GPS: Realzeit-Systeme Realzeit-Automaten 209. Motivation

Transkript

1 7) Realzeit-Systeme

2 GPS: Realzeit-Systeme Realzeit-Automaten 209 Motivation Modellierung von Systemen benutzte bisher diskrete Zeit, die schrittweise, gleichmäßig und einheitslos voranschreitet manchmal zu abstrakt: Spezifikation kann auch Zeitschranken beinhalten, z.b. automatische horizontale Stabilisierung eines Flugzeugs: Steuerung muss Höhenruder innerhalb von 5msec nach Messung kalibrieren Fischers Mutex-Protokoll... hier: Realzeit-Automaten als Modell für Systeme, in denen Zeit kontinuierlich voranschreitet beachte Unterschied zwischen Realzeit und Echtzeit

3 GPS: Realzeit-Systeme Realzeit-Automaten 210 Realzeit-Constraints im Folgenden sein X = {x, y,...} endliche Menge von Variablen, genannt Clocks Def. 1 Realzeit-Constraints über X, Φ(X ), sind gegeben durch g ::= x c g g wobei x X, c N und {,<,=,,>} AC (X ) ist Menge aller atomarer Realzeit-Constraints Warum eigentlich keine Disjunktionen?

4 GPS: Realzeit-Systeme Realzeit-Automaten 211 Clock-Evaluierungen Def. 2 Clock-Evaluierung ist η : X R 0 η = η = x c falls η(x) c η = g g falls η = g und η = g definiere zwei Operationen auf Clock-Evaluierungen; sei d R 0 und R X η+d ist Clock-Evaluierung mit (η+d)(x) :=η(x)+d für alle x X η R ist Clock-Evaluierung mit η R (x) =0,fallsx R und η R (x) =η(x) sonst

5 GPS: Realzeit-Systeme Realzeit-Automaten 212 Realzeit-Automaten Sein AP wieder atomare Propositionen, Act Aktionennamen, X Menge von Clocks. Def. 3 Realzeit-Automat (RZA) ist Tupel A =(L, I,,ι,λ), wobei L endliche Menge von Locations I L initiale Locations L Φ(X ) Act 2 X L Transitionen ι : L Φ(X ) Zuweisung von Invarianten λ : L 2 AP Beschriftung der Locations g,a,r l 1 l 2 bedeutet intuitiv: von l 1 kommt man zu einem Zeitpunkt, an dem g erfüllt ist, durch Ausführen von a zu l 2 ;dabei werden alle Clocks in R auf 0 gesetzt AC (A) = atomare Clock-Constraints in A

6 GPS: Realzeit-Systeme Realzeit-Automaten 213 Beispiel RZAs lassen sich leicht grafisch darstellen, test, {x}, set0, {y} x < 2, set1, {x}, test, {x} y 5 cs x 1, test, {y} x 5

7 GPS: Realzeit-Systeme Realzeit-Automaten 214 Nebenläufige RZAs Def. 4 Sei A i =(L i, I i,,ι i,λ i ) für i = {0, 1}, beideüber Act, AP und X. paralleles Produkt: A 0 A 1 := (L 0 L 1, I 0 I 1,,ι,λ) mit ι( 0, 1 ):=ι 0 ( 0 ) ι 1 ( 1 ), λ( 0, 1 )=λ 0 ( 0 ) λ 1 ( 1 ) und g 0,a,R 0 0 g 0 1,a,R ( 0, 1 ) g 0 g 1,τ,R 0 R ( 1 0, 1 ) i g,a,r i 1 i = 1 i ( 0, 1 ) g,a,r ( 0, 1 ) Restriktion: SeiF Act. A\F definiert wie A, jedochnur Transitionen g,a,r möglich, falls a F und a F

8 GPS: Realzeit-Systeme Realzeit-Automaten 215 Beispiel: Fischers Protokoll betrachte F(d, d ):=(P 1 (d, d ) P 2 (d, d ) V ) \ Act, parametrisiert über d, d 1, test 0, {x} , test 0, {y} P 1 (d, d ), set0, x < d, set1, {x}, test0, {x} P 2 (d, d ), set0, y < d, set2, {y}, test0, {y} cs x d, test 1, 1 2 cs y d, test 2, test 0, set 0 test 1, set 1 V set 1 set 0 set 2 set 2 set set 1 test 2, set 2 hier a statt,a,

