Temporale Logiken: CTL und LTL

Transkript

1 Westfälische Wilhelms-Universität Münster usarbeitung Temporale Logiken: CTL und LTL im Rahmen des Seminars Formale Spezifikation im WS 2005/06 Thorsten Bruns Themensteller: Prof. Dr. Herbert Kuchen Betreuer: (Prof. Dr. Herbert Kuchen) Institut für Wirtschaftsinformatik Praktische Informatik in der Wirtschaft

2 Inhaltsverzeichnis Einleitung... 2 Grundlagen der Logik ussagenlogik Prädikatenlogik Entscheidbarkeit von Logiken Temporale Logiken Erweiterung der ussagen- oder Prädikatenlogik Klassifikation temporaler Logiken Semantik verschiedener Zeitmodelle LTL Syntax von LTL Semantik von LTL Varianten von LTL CTL Syntax von CTL Semantik von CTL Semantische Äquivalenzen CTL Model Checking nwendung des Markierungsalgorithmus Fixpunktcharakterisierung Theoretische spekte temporaler Logiken Zusammenfassung Literaturverzeichnis... 2 II

3 Kapitel : Einleitung Einleitung Einen Problembereich der Informatik stellt die Qualitätssicherung von Hard- und Software dar. Dieses Problem kann einerseits durch Testen und andererseits durch Beweise gelöst werden. Das Testen lässt sich größtenteils automatisieren, es kann aber nicht sichergestellt werden, dass alle möglichen Fälle berücksichtigt werden. Die lternative zum Testen sind Beweise. Hierbei wird zwischen Theorembeweisen und Model Checkern unterschieden. Theorembeweise müssen interaktiv durchgeführt werden und erfordern viel Zeit, daher sind sie weniger beliebt. Model Checker bieten die Möglichkeit, Eigenschaften von Programmen vollständig automatisiert zu prüfen. Dazu muss das zu prüfende Soft- oder Hardwaresystem als formales Modell mit endlich vielen Zuständen darstellbar sein. ls weiteres wird eine formale Spezifikation benötigt, die festlegt, welche Eigenschaften das Programm erfüllen soll. Die ufgabe eines Model Checkers besteht darin, zu prüfen, ob die Implementierung der Spezifikation genügt. Bei den zu prüfenden Systemen handelt es sich um sogenannte reaktive Systeme, die in ständiger Interaktion mit Ihrer Umgebung stehen, auf die Signale aus ihrer Umgebung reagieren und im Normalfall nie terminieren, wie z. B. Betriebssysteme, Netzwerkprotokolle oder Prozesssteuerungen. Diese Systeme lassen sich in endlichen Modellen darstellen. Die Eigenschaften, die sich prüfen lassen, sind z. B. Lebendigkeit, Deadlockfreiheit, Fairness und Sicherheit. Das Ziel dieser rbeit ist es, die Möglichkeiten der Darstellung einer formalen Spezifikation durch temporale Logiken darzustellen und aufzuzeigen, wie diese Logiken für das Model Checking eingesetzt werden können. Die rbeit gliedert sich in ein Grundlagen- und ein Hauptkapitel. Im ersten wird ein kurzer Überblick über die ussagen- und die Prädikatenlogik gegeben, da diese als Voraussetzung für temporale Logiken benötigt werden. Im nächsten Kapitel werden die beiden temporalen Logiken LTL und CTL genauer untersucht.

4 Kapitel 2: Grundlagen der Logik 2 Grundlagen der Logik 2. ussagenlogik Die ussagenlogik beschäftigt sich mit der Untersuchung des Wahrheitswertes von ussagen. Diese können entweder wahr oder falsch sein und sind somit zweiwertig. Die formale Darstellung von ussagen geschieht in einer formalen Logik, der ussagenlogik. Die Wahrheitswerte von ussagen sind hier statisch, d. h. sie gelten dauerhaft und können sich nicht dynamisch ändern. Die Syntax der ussagenlogik ist nach [Sc00] folgendermaßen definiert: Formeln bestehen aus atomaren Formeln der Form i mit i =,2,3, K. Formeln werden durch folgenden induktiven Prozess definiert:. lle atomaren Formeln i sind Formeln. 2. Für alle Formeln und sind 3. Für jede Formel F ist Eine Formel der Form ( F G) als Disjunktion und F G ( F G) und ( G) ( G F ) F eine Formel. F F Formeln. wird als Konjunktion bezeichnet, eine Formel der Form als Negation. Nachfolgend werden einige Umformungsregeln aufgestellt. Dabei werden zwei neue Symbole, und, sowie die boolschen Konstanten true und false eingeführt. Hierbei bezeichnen und B beliebige aussagenlogische Formeln: ( B ) = ( B) ( B ) ( B = ( B) ) = (( B) ( B) ) true = false = true Die Semantik der ussagenlogik ist nach [Sc00] wie folgt definiert: Jede atomare Formel besitzt eine Belegung mit einem Wahrheitswert aus { 0,}. Eine Belegung ist eine Funktion atomaren Formeln ist. { 0,} : D mit der Menge D, die eine Teilmenge der wird zu  : E { 0,} erweitert, wobei E die Menge aller 2

