1. Einführung in Temporallogik CTL

Transkript

1 1. Einführung in Temporallogik CTL Temporallogik dient dazu, Aussagen über Abläufe über die Zeit auszudrücken und zu beweisen. Zeit wird in den hier zunächst behandelten Logiken als diskret angenommen im Gegensatz zur üblicheren Vorstellung von Zeit als einer kontinuierlichen Größe. Die diskreten Zeitpunkte entsprechen diskreten System- oder Weltzuständen. Ein (diskreter) Zeitfortschritt spiegelt sich in einem diskret definierten Zustandsübergang der betrachteten Welt wider. Es wird nicht streng zwischen Zeitpunkt und Zustand unterschieden Zeitpunkte werden (indirekt) dadurch bestimmt, dass ein System bestimmte Zustände annimmt. Der Wahrheitsbegriff der Temporallogik ist dynamisch im Gegensatz zu dem normalen statischen Wahrheitsbegriff der Aussagenlogik und Prädikatenlogik: in den verschiedenen Zuständen eines Modells können Aussagen unterschiedliche Wahrheitswerte annehmen v.henke: Computergestützte Modellierung und Verifikation SS

2 Zeitbegriffe und Temporallogiken Unterschiedliche Zeitbegriffe: Lineare Zeit: eine lineare (total geordnete) Folge von Zeitpunkten (Zuständen) verzweigte Zeit (branching time): Es werden verschiedene mögliche zukünftige Folgezustände ( Weltenzustände ) betrachtet. zukünftige Zeit hat Baum-Struktur geeignet zur Modellierung von Nicht-Determinismus Daraus ergeben sich unterschiedliche Formen von Temporallogik: LTL: CTL: Linear-time Temporal Logic Computation Tree Logic Hier (zunächst) behandelt: CTL v.henke: Computergestützte Modellierung und Verifikation SS

3 CTL: Syntax induktive Definition der CTL-Formeln (abstrakte BNF): ::= p ( ) ( ) ( ) ( ) AX EX AG EG AF EF A [ U ] E [ U ] und stehen für die Konstanten wahr und falsch; p steht für eine atomare Formel; die aussagenlogischen Verknüpfungen sind die üblichen. v.henke: Computergestützte Modellierung und Verifikation SS

4 Syntax von CTL (2) AX usw. sind temporale Verknüpfungen jeweils aus zwei Komponenten zusammengesetzt: A: entlang aller Pfade notwendigerweise, Always E: entlang mindestens eines Pfade möglicherweise, Exists X: nächster Zustand next F: in einem zukünftigen Zustand Future G: in allen zukünftigen Zuständen Globally U: bis Until v.henke: Computergestützte Modellierung und Verifikation SS

5 Syntax von CTL (3) Präzedenz: und die unären temporalen Verknüpfungen AX usw. binden am stärksten, gefolgt von binären logischen Operatoren,,, AU und EU in der angegebenen Reihenfolge Unterformel: definiert in der üblichen Weise v.henke: Computergestützte Modellierung und Verifikation SS

6 EF v.henke: Computergestützte Modellierung und Verifikation SS

7 EG v.henke: Computergestützte Modellierung und Verifikation SS

8 AF v.henke: Computergestützte Modellierung und Verifikation SS

9 AG v.henke: Computergestützte Modellierung und Verifikation SS

10 CTL: Semantik Abstrakte Charakterisierung eines Zustandsübergangssystems (state transition system) als CTL-Modell: M = (S,, L) mit S Menge der Zustände Zustandsübergangsrelation (Transitionsrelation), d.h. S S Für jedes s S gibt es ein s S mit s s L Markierung von Zuständen: L : S P(A), mit A eine Menge von Atomen Intuitive Bedeutung der Markierung: jedem Zustand wird eine Menge von Aussagen (eine Konjunktion von Atomen) zugeordnet, die in dem Zustand wahr sind. ( ) v.henke: Computergestützte Modellierung und Verifikation SS

11 Semantik von CTL (2) Die Bedingung ( ) stellt sicher, dass es zu jedem Zustand (mindestens) einen Nachfolger-Zustand gibt, d.h. es gibt keinen deadlock Dies kann immer formal erreicht werden durch Einfügen eines neuen Zustands s d, einer Transition s d s d (Schleife) und hinreichend vielen Transitionen s i s d Das Verhalten eines Systems wird beschrieben durch die möglichen Pfade, d.h. Folgen von Transitionen: Ein Pfad von M ist eine Folge von Zuständen aus S, s 1, s 2,..., s i, s i+1,... in der für alle i 1 gilt: s i+1 ist ein Nachfolger-Zustand von s i, d.h. es gilt jeweils s i s i+1 v.henke: Computergestützte Modellierung und Verifikation SS