9 GPS: Realzeit-Systeme Realzeit-Automaten 216 RZAs und Transitionssysteme ein RZA A =(L, I,,ι,λ) über AP, Act und X repräsentiert Transitionssystem T A =(S,, I,λ ) über AP und Act R 0 wie folgt. S = {(, η) L,η : R X 0 und η = ι()} I = I {η 0 } mit η 0 (x) =0für alle x X λ (, η) =λ() zwei Arten von Transitionen: diskret: (, η) a (,η R ),fallsg ex. mit g,a,r und η = g verzögernd: (, η) d (, η+d)

10 GPS: Realzeit-Systeme Realzeit-Automaten 217 Zeit-Konvergenz Pfad π mit Verzögerungsschritten d 0, d 1, d 2,... in T A ist zeit-konvergent, falls i=1 d i r für ein r R ein Pfad in T A heißt Zeno-Pfad, wenn er zeit-konvergent ist und unendliche viele diskrete Transitionen enthält Frage, {x} antworten durchgefallen Einfall verwerfen? = AF(durchgefallen bestanden) bestanden x 5 antworten Zeno-Pfade sind unrealistische Artefakte und sollten bei Verifikation ausgeschlossen werden!

11 GPS: Realzeit-Systeme Realzeit-Automaten 218 Korrektheit von Fischers Protokoll wechselseitiger Ausschluss in Fischers Protokoll durch geeignete Wahl von Verzögerungen garantiert sei F(d, d ) wie in obigem Beispiel Thm. 1 Ein Zustand mit Beschriftung cs 1, cs 2 ist in T F(d,d ) vom Anfangszustand aus erreichbar genau dann, wenn d d. Beweis: Übung Frage: Ist Erreichbarkeit in RZA-repräsentierten TS entscheidbar? (Beachte Zusammenhang zur Verifikation von Safety-Eigenschaften)

12 GPS: Realzeit-Systeme Realzeit-Automaten 219 Äquivalente Clock-Evaluierungen sei A =(L, I,,ι,λ) über X fest gesucht ist Äquivalenzrelation (R X 0 )2,sodasswennη η und (, η) a (,ζ), dannexistiertζ mit η ζ und (, ζ) a (,ζ ); (, η) d (,ζ), dannexistierenζ und d mit η ζ und (, ζ) d (,ζ ) [η] bezeichne die Äquivalenzklasse von η unter

13 GPS: Realzeit-Systeme Realzeit-Automaten 220 Regionengraph Regionengraph entsteht aus Transitionssystem für RZA durch Faktorisierung nach Äquivalenzrelation Def. 5 Regionengraph ist T A / := (L (R X 0 /), I {[η 0]},,λ ) mit λ (, [η] ):=λ(), und (, ζ) a (,ζ ) ζ η ζ η a Act (, [η] ) a (, [η ] ) (, ζ) d (,ζ ) ζ η ζ η d R 0 (, [η] ) τ (, [η ] )

14 GPS: Realzeit-Systeme Realzeit-Automaten 221 Erreichbarkeit im Regionengraph beachte: man kann sich auf Läufe mit Beschriftungen aus (R 0 Act) R 0 beschränken Lemma 2 ( 0,η 0 ) d 0 ( 0,η0 ) a 0 ( 1,η 1 ) d 1... ( n,ηn) ( 0, [η 0 ] ) τ ( 0, [η0 ] ) a 0 ( 1, [η 1 ] ) τ τ... ( n, [ηn] ) d n Lemma 3 ( 0, [η 0 ] ) τ ( 0, [η0 ] ) a 0 ( 1, [η 1 ] ) τ τ... ( n, [ηn] ) es gibt ζ 0,ζ0,...,ζ n und d 0,...,d n so dass ζ i η i, ζi ηi für i =0,...,nund( 0,ζ 0 ) d 0 ( 0,ζ0 ) a 0 ( 1,ζ 1 ) d 1 d... n ( n,ζn) Beweis: Übung.