5 Kapitel 2: Grundlagen der Logik Formeln ist, die sich aus der Menge D der atomaren Formeln zusammensetzt. So lässt sich jeder beliebigen Formel, die nur aus atomaren Formeln zusammengesetzt ist, ein Wahrheitswert zuordnen.. Für jede atomare Formel D 2. F G =, falls i gilt ( ) ( )  (( ))  ( F ) = und ( G) = 3. F G =, falls  = mit i =,2,3, K. i i Â, sonst 0.  (( ))  ( F ) = oder ( G) = ( ) 4.  F =, falls Â( F ) = 0, sonst 0. Â, sonst 0. Zur Berechnung des Wahrheitswertes aussagenlogischer Formeln können diese in Verknüpfungstabellen dargestellt werden. nhand dieser Tabellen ist ersichtlich, dass die nzahl aller möglicher Wertebelegungen für einen usdruck exponentiell in Bezug auf die nzahl der in einem usdruck enthaltenen atomaren Formeln wächst. Im folgenden werden weitere Begriffe nach [Sc00] definiert: Sei F eine Formel und eine Belegung. Dann heißt zu F passend, wenn für alle in F vorkommenden atomaren Formeln definiert ist. Falls zu F passend ist und ( ) F = gilt, so wird F geschrieben. F gilt unter der Belegung von bzw. F F ( ) 0 ist ein Modell für. Umgekehrt ist kein Modell für, falls F =, geschrieben F. Jede Belegung von Wahrheitswerten, die der Formel F den Wert zuordnet, wird somit als Modell bezeichnet. Eine Formel heißt erfüllbar, falls F mindestens ein Modell besitzt, sonst heißt F unerfüllbar. Um zu prüfen, ob eine Formel erfüllbar ist, müssen alle möglichen Belegungen geprüft werden, ob mindestens eine Belegung für die Formel den Wert ergibt. Eine Formel heißt gültig oder Tautologie, falls jede zu Modell für F ist. In diesem Fall wird nur F geschrieben. F passende Belegung ein 2.2 Prädikatenlogik Die Prädikatenlogik ist eine Erweiterung der ussagenlogik um Quantoren, Funktionssowie Prädikatsymbole. Hiermit lassen sich ussagen über Objekte machen, die durch Variablen repräsentiert werden, z. B., dass Objekte gewisse Eigenschaften haben oder mit anderen Objekten in Beziehung stehen. 3

6 Kapitel 2: Grundlagen der Logik Die Syntax prädikatenlogischer Formeln ist nach [Sc00] folgendermaßen definiert: Zur Definition prädikatenlogischer Formeln werden Variablen, Prädikat- und Funktionssymbole eingeführt. Eine Variable hat die Form xi mit i =,2,3, K. Ein Prädikatsymbol hat die Form k Pi mit i =,2,3, K und k = 0,,2,3, K. Ein Funktionssymbol hat k die Form f mit i =,2,3, K und i k = 0,,2,3, K. Hierbei stellt i den Index und k die Stelligkeit der Prädikate und Funktionen dar. Mit Variablen und Funktionen werden Terme gebildet. Diese sind wie folgt definiert:. Jede Variable xi mit i =,2,3, K ist ein Term. 2. Ist f ein Funktionssymbol mit der Stelligkeit k und sind t,...,t Terme, so ist auch ( t tk ) f,..., ein Term. Funktionen der Stelligkeit null werden als Konstanten bezeichnet und ohne Klammern dargestellt. Prädikatenlogische Formeln sind definiert:. Ist P ein Prädikatsymbol der Stelligkeit k und sind t,...,t Terme, so ist ( t ) P,..., t k eine Formel. 2. Für jede Formel F ist auch F eine Formel. 3. Für alle Formeln und sind auch F G ( F G) und ( G) 4. Ist x eine Variable und F eine Formel, so sind auch F Formeln. k k xf und xf Formeln. Variablen werden in freie und gebundene unterteilt. Kommt eine Variable x in einer Teilformel G der Formeln xg oder xg vor, so wird diese Variable als gebunden bezeichnet, anderenfalls als frei. Eine Formel wird nur dann als ussage bezeichnet, wenn diese ausschließlich gebundene Variablen enthält. Das Symbol wird als Existenzquantor und das Symbol als llquantor bezeichnet. Die Semantik prädikatenlogischer usdrücke ist nach [Sc00] folgendermaßen definiert: Zur Definition der Semantik der Prädikatenlogik wird zunächst eine Struktur ( = U, I ) benötigt. U bezeichnet eine beliebige nichtleere Menge, die auch als Grundmenge von bezeichnet wird. Weiter ist I eine bbildung, die jedem k-stelligen Prädikatsymbol P ein k-stelliges Prädikat über U zuordnet, jedem k-stelligen Funktionssymbol f eine k-stellige Funktion auf U zuordnet 4

7 Kapitel 2: Grundlagen der Logik und jeder Variablen x ein Element der Grundmenge U zuordnet. Sie F eine Formel und = ( U, I ) eine Struktur. heißt zu F passend, falls I für alle in F definiert ist. vorkommenden Prädikat- und Funktionssymbole sowie freien Variablen Sei F eine Formel und eine zu F passende Struktur. Für jeden Term t, der sich aus den Bestandteilen von F bilden lässt, wird der Wert von t in der Struktur, bezeichnet mit ( t), wie folgt definiert:. Falls t eine Variable x t = ist, so gilt ( t) x =. 2. Falls t ein k-stelliges Funktionssymbol t f ( t,..., ) () t = f ( ( t ) ( t )),..., k. = ist, so gilt t k Bei nullstelligen Funktionssymbolen t = a gilt ( t) = a. Der Wahrheitswert einer Formel. Hat F die Form F P( t,... ) Prädikatsymbol 2. Hat F die Form F G, so ist F wird folgendermaßen definiert: = t k mit den Termen t,...,t k und dem k-stelligen P, so ist ( F ) =, falls ( ( t ),..., ( t k )) P, sonst 0. = ( F ) =, falls ( G) = 0, sonst Hat F die Form F = ( G H ), so ist ( F ) =, falls ( G) = und ( H ) = sonst 0., 4. Hat F die Form F = ( G H ), so ist ( F ) =, falls ( G) = oder ( H ) = sonst Hat F die Form F xg ( G) x, sonst 0. [ / d ] = 6. Hat F die Form F xg ( G) x, sonst 0. [ / d ] = =, so ist ( F ) = =, so ist ( F ) =,, falls für alle d U gilt:, falls es ein d U gibt mit: Die Modell-, Erfüllbarkeits- und Gültigkeitsdefinitionen gelten hier analog zur ussagenlogik. Die Prädikatenlogik ist ausdrucksstärker als die ussagenlogik, allerdings kann auch hiermit nicht jede mathematische ussage formuliert werden. Die Quantoren lassen sich in der dargestellten Form nur auf Variablen anwenden, nicht aber auf Funktions- 5

