Formale Modellierung Vorlesung vom : Einführung

Transkript

1 Rev [11] Formale Modellierung Vorlesung vom : Einführung Till Mossakowski & Christoph Lüth Universität Bremen Sommersemester 2012

2 2 [11] Organisatorisches Veranstalter: Till Mosskawski Christoph Lüth Cartesium 2.51, Tel MZH 3110, Tel Termine: Vorlesung: Montag, 14 16, Cartesium 2.43 Übung: Donnerstag, 8 10, GW1 C1070

3 3 [11] Therac-25 Neuartiger Linearbeschleuniger in der Strahlentherapie. Computergesteuert (PDP-11, Assembler) Fünf Unfälle mit Todesfolge ( ) Zu hohe Strahlendosis ( rad, letal 1000 rad) Problem: Softwarefehler Ein einzelner Programmierer (fünf Jahre) Alles in Assembler, kein Betriebssystem Programmierer auch Tester (Qualitätskontrolle)

4 Ariane-5 4 [11]

5 5 [11] Das Problem Program Welt?

6 5 [11] Das Problem Program Welt Modell

7 6 [11] Lernziele 1. Modellierung Formulierung von Eigenschaften

8 6 [11] Lernziele 1. Modellierung Formulierung von Eigenschaften 2. Spezifikation Eigenschaften von Programmen

9 6 [11] Lernziele 1. Modellierung Formulierung von Eigenschaften 2. Spezifikation Eigenschaften von Programmen 3. Verifikation Beweis der Eigenschaften

10 6 [11] Lernziele 1. Modellierung Formulierung von Eigenschaften 2. Spezifikation Eigenschaften von Programmen 3. Verifikation Beweis der Eigenschaften 4. Vertrautheit mit aktuellen Techniken: JML, UML, Temporallogik

11 7 [11] Techniken der Modellierung und Spezifikation Annotationen an den Code JML für Java: Abstraktion von konkreter Implementation Abstraktion vom Quellcode: Abstrakte Programmmodelle: Zustandsautomaten, Klassendiagrame Abstraktion vom Ausführungsmodell: Hier: Nebenläufigkeit (Temporallogik)

12 8 [11] Java Modeling Language (JML) Zentral: funktionale Korrektheit Design by contract Spezifikation nahe am Code Hoare-Logik (pre/post conditions) Werkzeuge: ESC/Java2, Mobius

13 9 [11] Unified Modeling Language (UML) allgemeine Modellierungssprache Spezifikation problemorientierter Übersetzung in verschiedene Programmiersprachen möglich Nur bestimme Aspekte sind formal hier: State Machines und Object Constraint Language (OCL) Werkzeuge: Hugo/RT und argouml

14 10 [11] Temporallogik Spezifikation nebenläufiger Programme Sicherheits- und Fairness-Eigenschaften Werkzeug: nusmv Modelchecker

15 11 [11] Aufbau der Vorlesung Plan: Woche : Codeannotation mit JML Woche : Modellierung mit UML Woche : Modellchecking mit NuSMV Vorlesung und Übung dynamisch im Wechsel ca. 5 Übungsblätter, Gruppengröße max. 3 Übungen werden vorgestellt und besprochen Scheinkriterien: Übungsblätter bearbeiten und Fachgespräch oder mündliche Prüfung

16 Rev [12] Formale Modellierung Vorlesung vom : Beyond JML Till Mossakowski & Christoph Lüth Universität Bremen Sommersemester 2012

17 2 [12] Heute im Programm Grenzen der JML Nach JML: UML (und darüber hinaus) Zwei Fallbeispiele

18 3 [12] Fallbeispiel 1: Bankautomat Informelle Spezifikation Nach dem Einlegen der Karte (cashcard o.ä.) kann der Benutzer auswählen zwischen dem Abheben von Bargeld, und der Anzeige des Kontostands. In beiden Fällen liest der Automat von der Karte die Kontonummer des Benutzers. Beim Abheben gibt der Benutzer zuerst die gewünschte Summe und danach zur Authentifzierung sein PIN ein. Der Automat liest von der Karte die verschlüsselte PIN, und prüft ob die eingegebene mit der verschlüsselten übereinstimmt. Ist dieser der Fall, und ist das Konto gedeckt, wird das Bargeld zum Abheben bereitgestellt; danach wird die Karte zurückgegeben. Ist das nicht der Fall, wird eine entsprechende Fehlermeldung ausgegeben, und die Karte zurückgegeben. In beiden Fällen geht der Automat danach wieder in den Anfangszustand.

