Können Computer programmieren? Bernd Finkbeiner, Universität des Saarlandes

Transkript

1 Können Computer programmieren? Bernd Finkbeiner, Universität des Saarlandes Alonzo Church ( ) Given a requirement which a circuit is to satisfy, we may suppose the requirement expressed in some suitable logistic system which is an extension of restricted recursive arithmetic. The synthesis problem is then to find recursion equivalences representing a circuit that satisfies the given requirement (or alternatively, to determine that there is no such circuit). (Cornell University, 1957)

2 S7Synth Meilensteine 1940: Universelle Berechenbarkeit Alan Turing, John von Neumann, Alonzo Church, 1960: ω-automatentheorie Richard Büchi, Robert McNaughton, Michael Rabin, 1980: Temporale Logik Amir Pnueli, Joseph Sifakis, Ed Clarke, Allan Emerson, Heute: Verteilte Systeme

3 1940 Universelle Berechenbarkeit Zustand 0, lese 1 schreibe 0, bewege nach rechts, Zustand 1, lese 0 schreibe 0, bewege nach links, Zustand 2, lese 1 schreibe 0, bewege nach rechts, Zustand 2, lese 0 schreibe 1, bewege nach rechts. Alan Mathison Turing ( )

4 Turing-Maschine M Halteproblem unentscheidbar M hält! M hält nicht! Turing-Maschine M Spec S: Implementierung soll sich genau wie M verhalten und anhalten. Spezifikation S Programmsynthese unentscheidbar Implementierung von S S unrealisierbar! M hält! M hält nicht.

5 In other words, you can build an organ which can do anything that can be done, but you cannot build an organ which tells you whether it can be done. (John von Neumann, Theory of Self- Reproducing Automata) John von Neumann ( ) 1960 ω-automatentheorie

6 Rohteile Band 1 Band 2 Transporter Maschine 1 Maschine 2 Verhalten = unendliche Folge von Beobachtungen: B1,B2 B1M1, B2M2 B1,B2 B1M1,B2M2 B1,B2. Rohteile Band 1 Band 2 Transporter Maschine 1 Maschine 2 Verhalten = unendliche Folge von Beobachtungen: B1,B2 B1M1, B2M2 B1,B2 B1M1,B2M2 B1,B2. B1 B1M1 B1 B1M1 B1 B1M1.

7 Rohteile Band 1 Band 2 Transporter Maschine 1 Maschine 2 Verhalten = unendliche Folge von Beobachtungen: B1,B2 B1M1, B2M2 B1,B2 B1M1,B2M2 B1,B2. B1 B1M1 B1 B1M1 B1 B1M1. B1 B1M1 B1 B1M2 B1 B1M1. Verhalten = unendliche Folge von Beobachtungen: B1,B2 B1M1, B2M2 B1,B2 B1M1,B2M2 B1,B2. B1,B2 B1M1 B2 B2M2 B1,B2 B1M1. B1 B1M1 B2 B1M2 B1 B1M1. B2 B2M1 B1 B1M2 B2. B1,B2 B1M2 B1,B2 B1M1 B1,B2. korrektes Verhalten B1 B1M1 B1 B1M1 B1 B1M2. B1 B1M1 B1 B1M2 B1 B1M1. B1,B2 B1M1 B1,B2 B1M2 B1,B2. B1,B2 B1M2 B2 B1M2 B1,B2 B1M2. B1 B1M1 B2 B1M1 B1 B1M1. B2 B2M2 B1 B1M2 B2. inkorrektes Verhalten B1,B2 B1M1 B1,B2 B1M1 B1,B2. B1 B1M1 B1 B1M1 B1 B1M2. B1 B1M2 B1 B1M2 B1 B1M1.