8 Kapitel 2: Grundlagen der Logik symbole. Daher wird diese Logik Prädikatenlogik erster Stufe genannt. Die zweite Stufe umfasst zusätzlich die nwendung der Quantoren auf Funktionssymbole. 2.3 Entscheidbarkeit von Logiken Für nwendungszwecke ist es wichtig zu wissen, ob eine Logik entscheidbar ist oder nicht. Der usdruck entscheidbar bedeutet, ob sich ein lgorithmus finden lässt, der in endlicher Zeit ausgibt, ob es zu einer beliebigen Formel einer gegebenen Logik ein Modell, d. h. mindestens eine gültige Belegung, gibt oder nicht. Wichtig ist hierbei, dass so ein lgorithmus nicht nur positive, sondern auch negative Ergebnisse ausgibt und dabei in jedem Fall stoppt. Für aussagenlogische usdrücke ist diese Überlegung einfach. Das ufschreiben aller möglichen Belegungen ist bereits ein entsprechender lgorithmus. Es gibt in einer aussagenlogischen Formel mit immer genau n 2 atomaren Formeln mögliche Belegungen, die überprüft werden müssen, da jede atomare Formel genau zwei Wahrheitswerte, 0 oder, belegen kann. Daraus folgt, dass die ussagenlogik entscheidbar ist. In der Prädikatenlogik ist bereits das Gültigkeitsproblem unentscheidbar, d. h. es lässt sich kein lgorithmus finden, der in endlicher Zeit feststellen kann, ob eine Belegung eines beliebigen prädikatenlogischen usdrucks wahr oder falsch ist. Daraus lässt sich folgern, dass das Erfüllbarkeitsproblem der Prädikatenlogik ebenfalls unentscheidbar ist, da dieses Problem die Entscheidbarkeit des Gültigkeitsproblems voraussetzt. Das ufschreiben aller möglichen Belegungen lässt sich nicht auf die Prädikatenlogik übertragen, da hier Strukturen anstatt Belegungen existieren. Diese Strukturen können unendliche Mengen enthalten, die ein vollständiges ufschreiben verhindern. Dies alleine ist jedoch noch kein Beweis für die Unentscheidbarkeit des Gültigkeitsproblems der Prädikatenlogik. Der Beweis erfolgt, indem dieses Problem auf ein bereits als unentscheidbar bekanntes Problem, das Postsche Korrespondenzproblem, zurückgeführt wird. Dazu muss ein lgorithmus gefunden werden, der in endlicher Zeit jedes beliebige Postsche Korrespondenzproblem K in eine prädikatenlogische Formel F überführt, so dass K genau dann eine Lösung besitzt, wenn gültig ist. Da dieser K Beweis einen tieferen Einstieg in die Berechenbarkeitstheorie erfordert, wird dieser hier ausgelassen. Der Beweis kann in [Sc00, S.7-73] nachgelesen werden. n F K 6

9 3 Temporale Logiken 3. Erweiterung der ussagen- oder Prädikatenlogik Temporale Logiken sind Erweiterungen der ussagen- oder der Prädikatenlogik. Diese Logiken ermöglichen ussagen über zeitliche Veränderungen. In der ussagenlogik sind ussagen entweder immer oder nie wahr. Bei temporalen Logiken ist der Wahrheitswert einer ussage zusätzlich vom aktuellen Zeitpunkt abhängig, da es möglich ist, sowohl ussagen über die Zukunft als auch über die Vergangenheit zu formulieren. Mit der Erweiterung der ussagenlogik um einen Zeitoperator für die Zukunft und einen für die Vergangenheit lassen sich bereits beliebig komplexe Zeitstrukturen darstellen, die sprachlich nicht mehr ausgedrückt werden können. Der Ursprung der temporalen Logik entstammt der Philosophie, daher existiert ein enger Bezug zur Repräsentation der Zeitformen einer natürlichen Sprache durch eine formale Logik [Bu84]. 3.2 Klassifikation temporaler Logiken Temporale Logiken lassen sich nach [Em90] auf verschiedene rten klassifizieren. Temporale Logiken können: uf der ussagen- oder der Prädikatenlogik basieren. Dazu erweitert eine temporale Logik entweder die ussagen- oder die Prädikatenlogik um neue Operatoren. Ein lineares oder ein verzweigtes Zeitmodell besitzen. Die Zeit kann entweder eindeutig oder nicht eindeutig modelliert werden. Ist die Zeit eindeutig, so existiert zu jedem Zeitpunkt nur ein möglicher unmittelbarer Nachfolger in der Zukunft. Bei Verwendung eines verzweigten Zeitmodells können zu jedem Zeitpunkt mehrere unmittelbare Nachfolger existieren. Dabei ist festzuhalten, dass dieser Nichtdeterminismus nur für die Zukunft, nicht aber für die Vergangenheit gilt. Die Vergangenheit ist in jedem Zeitpunkt eindeutig. Die Zeit diskret oder kontinuierlich modellieren. Die Zeit kann als Folge von Zeitpunkten angesehen werden, so dass bei Verwendung eines linearen Zeitmodells jeder Zeitpunkt genau einen Nachfolger hat und bei einem verzweigten Zeitmodell jeder Zeitpunkt abzählbar viele Nachfolger besitzt. Hier 7

