein bestimmtes Programm (in jedem Ausführungsmodell) die Spezifikation erfüllt Falsifizierung Nachweis, dass ein bestimmtes Ereignis (bei irgendeinem Ausführungsmodell) nicht auftritt Transformation Änderung eines Programmes, so dass die Spezifikation erfüllt bleibt (automatische) Programmerzeugung Konstruktion eines Programmes, welches die Spezifikation erfüllt 15

16 Alternative Verfahren Test / Simulation Beobachtung der Wirkungen und Eigenschaften des Programmes bei Ausführung des Programmes mit ausgewählten Eingaben + Nachweis von Eigenschaften des Programmes für alle getesteten Eingaben eingeschränkt auch ohne formale Spezifikation möglich - unvollständig keine Aussage über Eigenschaften und Wirkungen des Programm auf anderen Eingaben Aussage über Fehlerfreiheit unmöglich Inspektion Untersuchung des Programmes durch mehrere Personen + Lerneffekt durch Diskussion von Verbesserungsvorschlägen oder Fehlern - keine exakte Grundlage hoher Personalaufwand Ergebnisse abhängig von psychologischen Faktoren und Motivation und Qualifikation der Diskussionsteilnehmer 16

17 Inhalt der Lehrveranstaltung Spezifikation Semantik von Programmen operational axiomatisch algebraisch Algebraische Datentypen Entwurf, Spezifikation Verifikation durch strukturelle Induktion Funktionale Programme als ausführbare Spezifikationen Hoare-Kalkül (axiomatische Semantik) Model Checking Modellierung durch Automaten Spezifikation in Temporallogiken 17