12 Semantik von CTL (3) Eine Formel wird von einem Modell M in Zustand s erfüllt: M, s = Definition der Relation = induktiv über den Aufbau der CTL-Formeln v.henke: Computergestützte Modellierung und Verifikation SS

13 Semantik von CTL (4) M, s = und M, s = für alle s S M, s = p genau dann, wenn p L(s) M, s = genau dann, wenn M, s = M, s = 1 2 genau dann, wenn M, s = 1 und M, s = 2 Analog für 1 2 und 1 2 M, s = AX genau dann, wenn für jedes s mit s s gilt M, s = AX: in jedem Nachfolger-Zustand v.henke: Computergestützte Modellierung und Verifikation SS

14 Semantik von CTL (5) M, s = EX genau dann, wenn es ein s mit s s gibt, so dass gilt M, s EX: in einem Nachfolger-Zustand = M, s = AG genau dann, wenn für jeden Pfad s 1 s 2... mit s = s 1 und für jedes s i entlang des Pfads gilt M, s i = AG: für jeden Pfad beginnend mit s und in jedem Zustand entlang des Pfads gilt... M, s = EG genau dann, wenn es einen Pfad s 1 s 2... mit s = s 1 gibt, so dass für jedes s i entlang des Pfads gilt M, s i = EG: es gibt einen Pfad, so dass in jedem Zustand entlang des Pfads gilt... v.henke: Computergestützte Modellierung und Verifikation SS

15 Semantik von CTL (6) M, s = AF genau dann, wenn es für jeden Pfad s 1 s 2... mit s = s 1 ein s i entlang des Pfads gibt, so dass gilt M, s i = AF: für jeden Pfad beginnend mit s gibt es einen zukünftigen Zustand entlang des Pfads, so dass gilt... M, s = EF genau dann, wenn für einen Pfad s 1 s 2... mit s = s 1 und ein s i entlang des Pfads gilt M, s i = EF: es gibt einen Pfad beginnend mit s und einen zukünftigen Zustand entlang des Pfads, so dass gilt... v.henke: Computergestützte Modellierung und Verifikation SS

16 Semantik von CTL (7) M, s = A [ 1 U 2 ] genau dann, wenn gilt: jeder Pfad s s 2... erfüllt 1 U 2, d.h. es gibt ein s i entlang des Pfads, so dass M, s i = 2, und M, s j = 1 für jedes s j mit j < i AU: für alle Pfade beginnend mit s gilt 1 solange, bis in einem Zustand 2 gilt. M, s = E [ 1 U 2 ] genau dann, wenn gilt: es gibt einen Pfad s s 2..., der 1 U 2 erfüllt (wie vorher). EU: es gibt einen Pfad beginnend mit s, entlang dem 1 solange gilt, bis in einem Zustand 2 gilt. v.henke: Computergestützte Modellierung und Verifikation SS

17 Äquivalenzen von CTL-Formeln Zwei CTL-Formeln und ψ heißen (semantisch) äquivalent, falls gilt: wenn in einem Zustand in einem Modell erfüllt ist, dann ist in dem Zustand auch ψ erfüllt: M, s = genau dann, wenn M, s = ψ Notation: ψ Bemerkung: Dies ist völlig analog zum entsprechenden Begriff in Aussagen- bzw. Prädikatenlogik. Einige wichtige Äquivalenzen: 1. demorgan-regeln : A und E bzw. G und F können jeweils aufgefaßt werden als universelle bzw. existentielle Quantoren über Pfaden bzw. den Zuständen entlang eines Pfads. Es gelten entsprechende Beziehungen zwischen den Operatoren v.henke: Computergestützte Modellierung und Verifikation SS

18 Äquivalenzen von CTL-Formeln (2) AF EG EF AG AX EX 2. AF A [ U ] EF E [ U ] 3. Die üblichen aussagenlogischen Äquivalenzen gelten auch, wenn die Teilformeln CTL-Formeln sind. v.henke: Computergestützte Modellierung und Verifikation SS

19 CTL-Äquivalenzen (3) 4. Fixpunkt-Charakterisierung der temporalen CTL-Operatoren: AG AX AG EG EX EG AF AX AF EF EX EF A [ U ψ] ψ ( AX A [ U ψ] E [ U ψ] ψ ( EX E [ U ψ] v.henke: Computergestützte Modellierung und Verifikation SS