8 Büchi-Automaten Ein Büchi-Automat besteht aus einem endlichen Alphabet Σ einer endlichen Menge von Zuständen Q einem Initialzustand q 0 einer Zustandsübergangsrelation δ Q Σ Q einer Menge von akzeptierenden Zuständen F Q J. Richard Büchi ( ) Es muss immer (entweder auf Band 1 oder auf Band 2) ein Teil verfügbar sein. B1 B2 Maschine 2 muss immer wieder (= unendlich oft) beliefert werden B1M2 B2M2 B1M2 B2M2 B1M2 B2M2 B1M2 B2M2 Wenn immer ein Teil verfügbar ist, muss Maschine 2 unendlich oft beliefert werden. B1M2 B2M2 B1 B2 B1M2 B2M2 B1 B2 B1M2 B2M2 B1 B2 B1M2 B2M2 B1 B2 B1 B2 B1 B2 true

9 Rohteile Band 1 Band 2 Transporter Maschine 1 Maschine 2 B1M2 B2M2 B1 B2 B1M2 B2M2 B1 B2 B1M2 B2M2 B1 B2 B1 B2 B1 B2 true B1M2 B2M2 B1 B2 Umgebung System

10 Das Verhalten der Umgebung unterliegt nicht unserer Kontrolle. Das System muss so programmiert werden, dass es sich dem Umgebungsverhalten richtig anpasst. Spieler Umgebung versucht fehlerhaftes Verhalten zu erzeugen. Spieler System versucht korrektes Verhalten zu erzeugen Programm = Strategie von Spieler System.

11 B1 B2 B1M2 B2M2 B1 B2 B1M2 B1 B2 B1M2 B2M2 B1M2 B1 B2 B1 B2 B2M2 B1 B2 B2M2 B1 B2 B1 B2 true true Sicherheitsspiele Ein Sicherheitsspiel besteht aus - Der Spielarena: endlicher Graph wobei Knoten = mögliche Spielpositionen Kanten = mögliche Spielzüge (getrennt nach Spielern) - Der Gewinn-Bedingung: eine Menge von Sieg -Positionen in denen Spieler Rot das Spiel gewonnen hat.

12 In jeder Spielposition kann höchstens ein Spieler ziehen B: Positionen von Spieler Blau R: Positionen von Spieler Rot B R B Eine Strategie für Spieler Rot ist eine Funktion s: R R B. Eine Strategie gewinnt für Rot wenn jeder Spielablauf, bei dem Rot der Strategie folgt, in einer Sieg-Position für Rot endet.

13 Eine Strategie für Spieler Blau ist eine Funktion s: B R B. Eine Strategie gewinnt für Blau wenn jeder Spielablauf, bei dem Blau der Strategie folgt, nicht in einer Sieg-Position für Rot endet. Für eine gegebene Menge X von Positionen: Aus welchen Positionen Pre R (X) kann Spieler Rot erzwingen, dass die nächste Position in X liegt? 1. Alle Positionen in R, so dass ein Nachfolger in X liegt. X

14 Für eine gegebene Menge X von Positionen: Aus welchen Positionen Pre R (X) kann Spieler Rot erzwingen, dass die nächste Position in X liegt? 1. Alle Positionen in R, so dass ein Nachfolger in X liegt. 2. Alle Positionen in B, so dass alle Nachfolger in X liegen. X Aus welchen Positionen hat Spieler Rot eine gewinnende Strategie? 1. Aus allen Sieg-Positionen für Rot: X 1 2. Aus allen Positionen in X 1 oder in Pre R (X 1 ): X 2 3. Aus allen Positionen in X 1, X 2 oder in Pre R (X 2 ): X 3 X 2 =X 3... Der Fixpunkt (X i mit X i = X i+1 ) ist die Attraktor-Menge von X 1 : Attr R (X 1 ) = X i. X 1

15 Aus der Attraktor Menge für Spieler Rot ergibt sich eine einfache Strategie für Spieler Blau: Vermeide Attr R wann immer möglich. Attr R Lebendigkeitsspiele Ein Lebendigkeitsspiel besteht aus - Der Spielarena (wie bei Sicherheitssspielen) - Der Gewinn-Bedingung: eine Menge F von Positionen z.b. F= Maschine erhält Teil Für einen unendlich langen Ablauf wird das Spiel folgendermaßen entschieden: Wird unendlich oft eine Spielposition in F besucht, dann gewinnt Spieler Blau, ansonsten gewinnt Spieler Rot.