19 4 [12] Kritik JML Implementationsnah Struktur der Spezifikation = Struktur der Implementierung Hier: Events = Klassen? Mangelnde Abstraktion Nächster Schritt: UML

20 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur

21 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume

22 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten

23 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen

24 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen Nein Komponentendiagramm Dynamische Systemstruktur

25 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen Nein Komponentendiagramm Dynamische Systemstruktur (Nein) Verteilungsdiagramm Implementierungsaspekte

26 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen Nein Komponentendiagramm Dynamische Systemstruktur (Nein) Verteilungsdiagramm Implementierungsaspekte Nein Use-Case-Diagramm Ablauf en gros

27 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen Nein Komponentendiagramm Dynamische Systemstruktur (Nein) Verteilungsdiagramm Implementierungsaspekte Nein Use-Case-Diagramm Ablauf en gros Nein Aktivitätsdiagramm Ablauf en detail

28 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen Nein Komponentendiagramm Dynamische Systemstruktur (Nein) Verteilungsdiagramm Implementierungsaspekte Nein Use-Case-Diagramm Ablauf en gros Nein Aktivitätsdiagramm Ablauf en detail Nein Zustandsdiagramm Zustandsübergänge

29 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen Nein Komponentendiagramm Dynamische Systemstruktur (Nein) Verteilungsdiagramm Implementierungsaspekte Nein Use-Case-Diagramm Ablauf en gros Nein Aktivitätsdiagramm Ablauf en detail Nein Zustandsdiagramm Zustandsübergänge Ja Sequenzdiagramm Kommunikation

30 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen Nein Komponentendiagramm Dynamische Systemstruktur (Nein) Verteilungsdiagramm Implementierungsaspekte Nein Use-Case-Diagramm Ablauf en gros Nein Aktivitätsdiagramm Ablauf en detail Nein Zustandsdiagramm Zustandsübergänge Ja Sequenzdiagramm Kommunikation Ja Kommunikationsdiagramm Struktur der Kommunikation

31 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen Nein Komponentendiagramm Dynamische Systemstruktur (Nein) Verteilungsdiagramm Implementierungsaspekte Nein Use-Case-Diagramm Ablauf en gros Nein Aktivitätsdiagramm Ablauf en detail Nein Zustandsdiagramm Zustandsübergänge Ja Sequenzdiagramm Kommunikation Ja Kommunikationsdiagramm Struktur der Kommunikation (Ja) Zeitverlaufsdiagramm Echtzeitaspekte

32 5 [12] UML als formale Spezifikationssprache Diagrammtyp Modellierte Aspekte Formal Klassendiagramm Statische Systemstruktur Ja Paketdiagramm Pakete, Namensräume Nein Objektdiagramm Zustand von Objekten (Ja) Kompositionsstrukturdiagramm Kollaborationen Nein Komponentendiagramm Dynamische Systemstruktur (Nein) Verteilungsdiagramm Implementierungsaspekte Nein Use-Case-Diagramm Ablauf en gros Nein Aktivitätsdiagramm Ablauf en detail Nein Zustandsdiagramm Zustandsübergänge Ja Sequenzdiagramm Kommunikation Ja Kommunikationsdiagramm Struktur der Kommunikation (Ja) Zeitverlaufsdiagramm Echtzeitaspekte (Ja)

33 6 [12] Diagramme in UML 2.3 Quelle: Wikipedia

34 Semantik der UML: Metamodellierung Quelle: Wikipedia 7 [12]

35 8 [12] Kritik UML OO built-in Adäquat für eingebettete Systeme, CPS,...?

36 Fallbeispiel 2: omnirobot Informelle Spezifikation Ein omnidirektionaler, autonomer Roboter soll gegen Kollisionen mit statischen Hindernissen gesichert werden. Dazu wird zu jedem Zeitpunkt die mit der momentanen Geschwindigkeit w beim Bremsen bis zum Stillstand überstrichene Fläche A berechnet, die dann mit einer berührungslos wirkenden Schutzeinrichtung überwacht wird. Quelle: Kuka AG 9 [12]

37 10 [12] Modellierung Roboter als konvexes Polygon K = K 1,..., K n, momentane Pos. P Momentane Geschwindigkeit: Vektor v = (v, φ) Bremsweg S 1, Anhalteweg S, als Vektor: w = (S, φ) Zu berechnen: Anhaltefläche A Q 5 Q 4 Q 3 Q 2 P 4 P 3 Q 6 w Q 1 P 5 P 2 P 6 P 1

38 11 [12] Fazit Fallbeispiel 2 Semantische Modellierung der realen Welt Nicht inhärent objektorientiert Modellierung in UML möglich Natürlicher: direkte Modellierung Fokus: Beweise, Manipulation von Formeln

39 12 [12] Zusammenfassung JML sehr nahe an der Implementation UML abstrahiert von Implementation, aber nur bedingt von Anwendungsdomäne Nächste VL (Montag): Fallbeispiel 2 in UML und Z