10 kann von jedem Zeitpunkt zum nächsten gesprungen werden. lternativ kann die Zeit auch kontinuierlich sein, so dass es zu keinem Zeitpunkt einen unmittelbar nachfolgenden Zeitpunkt gibt. Hier ist nur ein Vergleich auf früher oder später zwischen zwei Zeitpunkten möglich. Da in Programmen nur diskrete Berechnungen möglich sind, wird die Zeit in der Regel als diskret angesehen. Zeitpunkte oder Zeiträume betrachten. Die Zeit kann als Folge aufeinanderfolgender Zeitpunkte oder auch als Folge von Intervallen betrachtet werden. Die Vergangenheit oder die Zukunft berücksichtigen. Es gibt sowohl Operatoren für die Zukunft als auch für die Vergangenheit. Temporale Logiken, die zur Programmverifikation eingesetzt werden, besitzen nur Operatoren für die Zukunft, da jedes Programm einen definierten Startzeitpunkt besitzt und die Betrachtung der Vergangenheit somit irrelevant ist. Der zusätzliche Operator für die Vergangenheit bringt außerdem keine Erweiterung der usdrucksstärke. Bis auf den letzten Punkt schließen sich alle lternativen gegenseitig aus. Eine temporale Logik kann beim letzten Punkt beide Fälle berücksichtigen. Die hier dargestellten Kombinationen erlauben, eine Vielzahl möglicher temporaler Logiken zu definieren. Im folgenden werden zwei lternativen genauer untersucht, die sich hauptsächlich im verwendeten Zeitmodell unterscheiden. 3.3 Semantik verschiedener Zeitmodelle Zur späteren Definition der Semantik einer temporalen Logik wird die Bedeutung der verschiedenen Zeitmodelle benötigt. Dazu müssen die verschiedenen Zeitmodelle definiert werden. Im Falle der Modellierung diskreter Systeme, wie eines Soft- oder Hardwaresystems, muss auch die Zeit diskret modelliert werden. Daher existiert in diesen Fällen eine Menge von Zuständen, die den zeitlichen blauf repräsentieren. Zudem wird auf dieser Menge von Zuständen wird eine zeitliche Ordnung benötigt, die festlegt, wie sich die Zustände ordnen lassen. Dazu wird ein Tupel gebildet, das in diesem Zusammenhang Rahmen genannt wird. Dieser Rahmen enthält die Menge der Zustände und die zugehörige Ordnungsrelation. Wird eine lineare Zeitstruktur verwendet, so lässt sich jedem Zustand eindeutig eine Zahl aus der Menge der natürlichen Zahlen zuordnen. Die auf den natürlichen Zahlen basierende Ordnungsrelation ist total. Dies bedeutet auf die Menge der Zustände 8

11 übertragen, dass für zwei beliebige Zustände s und t gilt: Entweder kommt s zeitlich vor t, s und t sind gleich oder s kommt nach t. Bei Verwendung einer verzweigten Zeitstruktur ist die Zukunft nicht eindeutig definiert. Die hier verwendete Ordnungsrelation muss einer Baumordnung entsprechen. Für jeden Zustand, der mehrere unmittelbare Nachfolger enthält, steht nicht eindeutig fest, welcher Zustand danach als erstes eintritt. Da die Verzweigung nur in die Zukunft gerichtet ist, besitzen die Zustände der Vergangenheit eine lineare Ordnungsrelation. 3.4 LTL LTL steht für linear temporal logic. Diese Logik zeichnet sich durch die Verwendung einer linearen Zeitstruktur aus. In [Em90] werden folgende drei grundlegende nnahmen für LTL getroffen:. Die Zeit ist diskret. 2. Es gibt einen Startzustand, der keine Vorgänger besitzt. 3. Die Zukunft ist unendlich. Die nnahme einer diskreten Zeit ist darauf zurückzuführen, dass heutige Computer digitale Geräte sind, die nur diskrete Berechnungen ermöglichen. Somit läuft auch die Zeit diskret ab, indem jeder Zeitpunkt als ein Zustand betrachtet wird. Jedes Programm beginnt in einem Startzustand ohne vorherige Informationen, dies rechtfertigt die zweite nnahme. Die letzte nnahme ist damit zu begründen, dass die zu untersuchenden Programme im Idealfall nie stoppen und unendlich lange laufen sollen. Zu LTL gibt es Varianten, die entweder auf der ussagenlogik oder der Prädikatenlogik basieren. Im folgenden wird nur die Erweiterung der ussagenlogik untersucht. Diese Logik wird in [Em90] als PLTL bezeichnet Syntax von LTL Die Syntax von LTL erweitert die Syntax der ussagenlogik um vier weitere Operatoren. Sie wird mittels Backus Naur Form (BNF) nach [HR0] folgendermaßen definiert: ( p) ( p p) ( p p) ( p p) ( p p) Xp Fp Gp ( p U p) p :: = P P bezeichnet hier eine beliebig atomare aussagenlogische Formel. 9

12 Die höchste Bindung besitzen die unären Operatoren, X, F und G. Danach folgen zuerst das und anschließend das. ls letztes kommen, sowie U. Zusätzlich zu den Umformungsmöglichkeiten der ussagenlogik können in LTL folgende Umformungen durchgeführt werden: Fp = ( true U p) Gp = F p Semantik von LTL Zur Definition der Semantik von LTL wird neben der Definition des Rahmens der linearen Zeitstruktur eine uswertungsfunktion benötigt, die jeder Formel in jedem Zustand einen Wahrheitswert zuordnet bzw. jedem Zustand die Menge der gültigen atomaren ussagen zuweist. Damit wird der Rahmen um eine Funktion erweitet. Die Zeitstruktur in der Verwendung einer temporalen Logik wird als Struktur ( S, R L) M =, definiert. Diese Strukturen werden auch als Kripkestrukturen bezeichnet. S bezeichnet die Menge der Zustände, L : S Potenzmenge( P) R die Übergangsrelation R S S über den Zuständen und die Funktion, die jedem Zustand eine Teilmenge der Menge P aller atomaren ussagen zuweist, die in diesem Zustand gültig sind. Da in LTL nur lineare Zeitstrukturen betrachtet werden, sind ussagen nicht auf einzelnen Zuständen, sondern auf einem Pfad oder auf Teilpfaden definiert. Im folgenden bedeutet M, π p, dass die Formel p im Pfad π = ( s s 0,... ) für die, Struktur M gültig ist, M, π i p bedeutet, dass die Formel p in einem Teilpfad von π = ( s s 0,... ) beginnend mit dem Zustand gültig ist. Ist die Struktur klar, so kann, s i das Symbol M weggelassen werden und es wird nur π p geschrieben. Die Semantik von LTL ist nach [HR0] folgendermaßen definiert: ( ). π P gdw. P L für eine atomare aussagenlogische Formel P. s 0 2. π p gdw. π p. 3. π ( p q) gdw. π p und π q. 4. π Xp gdw. π p. 5. π Fp gdw. j 0 für das gilt: π j p. 0