16 Lebendigkeitsspiele Ein Lebendigkeitsspiel besteht aus - Der Spielarena (wie bei Sicherheitsspielen) - Der Gewinn-Bedingung: eine Menge F von Positionen Für einen unendlich langen Ablauf wird das Spiel folgendermaßen entschieden: Wird unendlich oft eine Spielposition in F besucht, dann gewinnt Spieler Blau, ansonsten gewinnt Spieler Rot. Von welchen Spielpositionen aus ist es Spieler Blau möglich, mindestens einen Besuch von F zu erzwingen? Y 1 = Attr B (F) Y 1 Attraktormengen-Konstruktion!

17 Von welchen Spielpositionen in F aus ist es Spieler Blau möglich, mindestens einen weiteren Besuch von F zu erzwingen? Pre B (F) Z 1 Z 1 = Attr B ( Pre B (F) ) F Attr B (Pre B (F)) Von welchen Spielpositionen in F aus ist es Spieler Blau möglich, unendlich viele weitere Besuche von F zu erzwingen? Pre B (Z 1 ) Z 1 =Z 2 Z 1 = Attr B ( Pre B (F) ) F Z 2 = Attr B ( Pre B (Z 1 ) ) F Attr B (Pre B (Z 1 )) Der Fixpunkt (Z i mit Z i = Z i+1 ) ist die Revisit-Menge von F : Revisit B (F) = Z i.

18 Von welchen Spielpositionen aus ist es Spieler Blau möglich, unendlich viele Besuche von F zu erzwingen? Attr B (Revisit B (F)) Revisit B (F) Attr B (Revisit B (F)) B1 B2 B1M2 B2M2 B1 B2 B1M2 B1 B2 B1M2 B2M2 B1M2 B1 B2 B1 B2 B2M2 B1 B2 B2M2 B1 B2 B1 B2 true true

19 1980 Temporale Logik Temporale Logik p Zustandsformeln Next p Amir Pnueli Eventually Henceforth ψ Until ψ

20 Es muss immer (entweder auf Band 1 oder auf Band 2) ein Teil verfügbar sein. (B1 B2) Maschine 2 muss immer wieder (= unendlich oft) beliefert werden (B1M2 B2M2) Wenn immer ein Teil verfügbar ist, muss Maschine 2 unendlich oft beliefert werden. (B1 B2) (B1M2 B2M2) Jede temporallogische Formel kann in einen äquivalenten Automaten umgeformt werden. p p true p true p true p true p true p p p q p q true

21 Anwendung 1: Automatische Programmverifikation (Model Checking) Logische Spezifikation, System S Negation: Automat: A Komposition: S A S ist korrekt genau dann wenn die Sprache von S A leer ist. Anwendung 2: Automatische Programmsynthese Logische Spezifikation Automat: A Spiel: S : Spieler System gewinnt genau dann, wenn Ablauf von A akzeptiert wird. Jede gewinnende Strategie in Spiel S ist eine korrekte Implementierung von.

22 2008 Verteilte Systeme Umgebung 5 4

23 a Umgebung b S 1 c a b a b a b a b c c 6 7 1? b? b c c c Q 2 Q Umgebung Q 2 2 Q Q Q

24 Zusammenfassung Church s Problem Unlösbar für Turing-mächtige Spezifikationen Lösbar für viele logische Spezifikationen, z.b. Temporale Logik komplex für verteilte Systeme Fazit Synthese ist in wichtigen Gebieten dem menschlichen Programmierer überlegen (z.b. Steuerungssoftware, Scheduling). Der Nachweis, dass keine verteilte Implementierung existiert, ist sehr teuer. (Suche nach verteilten Implementierungen ist aber möglich.) Viele offene Forschungsfragen.