40 Rev [13] Formale Modellierung Vorlesung vom : Der sichere Roboter in Z Till Mossakowski & Christoph Lüth Universität Bremen Sommersemester 2012

41 2 [13] Heute im Programm Die Z Notation Modellierung des Sicheren Omnidirektionalen Roboters

42 3 [13] Die Z Notation Basiert auf getypter Mengenlehre Entwickelt seit 1980 (Jean-Claude Abrial, Oxford PRG) Industriell genutzt (IBM, Altran Praxis (vorm. Praxis Critical Systems)) L A TEX-Notation und Werkzeugunterstützung (Community Z Tools, HOL-Z)

43 4 [13] Modell Bremszeit und Bremsstrecke (ab Bremszeitpunkt, a brk > 0): v(t) = v 0 a brk t s(t) = v 0 t a brk 2 t2 = T = v 0 a brk S = v 2 0 2a brk Modellierung in Z: Berechung des Bremsweges. Verzögerung t L und Bremsverzögerung a brk fest: a brk, t L : Z Damit Brems- und Anhalteweg als Funktion über v: brk : Z Z stop : Z Z v : Z brk v = v v div 2 a brk v : Z stop v = v t L + brk(v)

44 5 [13] Geometrie: Punkte Ein Punkt ist ein Schema mit Komponenten x und y: POINT x, y : Z Dazu einschlägige Operationen: Konstruktion aus Polarkoordinaten, Skalarmultiplikation: polar : Z Z POINT d, ω : Z (polar(d, ω)).x = d cos ω d, ω : Z (polar(d, ω)).y = d sin ω smult : Z POINT POINT d : Z; p : POINT (smult(d, p)).x = d p.x d : Z; p : POINT (smult(d, p)).y = d p.y

45 6 [13] Mehr Standardoperationen auf Punkten Addition und Subtraktion von Punkten: add : POINT POINT POINT minus : POINT POINT POINT p, q : POINT (add(p, q)).x = p.x + q.x p, q : POINT (add(p, q)).y = p.y + q.y p, q : POINT minus(p, q) = add(p, smult(0 1, q)) Ganzzahlige Wurzel: sqrt : Z Z i : Z sqrt i sqrt i i i < (sqrt i + 1) (sqrt i + 1) Damit Betrag eines Punktes (als Vektor): len : POINT Z p : POINT len p = sqrt(p.x p.x + p.y p.y)

46 7 [13] Geometrie: Bewegung Bewegung: kombinierte Translation und Rotation movep : POINT Z Z POINT p : POINT ; d, ω : Z movep(p, d, ω) = add(p, polar(d, ω)) Bewegung eines Polygons: move : seq POINT Z Z seq POINT p : seq POINT ; d, ω : Z move(p, d, ω) = (λ i : dom p movep(p(i), d, ω))

47 p : P POINT convhull p = {q : P POINT q conv p q} 8 [13] Geometrie: Konvexe Hülle Strecke zwischen zwei Punkten: seg : POINT POINT P POINT p, q : POINT seg(p, q) = {r : POINT z : N z len(minus(p, q)) r = add(smult(z, p), smult(len(minus(p, q)) z, q))} Konvexität (Menge aller konvexen Punktmengen): conv : P(P POINT ) conv = {c : P POINT p, q : c; r : POINT r seg(p, q) r c} Konvexe Hülle: kleinste p umfassende konvexe Menge convhull : P POINT P POINT

48 9 [13] Der Roboter und seine Bremsfläche Der Roboter hat eine Kontour, Geschwindigkeit, Orientierung: Robot P : seq POINT v : Z ω : Z #P > 2 ran P conv Die beim Anhalten überstrichene Fläche: area : seq POINT Z Z P POINT v, ω : Z; P : seq POINT area(p, v, ω) = convhull (ran P ran (move(p, stop v, ω)))

49 10 [13] Der sichere Roboter Menge von Hindernissen obs : P POINT Der sichere Roboter SafeRobot Robot area(p, v, ω) obs = Sicherheitseigenschaft: SafeMove Robot SafeRobot SafeRobot

50 11 [13] Bewegung des Roboters Geschwindigkeit bleibt gleich: RobotSameSpeed Robot v = v ω = ω P = move(p, v, ω) Sicher? SafeSameSpeed RobotSameSpeed SafeRobot SafeRobot

51 12 [13] Bewegung des Roboters Geschwindigkeit erhöht sich, Lenkwinkel bleibt nur in Bewegung: δv : Z RobotSpeedUp Robot v v + δv v 0 ω = ω P = move(p, v, ω) Sicher? SafeSpeedUp RobotSpeedUp SafeRobot SafeRobot

52 13 [13] Zusammenfassung Z ist leichtgewichtige Notation Werkzeugunterstützung: L A TEX, Typcheck Nächste Woche: UML