15 GPS: Realzeit-Systeme Realzeit-Automaten 222 Erreichbarkeit entscheiden Kor. 4 Sei A RZA und Äquivalenzrelation wie oben mit endlich vielen Äquivalenzklassen. Dann ist das folgende Problem entscheidbar. Geg. propositionale Formel ϕ über AP, istint A ein Zustand s erreichbar, so dass T A, s = ϕ? Beweis: folgt sofort aus obigen Lemmas und der Tatsache, dass T A / dann nur endlich viele Zustände hat was noch fehlt: konkrete Definition solch einer Äquivalenzrelation

16 GPS: Realzeit-Systeme Realzeit-Automaten Definition der Äquivalenzrelation Bsp.: η =[x , y 1], η =[x , y ] Constraints in A können nur gegen N testen; x 3 und y > 1 trennen η und η 1. Versuch: η η gdw. für alle x X η(x) = η (x) und frac(η(x)) = 0 frac(η (x)) = 0 Übung: zeichnedieäquivalenzklassen in R 2 0 für zwei Clocks funktioniert nicht: betrachte η =[x 0.9, y 0.1], η =[x 0.3, y 0.7] x 1, a y 1, b

17 GPS: Realzeit-Systeme Realzeit-Automaten Definition der Äquivalenzrelation 1. Def. muss verfeinert werden; Ordnung der Nachkomma-Anteile untereinander ist relevant 2. Versuch: füge zu vorheriger Definition noch für alle x, y X hinzu: frac(η(x)) frac(η(y)) frac(η (x)) frac(η (y)) immer noch nicht ganz am Ziel: so hat unendlich viele Äquivalenzklassen

18 GPS: Realzeit-Systeme Realzeit-Automaten Definition der Äquivalenzrelation Def.: m x bezeichne größte Konstante in AC (A), diemitx verglichen wird Def. 6 η η gdw. für alle x X η(x) > m x und η (x) > m x,oder für alle y X mit η(x) m x η (x) m x, η(y) m y, η (y) m y gilt η(x) = η (x) und frac(η(x)) = 0 frac(η (x)) = 0, und frac(η(x)) frac(η(y)) frac(η (x)) frac(η (y)) Lemma 5 hat die oben gesuchte Eigenschaft und endlichen Index Beweis: Übung

19 GPS: Realzeit-Systeme Timed CTL 226 Timed CTL temporale Logik zur Spezifikation von Realzeit-Eigenschaften Def. 7 Formeln von Timed CTL (TCTL) über atomaren Propositionen AP und Clocks X gegeben durch ϕ ::= q c ϕ ϕ ϕ Eα Aα α ::= ϕu J ϕ J ::= [n, m] (n, m] [n, m) (n, m) [n, ) (n, ) wobei q AP, c AC (X ) und n m N Abkürzungen ϕ ψ, EF J ϕ := E(U J ϕ), AG J ϕ := EF J ϕ, etc.wie üblich Abkürzungen für Intervalle, z.b. >2 :=(2, ), etc.;[0, ) einfach weglassen

20 GPS: Realzeit-Systeme Timed CTL 227 Verfeinerte Transitionssemantik für RZA TCTL wird interpretiert über verfeinerter Transitionssemantik von RZA Def. 8 Sei A =(L, I,,ι,λ) RZA. Dann ist T A =(S,, I,λ ) definiert wie zuvor, jedoch über AP AC (X ) mit λ (, η) =λ() {c c AC (X ),η = c} Paths div (s) bezeichne Menge aller von s ausgehenden, zeit-divergenten Pfade also: Werte der Clocks in jedem Zustand sichtbar

21 GPS: Realzeit-Systeme Timed CTL 228 Aktionslose Pfade in TCTL kein Mechanismus, um über konkrete Aktionen auf einem Pfad zu sprechen wir schreiben d s 0 d 0 = 1 d s1 = 2 d s2 = 3 s3 =... für zeit-divergente Pfade der Form d s 0 a 0 s 0 d 0 s 1 a 1 s 1 d 1 s 2 a 2 s Spezialfall: Pfade mit nur endlich vielen diskreten Transitionsschritten d s 0 d 0 = 1 d s1 =... = n 1 sn = s n +1 = 1 s n +2 = 1 s n +3 = 1... wobei (, η)+d Abkürzung für (, η+d)