13 6. π Gp gdw. j 0 gilt: π j p. 7. π ( p U q) gdw. j 0 für das gilt: π q und j 0 k < j gilt: π k p. Der Wahrheitswert einer Formel ist immer auf den gegenwärtigen Zeitpunkt bzw. Zustand bezogen. In den nachfolgenden bbildungen stellt der erste dargestellte Zustand den jeweils aktuellen Zustand dar. Die vollständig ausgefüllten Zustände sind diejenigen, in denen die ussage p wahr ist. Die Formel Xp ist im aktuellen Zustand wahr, wenn p im nächsten Zustand wahr ist. Die Formel Fp ist im aktuellen Zustand wahr, wenn p in einem beliebigen Zustand in der Zukunft wahr ist. Die Formel Gp ist im aktuellen Zustand wahr, wenn p in jedem Zustand in der Zukunft wahr ist. q) Die Formel ( p U ist im aktuellen Zustand wahr, wenn p vom aktuellen Zustand an solange wahr ist, bis q wahr wird. In dem schraffierten Zustand ist q wahr, über p wird hierbei keine ussage mehr getroffen. Eine Formel verhält sich nach [Mc93] wie ein offener Satz mit einem freien Parameter, der den aktuellen Zustand repräsentiert. Da eine Formel aber nicht nur in einem bestimmten Zustand gültig sein muss, steht dieser Parameter für die Menge aller gültigen Zustände. nders herum wird durch die Festlegung eines Zustandes eine Menge von Formeln definiert, die in diesem Zustand gültig sind. Eine Formel p in LTL ist genau dann erfüllbar, wenn es eine Zeitstruktur M = ( S, R, L) gibt, auf der ein Pfad π definiert ist, so dass M, π p gilt. Jede Zeitstruktur, die dies erfüllt, wird somit als Modell für p bezeichnet. Die Formel p heißt gültig genau dann, wenn diese Formel für alle Zeitstrukturen M = ( S, R, L) gilt. In diesem Fall wird nur p geschrieben. Die Formel p ist gültig genau dann, wenn p nicht erfüllbar ist.

14 3.4.3 Varianten von LTL Es gibt viele Varianten von LTL. Diese betreffen z. B. die Semantik der Operatoren oder die verwendeten Operatoren überhaupt. Zu den hier verwendeten lassen sich noch Operatoren hinzufügen, die ussagen über die Vergangenheit ermöglichen. Die Semantik der Operatoren lässt sich z. B. auf die Frage hin ändern, ob die Zukunft die Gegenwart mit einschließt oder nicht. Weitere Beispiele von Varianten, welche die Semantik von Operatoren betreffen, können in [Em90] nachgelesen werden. Die zuvor angegebene Logik basiert auf der ussagenlogik. Eine grundlegende Änderung dieser Logik besteht darin, diese auf der Prädikatenlogik aufzubauen. Bei einer solchen Erweiterung muss die Unentscheidbarkeit der Prädikatenlogik beachtet werden. Da Formeln temporaler Logiken automatisiert auf Gültigkeit überprüft werden sollen, kann diese Erweiterung nur so restriktiv erfolgen, dass die daraus entstehende Logik entscheidbar ist. Diese Erweiterung wird in dieser rbeit nicht weiter untersucht. 3.5 CTL CTL steht für Computation tree logic. Diese temporale Logik wurde von Clarke und Emerson [CE8] definiert. CTL basiert auf der ussagenlogik und benutzt eine verzweigte Zeitstruktur. Jeder Zeitpunkt kann bei dieser Zeitstruktur mehrere nachfolgende Zeitpunkte besitzen, d. h. die Zukunft ist nichtdeterministisch. Dieses Zeitmodell besitzt eine baumähnliche Struktur, da sich die Menge aller möglichen Pfade eines Modells als Baum darstellen lässt. Hieraus stammt auch der Name dieser Logik, Berechnungsbaumlogik. CTL ist syntaktisch eng mit LTL verbunden, da es die gleichen temporalen Operatoren benutzt. CTL ist im Vergleich zu LTL aber eine syntaktisch sehr restriktive Logik. Dies schränkt ihre usdrucksstärke stark ein Syntax von CTL Formeln in CTL enthalten Paare von temporalen Konnektoren, die aus einem Pfadquantor gefolgt von einem temporalen Operator bestehen. Die Pfadquantoren sind die Symbole und E, die temporalen Operatoren die Symbole X, F, G und U. Diese Konnektoren dürfen in einer syntaktisch korrekten Formel nie getrennt vorkommen. Die Syntax einer Formel in CTL wird in BNF nach [HR0] folgendermaßen definiert: 2