53 Rev [11] Formale Modellierung Vorlesung vom : OCL Die Object Constraint Language Till Mossakowski & Christoph Lüth Universität Bremen Sommersemester 2012

54 2 [11] OCL Object Constraint Langauge Mathematisch präzise Sprache für UML OO meets Z Entwickelt in den 90ern Formale Constraints an UML-Diagrammen

55 3 [11] OCL Basics Getypte Sprache Dreiwertige Logik (Kleene-Logik) Ausdrücke immer im Kontext: Invarianten an Klassen, Interfaces, Typen Vor/Nachbedingungen an Operationen oder Methoden

56 4 [11] OCL Syntax Invarianten: context class inv: expr Vor/Nachbedingungen: context Type :: op(arg1 : Type) : ReturnType pre: expr post: expr expr ist ein OCL-Ausdruck vom Typ Boolean

57 5 [11] OCL Typen Basistypen: Boolean, Integer, Real, String OclAny, OclType, OclVoid Collection types: Set, OrderedSet, Bag, Sequences Modelltypen

58 6 [11] Basistypen und Operationen Integer (Z) OCL-Std Real (R) OCL-Std Integer Subklasse von Real round, floor von Real nach Integer String (Zeichenketten) OCL-Std substring, toreal, tointeger, characters etc. Boolean (Wahrheitswerte) OCL-Std or, xor, and, implies Sowie Relationen auf Real, Integer, String

59 7 [11] Collection Types Set, OrderedSet, Bag, Sequence Operationen auf allen Kollektionen: OCL-Std size, includes, count, isempty, flatten Kollektionen werden immer flachgeklopft Set OCL-Std union, intersection, Bag OCL-Std union, intersection, count Sequence OCL-Std first, last, reverse, prepend, append

60 8 [11] Collection Types: Iteratoren Iteratoren: Funktionen höherer Ordnung Alle definiert über iterate OCL-Std : coll-> iterate(elem: Type, acc: Type= expr expr[elem, acc]) iterate(e: T, acc: T= v) { acc= v; for (Enumeration e= c.elements(); e.hasmoreelements();){ e= e.nextelement(); acc.add(expr[e, acc]); // acc= expr[e, acc] } return acc; } Iteratoren sind alle strikt

61 9 [11] Modelltypen Aus Attribute, Operationen, Assoziationen des Modells Navigation entlang der Assoziationen Für Kardinalität 1 Typ T, sonst Set(T) Benutzerdefinierte Operationen in Ausdrücken müssen zustandsfrei sein (Stereotyp <<query>>)

62 10 [11] Undefiniertheit in OCL Undefiniertheit propagiert (alle Operationen strikt) OCL-Std. Ausnahmen: Boolsche Operatoren (and, or beidseitig nicht-strikt) Fallunterscheidung Test auf Definiertheit: oclisundefined mit { true e = oclisundefined(e) = false otherwise Resultierende Logik: dreiwertig (Kleene-Logik) Iteratoren: semi-strikt

63 11 [11] Style Guide Komplexe Navigation vermeiden ( Loose coupling ) Adäquaten Kontext auswählen Use of allinstances is discouraged Invarianten aufspalten Hilfsoperationen definieren

64 12 [11] Zusammenfassung OCL erlaubt Einschränkungen auf Modellen Erlaubt mathematisch präzisere Modellierung Frage: Werkzeugunterstützung? Ziel: Beweise, Codegenerierung,...?

65 Rev [1] Formale Modellierung Vorlesung vom : Werkzeugunterstützung für OCL Till Mossakowski & Christoph Lüth Universität Bremen Sommersemester 2012

66 2 [1] Werkzeuge für OCL Klassifikation: MDA + OCL Specifikation mit OCL Interaktive Entwicklung mit OCL

67 3 [1] MDA + OCL MDA: Model-driven architecture Entwicklung durch Modelltransformation Rolle der OCL: Metasprache Codegenerierung Laufzeitchecks Beispiele für Werkzeuge: MDT/OCL MDT/OCL: EMF mit OCL-Unterstützung

68 4 [1] Spezifikation USE (UML Specification Environment, Uni Bremen) Spezifisch UML+OCL Syntax/Typecheck Animation Konsistenzprüfung ArgoUML (Poseidon) UML 1.5, alle Diagramme OCL: Syntax/Typecheck

69 5 [1] HOL-OCL Entwickelt an der ETH Zürich Flache Einbettung von OCL nach HOL Prüft Konsistenz der Modelle Präziser als OCL-Standard (z.b. Semantik von Mengen) Aufbauende Werkzeuge: Modelltransformationen

70 6 [1] Zusammenfassung OCL-Werkzeuge OCL wird stiefmütterlich behandelt Generierung von Laufzeitprüfungen OCL als Abfragesprache Modelltransformation (used?)