22 GPS: Realzeit-Systeme Timed CTL 229 Semantik von TCTL-Zustandsformeln Def. 9 Sei T A Transitionssystem eines RZA mit Zuständen der Form s =(, η) s = q gdw. q λ() s = c gdw. η = c s = ϕ ψ gdw. s = ϕ und s = ψ s = ϕ gdw. s = ϕ s = Eα gdw. π Paths div (s) mit π = α s = Aα gdw. π Paths div (s) :π = α

23 GPS: Realzeit-Systeme Timed CTL 230 Semantik von TCTL-Pfadformeln Def. 10 d Sei π = s 0 d 0 = 1 s1 =... π = ϕu J ψ gdw. i 0. d [0, d i ] mit (d + i 1 und s i +d = ψ und j i. d [0, d j ] : falls j 1 h=0 d h + d i 1 s j +d = ϕ ψ h=0 d h + d dann h=0 d h ) J beachte implizite Disjunktion im linken Argument; nötig, wegen s i +d statt s i

24 GPS: Realzeit-Systeme Timed CTL 231 Beispiele off x 1, swoff on x 2 AG(on AF >2 on) swon, {x} on AG (x=0) AG 1 on AF >1 off Frage: ist Model Checking für TCTL auf RZA entscheidbar?

25 GPS: Realzeit-Systeme Timed CTL 232 Positive Normalform Def.: TCTL-Formeln in positiver Normalform (PNF) sind aufgebaut aus Literalen q, q über AP positiven, atomaren Clock-Constraints g AC (X ) positiven Booleschen Operatoren, temporalen Operatoren EU J, ER J, AU J, AR J Semantik von ϕr J ψ gegeben durch Negation von ϕu J ψ Übung: Gib Semantik des Release-Operators formal an. Lemma 6 Jede TCTL-Formel ist äquivalent zu einer in positiver Normalform. Beweis: Übung.

26 GPS: Realzeit-Systeme Timed CTL 233 Elimination von Intervallen Def.: TCTL 0 = Menge aller TCTL-Formeln in positiver Normalform, indenennurdasintervall[0, ) vorkommt (was man dann auch weglässt) Definiere nun Übersetzung elim von TCTL (in PNF) nach TCTL 0 wie folgt. Sei z neue Variable. elim(q(ϕu J ψ)) := Q (elim(ϕ) elim(ψ))u((z J) elim(ψ)) Fälle mit R J verbleiben als Übung Lemma 7 Für alle Zustände (, η) eines RZA-TS und alle Q {E, A} gilt (, η) = Q(ϕU J ψ) gdw. (s,η[z:=0]) = Q((ϕ ψ)u((z J) ψ)) Beweis: Übung

27 GPS: Realzeit-Systeme Timed CTL 234 TCTL-Model-Checking Eingabe: RZA A, TCTL-Formel ϕ 1 übersetze ϕ in TCTL 0 -Formel ϕ 0 2 berechne Äquivalenzrelation bzgl. der Clocks und Constraints in A und ϕ 0 3 konstruiere T := T A / 4 verwende Algorithmus TMC auf T und ϕ 0

28 GPS: Realzeit-Systeme Timed CTL 235 Von TCTL 0 nach CTL prinzipielle Idee: TCTL 0 CTL, wobei Clock-Constraints als atomare Propositionen angesehen werden einfach CTL-Model-Checking-Algorithmus zu verwenden, ist nicht korrekt Bsp.: betrachte die Formel ϕ = EF 3 EF =2 p und den RZA A, a, {x} x 1, a, {x} p x 1 es gilt A = ϕ, abera = elim(ϕ) Wo liegt das Problem? Auswerten von inneren temporalen Formeln erfordert einen impliziten Reset der Clock für diese Formel!

29 GPS: Realzeit-Systeme Timed CTL 236 Aufruf wie oben TMC(ϕ) = case ϕ of Der Algorithmus TMC q : {(, [η]) q λ()} q : {(, [η]) q λ()} g : {(, [η]) η = g}. Q(ψ 1 U ψ 2 ):. seiz die zu dieser Unterformel gehörige Variable let T 1 = TMC(ψ 1 ) in let T 2 = TMC(ψ 2 ) in Fixpunktiteration wie bei MC EU T return { (, [η]) (, [η ]) T.η = η[z:=0]} Q(ψ 1 Rψ 2 ) :...