20 Reduzierte CTL-Operator-Mengen Aufgrund der angegebenen Beziehungen zwischen den CTL-Operatoren kann deren Menge reduziert werden. Vgl. in Aussagenlogik: die Menge {,, } reicht aus, um alle anderen Verknüpfungen (und damit alle aussagenlogischen Formeln) auszudrücken. Umsetzungen in CTL: AX EX AG EF (E [ U ]) EG AF (A [ U ]) die Operatoren AU, EU und EX sind ausreichend. Andere ausreichende Operator-Mengen: EG, EU, EX AG, AU, AX AF, EU, EX und andere v.henke: Computergestützte Modellierung und Verifikation SS

21 Muster für CTL-Spezifikationen In CTL-Spezifikationen kommen sich wiederholende Muster für praktisch relevante Fragestellungen vor. In jedem Zustand gilt: wenn ein Gerät angefordert ist, wird es schließlich auch bereitgestellt : AG (angefordert AF bereit) bereit (z.b. für einen Prozeß) ist auf jedem Pfad unendlich oft wahr : AG (AF bereit) beendet (z.b. für einen Prozeß) wird auf jeden Fall erreicht : AF (AG beendet) Von jedem Zustand aus ist es möglich, den Start-Zustand zu erreichen : AG (EF start) v.henke: Computergestützte Modellierung und Verifikation SS

22 Muster für CTL-Spezifikationen (2) q tritt erst ein (d.h. ein Zustand wird erreicht, in dem q wahr ist), wenn auch p eintritt, oder Solange nicht p eingetreten ist, kann auch nicht q eintreten : AG (A [ q U p]) v.henke: Computergestützte Modellierung und Verifikation SS

23 Beispiel: Mutual Exclusion Mutual Exclusion gegenseitiger Ausschluß Wichtiges Prinzip bei nebenläufigen Prozessen: es soll verhindert werden, dass mehrere Prozesse gleichzeitig Zugriff auf eine kritische, gemeinsam genutzte Ressource haben (z.b. Schreiben einer Datenbank-Tabelle) Realisierung durch kritische Regionen (critical regions) in den jeweiligen Programmen, und ein Protokoll dafür, unter welchen Bedingungen die kritische Region betreten werden darf. Abläufe von zwei Prozessen verschränkt (interleaving): wir nehmen an, dass jeder Prozeß separat und unabhängig, aber nicht gleichzeitig mit einem anderen Prozeß, einen Zustandsübergang ausführt. v.henke: Computergestützte Modellierung und Verifikation SS

24 Mutual Exclusion: Eigenschaften Geforderte Eigenschaften: 1. Sicherheit: zu jedem Zeitpunkt darf sich nur ein Prozeß in der kritischen Region befinden. 2. Lebendigkeit: Wenn ein Prozeß die kritische Region anfordert will, dann erhält er schließlich auch den Zugang. 3. Kein Blockieren: Ein Prozeß kann jederzeit die kritische Region anfordern. 4. Flexibilität: Prozesse müssen nicht ihre kritische Region in fester Reihenfolge betreten (Ausschluß eines rigiden Plans, wie z.b. Zyklus). v.henke: Computergestützte Modellierung und Verifikation SS

25 Mutual Exclusion: Modellierung Jeder Prozeß durchläuft einen Zyklus n t c n..., wobei n nicht kritisch t kritische Region angefordert (trying) c in kritischer Region Menge der Zustände für System von 2 Prozessen: Zustände markiert mit Elementen aus einer Teilmenge des kartesischen Produkts {n 1, t 1, c 1 } {n 2, t 2, c 2 } Initialer Zustand: mit Markierung n 1, n 2 Zustandsübergänge: einer der Prozesse macht einen Übergang entsprechend dem angegebenen Zyklus; z.b. (n 1, t 2 ) (n 1, c 2 ) v.henke: Computergestützte Modellierung und Verifikation SS

26 s 0 n 1 n 2 s 1 t 1 n 2 n 1 t 2 s 5 s 2 s 3 c 1 n 2 t1 t 2 s 6 n 1 c 2 s 4 s 7 c 1 t 2 t 1 c 2 v.henke: Computergestützte Modellierung und Verifikation SS

27 Mutual Exclusion: formal Formalisierung der geforderten Eigenschaften: Sicherheit: 1 := AG (c 1 c 2 ) Lebendigkeit: 2 := AG (t 1 AF c 1 ) Kein Blockieren: 3 := AG (n 1 EX t 1 ) Flexibilität: 4 := EF (c 1 E [c 1 U ( c 1 E [ c 2 U c 1 ])]) v.henke: Computergestützte Modellierung und Verifikation SS

28 s 0 n1 n 2 s 1 t 1 n 2 n 1 t 2 s 5 s 2 s 3 s 9 s 6 c 1 n 2 t 1 t 2 t 1 t 2 n 1 c 2 s 4 c 1 t 2 t 1 c 2 s 7 v.henke: Computergestützte Modellierung und Verifikation SS