15 p :: = P ( p) ( p p) ( p p) ( p p) ( p p) Gp EGp ( p U p) E( p U p) Xp EXp Fp EFp P bezeichnet hier eine beliebig atomare aussagenlogische Formel. Die höchste Bindung besitzen die unären Operatoren, X, EX, F, EF, G und EG. Danach folgen und. ls letztes kommen, sowie U und EU. Zur eindeutigen Bindung können beliebig zusätzliche Klammern gesetzt werden. Mit obigen Regeln können zu den Umformungsmöglichkeiten der ussagenlogik folgende weitere Umformungen vorgenommen werden: Fp ( true U p) EFp E( true U p) Gp E( true U p) EGp ( true U p) Semantik von CTL Zur Definition der Semantik von CTL wird analog zur Definition der Semantik von LTL neben der Definition des Rahmens noch eine uswertungsfunktion benötigt, die jedem Zustand die Menge der in dem jeweiligen Zustand gültigen atomaren ussagen zuweist. Der verwendete Rahmen besitzt hier keine lineare, sondern eine verzweigte Zeitstruktur. Die um die uswertungsfunktion erweiterte Zeitstruktur enthält die Menge der Zustände S, die Übergangsrelation R S S über diesen Zuständen, die jedem Zustand mindestens einen Nachfolger zuweist, und die uswertungsfunktion ( P) ( S, R L) M =, L : S Potenzmenge, die jedem Zustand eine Teilmenge der Menge P aller atomaren ussagen zuweist, die in diesem Zustand gültig sind. Im folgenden bedeutet M, p, dass die Formel p im Zustand s für die Struktur s i i M gültig ist. Ist die Struktur klar, so kann das Symbol M weggelassen werden und es wird nur s i p geschrieben. Die Semantik von CTL ist wird nach [CE8] über strukturelle Induktion folgendermaßen definiert:. s 0 P gdw. P L( s 0 ), für eine atomare aussagenlogische Formel P. 2. s 0 p gdw. s p 0 3

16 3. 0 s ( ) p gdw. und p. p 2 4. gdw. für alle Pfade 0 s0 p s0 2 s Xp (,,... ) s gilt: s p. 0 s 5. gdw. für mindestens einen Pfad 0 s EXp (,,... ) 6. s 0 ( p U p2 gdw. für alle Pfade s gilt: s p. 0 s ) (,,... ) s für mindestens ein i 0 gilt: 0 s p und für alle si 2 0 j < i gilt: p. s j 7. s 0 ( p U p2 gdw. für mindestens einen Pfad E ) (,,... ) s für mindestens ein 0 s i 0 gilt: p und für alle si 2 0 j < i gilt: p. s j Die übrigen Operatoren werden an dieser Stelle nicht explizit definiert, da diese sich über die Umformungsregeln ableiten lassen. Der Pfadquantor bedeutet, dass eine ussage für alle Pfade gilt, der Pfadquantor E besagt, dass eine ussage für mindestens einen Pfad gilt. Die temporalen Operatoren X, F,G und U besitzen dieselbe Bedeutung wie in der Logik LTL. Die folgenden bbildungen zeigen die Bedeutungen der Formeln grafisch. In den bbildungen sind diejenigen Zustände ausgefüllt, in denen die ussage p wahr ist. In den schraffiert dargestellten Zuständen ist die ussage q wahr. Die Wurzel der abgebildeten Bäume stellt den aktuellen Zustand dar, in dem die jeweilig angegebene Formel wahr ist. Jeder Knoten besitzt hier genau zwei Nachfolger. Dies muss nicht grundsätzlich der Fall sein. Jeder Knoten muss mindestens einen Nachfolger besitzen. Jeder dargestellte Pfad geht unendlich lange weiter. Zur Veranschaulichung ist die verwendete Baumtiefe ausreichend. EXp EFp EGp E(p U q) Xp Fp Gp (p U q) 4

17 3.5.3 Semantische Äquivalenzen Zwei Formeln p und q in CTL sind genau dann äquivalent, wenn in jedem Zustand eines beliebigen Modells, in dem eine der beiden Formeln erfüllt ist, gleichzeitig auch die andere Formel gilt. Zur vollständigen usdrucksstärke genügt es, die Logik CTL über der Menge der false EX, ( U ) Operatoren, und zusammen mit E und EG zu definieren. lle anderen Operatoren lassen sich daraus ableiten. Dafür müssen die folgenden Äquivalenzen bekannt sein: Fp EG p EFp E( true U p) Xp EX p ( true U p) Gp E ( p U q) ( E( q U ( p q) ) EG q) Die vollständige usdrucksstärke lässt sich auch über andere Operatoren umsetzen CTL Model Checking Der usgangspunkt des Model Checking ist die Frage, ob in einem gegebenen Modell, das sich in einem bestimmten Zustand befindet, eine gegebene Formel in diesem Zustand wahr ist oder nicht. Die Gleichung M, s p wird als ein Berechnungsproblem betrachtet. lternativ könnte auch nur ein Modell und eine Formel gegeben sein, und es interessiert die Menge der Zustände, für die diese Formel gültig ist. Dieses Problem würde die erste Fragegestellung automatisch mit beantworten. Die zweite Fragestellung lässt sich mit Hilfe des sogenannten Markierungsalgorithmus berechnen. Dieser läuft folgendermaßen ab: ls Eingabe wird ein Modell M und eine Formel p erwartet. Die Formel p muss in CTL sein und darf nur die Operatoren false, und zusammen mit EX, E ( U ) und F besitzen, alle anderen Konnektoren müssen vor der nwendung des lgorithmus entsprechend semantisch äquivalent umgeformt werden. Die angegebenen Konnektoren sind zur Vollständigkeit der usdrucksstärke von CTL ausreichend. Der lgorithmus gibt die Menge der Zustände des Modells M aus, welche die Formel p erfüllen. Der erste Schritt des lgorithmus 5

18 besteht darin, die Potenzmenge der Teilformeln der Formel p zu bilden. Beginnend mit der kürzesten Teilformel wird mit jedem Element dieser Potenzmenge einer der nachfolgenden Schritte durchgeführt. Dieser Schritt hängt vom Inhalt der Teilformel ab: false : Es wird kein Zustand markiert. p : lle Zustände werden markiert, für die gilt: L( s) p. p q : Markiere alle Zustände mit p q, die bereits sowohl mit p als auch mit q markiert sind. p : Markiere alle Zustände mit p, die nicht bereits mit p markiert sind. Fp : Falls es irgendeinen Zustand gibt, der bereits mit p markiert ist, so markiere diesen mit Fp. Markiere solange alle Zustände mit Fp, dessen Nachfolger alle bereits mit ergeben. Fp markiert sind, bis sich keine Änderungen mehr ( p U q : Markiere alle Zustände mit E ) ( p U q) sind. Markiere solange alle Zustände mit E, die bereits mit q markiert E ( p U q), die bereits mit p markiert sind und mindestens einen unmittelbaren Nachfolger besitzen, der bereits mit E ( p U q) markiert ist, bis keine weiteren Änderungen möglich sind. EXp : Markiere jeden Zustand mit EXp, der mindestens einen unmittelbaren Nachfolger besitzt, der bereits mit p markiert ist. Wurde dieser lgorithmus mit allen Teilformeln und der zu prüfenden Formel selber durchgeführt, so müssen die Zustände gesucht werden, die mit der zu prüfenden Formel markiert sind. Für die Menge dieser Zustände ist die eingegebene Formel gültig. Dieser lgorithmus besitzt die Komplexität O ( f V ( V + E) ). Hierbei ist f die nzahl der Konnektoren der zu prüfenden Formel, V entspricht der Menge der Zustände des Modells und E entspricht der nzahl der Zustandsübergänge. Zur Laufzeitverbesserung können in der zu prüfenden Formel auch mehr als nur die minimal benötigte Menge an zulässigen Konnektoren erlaubt werden. Das Problem der Zustandsexplosion bleibt jedoch auch bei diesen Verbesserungen erhalten. Unter diesem Problem wird die exponentiell mit der nzahl der Programmvariablen wachsende Menge der Zustände eines Modells verstanden. 6

19 3.5.5 nwendung des Markierungsalgorithmus Gegeben sei ein beliebiges Modell dargestellt als gerichteter Graph. Mit Hilfe des Markierungsalgorithmus sollen alle Zustände gefunden werden, in denen eine gegebene Formel F wahr ist. Dazu werden der nachfolgende Graph und die Formel EFp untersucht. Der Zustand, in dem die Teilformel p wahr ist, ist entsprechend beschriftet. s 0 s s 2 s 3 p Zur nwendung des Markierungsalgorithmus wird die Formel EFp so umgeformt, dass nur Teilformeln enthalten sind, für die der lgorithmus definiert ist. ( true U p) E( false U p) EFp E ls nächstes wird diese Formel in ihre Teilformeln zerlegt. Zusätzlich werden die Teilformeln der Länge nach sortiert, so dass der lgorithmus der Reihenfolge der Länge der Teilformeln nach auf jede Teilformel angewandt werden kann. Die Menge der Teilformeln ergibt: p, false, false, E ( false U p) Im ersten Schritt wird der lgorithmus für die Teilformeln der Länge eins, p und false, durchlaufen. Es werden alle Zustände mit p markiert, in denen die Teilformel p gilt, dies ist nur der Zustand s. Die boolsche Konstante false ist immer falsch, daher werden hiermit keine Zustände markiert. Im zweiten Schritt wird der lgorithmus auf die Teilformel false Zustand markiert. Im letzten Schritt wird die Formel angewandt. Diese ist überall wahr, daher wird hiermit jeder ( false U p) E angewandt. Dazu werden mit dieser Formel zuerst alle Zustände markiert, in denen p gilt, dies ist Zustand s. Im weiteren werden die Zustände markiert, welche bereits mit markiert sind und mindestens einen unmittelbaren Nachfolger besitzen, der mit false markiert ist. Dies wird solange wiederholt bis keine Änderungen mehr erfolgen. Dabei wird zuerst Zustand und dann s markiert. Danach erfolgen keine weiteren s0 2 Änderungen. Damit ist die Formel EFp in den Zuständen s0, s und s2 gültig. p 7

20 3.6 Fixpunktcharakterisierung Der zuvor dargestellte lgorithmus nutzt die Eigenschaft, dass sich die Operatoren temporaler Logiken als Fixpunkte monotoner Funktionale berechnen lassen. Funktionale werden in der Form λ y. f geschrieben, wobei f die Formel und y die Variable bezeichnen. Ein Fixpunkt eines Funktionals f ist gegeben, wenn f ( p) = p f ist monoton, wenn für alle Teilmengen x, y seiner Definitions- gilt. Ein Funktional menge S gilt: us x y folgt f ( x) f ( y). Monotone Funktionale besitzen nach [Ta55] einen kleinsten sowie einen größten Fixpunkt. Zur Berechnung des kleinsten Fixpunktes wird als Startwert die leere Menge übergeben. Der größte Fixpunkte wird berechnet, indem als Startwert die Menge aller Elemente der Definitionsmenge übergeben wird. uf diese Startwerte wird die Funktion solange auf sich selber angewandt, bis keine Änderung des Funktionswertes mehr erfolgt. Zur Berechnung der Fixpunkte der Operatoren einer temporalen Logik wird die Funktion einmal mit und einmal mit true gestartet. uf das Model Checking übertragen, entspricht dies einmal der leeren Menge und einmal der Menge der Zustände eines Modells. Diese Menge ist endlich, da nur Systeme betrachtet werden, die sich in endlichen Modellen darstellen lassen. Bei einer endlichen Zustandsmenge mit Zuständen muss ein monotones Funktional f maximal n -mal auf sich selber angewandt werden, um einen Fixpunkt zu finden. n false Die Fixpunktcharakterisierung der Operatoren von CTL führt zu folgendem Ergebnis, wobei µ y. f den kleinsten und ν y. f den größten Fixpunkt bezeichnet. Gp = ν y. p X EGp = ν y. p EX Fp = µ y. p X y y y EFp = µ y. p EX y E ( q U p) µ y p ( q X y =. ) ( q U p) = µ y. ( p ( q EX y) ) Diese Darstellung der Operatoren als Fixpunkte wird im obigen lgorithmus für das Model Checking ausgenutzt. Da hiermit gezeigt ist, dass jede Fixpunktberechnung höchstens so viele Schritte erfordert, wie das entsprechende Modell Zustände enthält, ist auch bewiesen, dass der Markierungsalgorithmus terminiert. 8

21 3.7 Theoretische spekte temporaler Logiken In diesem bschnitt werden theoretische spekte der dargestellten temporalen Logiken untersucht. Hier geht es darum, ussagen über die Entscheidbarkeit, usdrucksstärke und Komplexität zu treffen und die verschiedenen Logiken daraufhin zu vergleichen. Die Entscheidbarkeit ist sowohl bei LTL als auch bei CTL gegeben. Die Grundlage hierfür ist darin begründet, dass beide Logiken auf der ussagenlogik basieren, die ebenfalls entscheidbar ist. Weiter wurde durch die ngabe eines lgorithmus zum Model Checking gezeigt, dass ussagen in CTL in endlicher Zeit überprüfbar sind. Für LTL existieren ebenso lgorithmen. Eine Möglichkeit besteht hier, ein System als Büchi-utomat darzustellen. Die Komplexität des dargestellten Markierungsalgorithmus liegt in deterministisch polynomieller Zeit bezüglich der Modellgröße und der Formellänge. Die Komplexität der bekannten lgorithmen für LTL Formeln ist weitaus größer und befindet sich in der Klasse PSPCE-vollständig. Bezüglich der usdrucksstärke sind LTL und CTL unvergleichbar. Es entsteht zunächst der Eindruck, dass CTL gegenüber LTL ausdrucksstärker ist, da hier zusätzlich zu den temporalen Operatoren Pfadquantoren erlaubt sind, die Bedeutungen für einzelne Berechnungspfade besitzen. In einem anderen Punkt ist jedoch LTL ausdrucksstärker. In LTL sind bestimmte Verschachtelungen boolscher Konnektoren mit den temporalen Operatoren erlaubt, die in CTL nicht gestattet sind. Daher ist weder LTL noch CTL ausdrucksstärker. Vielmehr ist es möglich, bestimmte ussagen in beiden Logiken auszudrücken. Daher bilden die usdrucksmöglichkeiten beider Logiken nur eine Schnittmenge. LTL CTL Die Formel G EFp ist nur in CTL enthalten, nicht aber in LTL. Die hier angegebenen Pfadquantoren existieren in LTL nicht, daher sind dort ussagen über alle oder nur einige Pfade nicht möglich. Diese Möglichkeit ist nur in CTL gegeben. 9

22 Kapitel 4: Zusammenfassung Die Formel GFp Fq ist nur in LTL enthalten, nicht aber in CTL. Würde diese Formel in CTL um den Pfadquantor ergänzt, so hätte die neue Formel nicht die gleiche Bedeutung. ußerdem können in CTL temporale Operatoren nicht wie in LTL unmittelbar nacheinander folgen. Die Formel ( p Fq) G ist sowohl in CTL als auch in LTL enthalten, da diese Formel aus syntaktischer Sicht um den Operator gekürzt werden kann, so dass nur noch G( p Fq) übrig bleibt. Dies sagt in LTL immer noch dasselbe aus, da nur ein Zeitpfad betrachtet wird. Semantisch bedeutet die Formel, dass (für alle Pfade) immer gilt: p impliziert, dass (für alle Pfade) irgendwann q gilt. Dies ist auch in CTL (für alle Pfade) der Fall, da jeder temporaler Operator den Pfadquantor besitzt. Da in LTL nur ein Pfad betrachtet wird, entspricht dies der Formel ohne 4 Zusammenfassung in LTL. Soft- und Hardwaresystemen lassen sich neben dem Testen auch durch Beweise auf Korrektheit prüfen. Eine Möglichkeit ist, dies mittels Model Checker durchzuführen. Dafür wird vorausgesetzt, dass sich ein zu prüfendes System als endliches Modell darstellen lässt. Model Checker erlauben zudem nur die Prüfung bestimmter Eigenschaften wie z. B. Lebendigkeit oder Deadlockfreiheit. Diese Eigenschaften müssen in einer formalen Spezifikation dargestellt werden. Dazu werden temporale Logiken benötigt, die eine Erweiterung der ussagen- oder auch der Prädikatenlogik sind. Diese Logiken basieren auf unterschiedlichen Zeitmodellen. Unterschieden werden lineare und verzweigte Zeitmodelle. Die Logik LTL basiert auf einem linearen Zeitmodell, CTL dagegen basiert auf einem verzweigten Zeitmodell. Der lgorithmus des CTL Model Checking erwartet als Eingabe die Spezifikation einer zu prüfenden Eigenschaft in einer temporalen Logik und ein Modell des zu prüfenden Systems. Dieses Modell enthält die Zustände, Zustandsübergänge und uswertungsfunktion. Der vorgestellte Markierungsalgorithmus berechnet die Menge der Zustände, in denen eine gegebene Formel in CTL gültig ist. Die Grundlage dieses lgorithmus ist die Fixpunktcharakterisierung. Diese besagt, dass jede monotone Funktion einen kleinsten und einen größten Fixpunkt besitzt, die sich bei endlicher nwendung der Funktion auf sich selber berechnen lassen. Da die Systeme endlich sind, lässt sich dies auf das Model Checking übertragen. ls Fixpunkte ergeben sich die Operatoren der temporalen Logiken. 20

23 Literaturverzeichnis [Bu84] [CE8] [Em90] Burges, John. P.: Basic tense logic. In: Handbook of philosophical logic. Band II: Extensions of Classical Logic. Hrsg.: D. Gabbay, F. Guenthner. Dordrecht, Bosten, Lancester 984, S Clarke, Edmund M.; Emerson, E. llen: Design and Synthesis of Synchronization Skeletons using Branching Time Temporal Logic. In: Lecture Notes on Computer Science, Hrsg.: Dexter Kozen, Band 3, 98, S Emerson, E. llen: Temporal and Modal Logic. In: Formal Models and Semantics. Hrsg.: Jan van Leeuwen, Band B, msterdam u.a. 990, S [HR0] Huth, Michael; Ryan, Mark: Logic in Computer Science, Cambridge 200. [Mc93] McMillan, Kenneth L.: Symbolic Model Checking, Boston u.a [Sc00] Schöning, Uwe: Logik für Informatiker, 5.ufl., Heidelberg, Berlin [Ta55] Tarski, lfred: lattice-theoretical fixpoint theorem and its applications. Pacific Journal of Mathematics, 955, S