Model Checking mit Büchi Automaten

Transkript

1 Ingo Weigelt Softwaretechnik

2 Übersicht 1 Automaten über unendlichen Wörtern ω-automaten Büchi-Automaten 2 Model Checking mit Büchi Automaten Konstruktion von A Konstruktion von A S Leerheitstest 3 On-the-Fly Model Checking

3 ω-automaten Automaten über unendlichen Wörtern ω-automaten ω-automaten sind endliche Automaten, die unendlich lange Wörter akzeptieren. Unendliche Wörter repräsentieren nicht-terminierende Abläufe eines Systems. Endzustände werden durch andere Akzeptanzbedingungen ersezt. Beispiel: Büchi-Automaten.

4 Büchi-Automaten: Automaten über unendlichen Wörtern Büchi-Automaten Formelle Definition: Ein Büchi Automat ist ein 5-Tupel (Σ,Q,,Q 0,F) mit: Σ : endliches Alphabet Q : endliche Menge von Zuständen Q Σ Q : Transitionsrelation Q 0 : Startzustände F Q : Akteptierende Zustände Akzeptanzverhalten: Sei inf (ρ) die Menge der Zustände, die beim Lauf ρ unendlich oft besucht werden. Dann ist ρ akzeptierend gdw. inf (ρ) F.

5 Automaten über unendlichen Wörtern Büchi-Automaten verallgemeinerte Büchi-Automaten verallgemeinerter Büchi Automat Ein verallgemeinerter Büchi Automat ist ein Büchi-Automat bei dem F aus Mengen von Mengen von Zuständen besteht. Ein Lauf ρ ist akzeptierend gdw. inf (ρ) P i für alle P i F. Zu jedem verallgemeinerten Büchi-Automaten B existiert ein Büchi-Automat B mit L(B) = L(B ).

6 Beispiel Automaten über unendlichen Wörtern Büchi-Automaten Büchi Automat A: mit L(A) = (b a) ω a b q 0 q 1 a b

7 Bemerkungen Automaten über unendlichen Wörtern Büchi-Automaten Die von Büchi-Automaten erkannte Sprache heisst ω-reguläre Sprache. Nicht jede ω-reguläre Sprache wird auch von einem deterministischen Büchi-Automaten erkannt. z.b. L = {α {a,b,c} α enthält nur endlich viele b s} D.h. nicht jeder nicht-deterministische Büchi-Automat kann in einen deterministischen Büchi-Automaten umgewandelt werden.

8 Automaten über unendlichen Wörtern Abschlusseigenschaften Büchi-Automaten deterministische Büchi-Automaten sind abgeschlossen unter Vereinigung und Schnitt. nichtdeterministische Büchi-Automaten sind zusätzlich abgeschlossen unter Komplement.

9 Leerheitsproblem Automaten über unendlichen Wörtern Büchi-Automaten Entscheidbarkeit des Leerheitsproblems: Es ist entscheidbar, ob ein Büchi-Automat die leere Sprache akzeptiert. Bestimme die SCCs des Automaten. Die akzeptierte Sprache ist nicht Leer genau dann, wenn es eine SCC gibt, die von einem Startzustand erreichbar ist und einen akzeptierenden Zustand enthält.

10 SCC - Strongly Connected Components Für die Labelfunktion EG ψ müssen zuerst alle SCCs bestimmt werden Wiederholung: Eine starke Zusammenhangskomponente ist ein Teilgraph in dem jeder Knoten von jedem anderen Knoten über einen Pfad innerhalb des Graphen erreichbar ist. Beispiel:

11 Model Checking mit Büchi Automaten Model Checking Problem: Gegeben: Kripke Struktur M und Spezifikation S Gesucht: Gilt M = S? Wenn nicht ist ein Gegenbeispiel gesucht Idee: konstruiere Automat A zu M konstruiere Automat S der L(S) erkennt Das Model A erfüllt die Spezifikation S gdw. L(A) L(S) oder L(A) L(S) =

12 Model Checking mit Büchi Automaten Model Checking Algorithmus: konstruiere Automat A zu M konstruiere Automat S der L(S) erkennt Bilde den Durchschnitt von A und S Prüfe, ob der Automat A S leer ist. Falls A S : Gegenbeispiel ausgeben

13 Konstruktion von A Konstruktion von A Zustände der Kripke Struktur sind Zustände des Automaten Label der Zustände werden zu Label der Transitionen daher neuer Startzustand i alle Zustände sind akzeptierend {p, q} i {p} {p, q} s 0 s 1 {p} s 0 s 1 {p, q} {p} s 2 {q} {p, q} s 2

14 Model Checking Algorithmus: konstruiere Automat A zu M konstruiere Automat S der L(S) erkennt Bilde den Durchschnitt von A und S Prüfe, ob der Automat A S leer ist. Falls A S : Gegenbeispiel ausgeben

15 Gesucht ist ein Büchi Automat S der L(S) erkennt. S kann direkt angegeben werden (SPIN) Es gibt ω-automaten, bei denen das Komplement leicht berechnet werden kann. S wird aus einer Sprache wie LTL abgeleitet: S = ϕ bilde S zu ϕ

16 Algorithmus: Eingabe: Eigentschaft ϕ als LTL-Formel in negierter Normalform D.h. nur Operatoren U,R, und erlaubt Fψ true U ψ Gψ false R ψ usw. und Negation nur vor Propositionen: (µuη) = ( µ)r( η) (µrη) = ( µ)u( η) Xµ = X µ Ausgabe: verallgemeinerter Büchi Automat B zu ϕ

17 Datenstruktur des Algorithmus: node =[, incoming,,, ] : Id des Knotens incoming: Liste von s von Knoten mit Kante zu diesem Knoten,, : Listen von Formeln (Teilformeln von ϕ) die Teilformeln in wurden bereits berechnet die Teilformeln in werden im aktuellen Schritt berechnet die Teilformeln in müssen danach noch berechnet werden

18 Initialisierung: node 0 := [ id(), incoming {init},, {ϕ}, ]; Nodes := expand(node 0, );

19 Die Funktion expand() ersetzt den Knoten q mit ϕ (q) rekursiv durch neue Knoten q, so dass (q ) Teilformeln von ϕ enthält: ϕ = µ ψ q wird ersetzt durch zwei neue Knoten q 1, q 2 : (q) := (q) \ {ϕ} q 1 := [ id(), incoming incoming(q), (q) {ϕ}, (q) {µ}, (q)] q 2 := [ id(), incoming incoming(q), (q) {ϕ}, (q) {ψ}, (q)]

20 ϕ = µ ψ q wird ersetzt durch einen neuen Knoten q : (q) := (q) \ {ϕ} q := [ id(), incoming incoming(q), (q) {ϕ}, (q) {µ,ψ}, (q)]

21 ϕ = µuψ ϕ (µ X(µUψ)) ψ q wird ersetzt durch zwei neue Knoten q 1, q 2 : (q) := (q) \ {ϕ} q 1 := [ id(), incoming incoming(q), (q) {ϕ}, (q) {µ}, (q) {µuψ}] q 2 := [ id(), incoming incoming(q), (q) {ϕ}, (q) {ψ}, (q)]

22 ϕ = µrψ ϕ ψ (µ X(µRψ)) (ψ µ) (ψ X(µRψ)) q wird ersetzt durch zwei neue Knoten q 1, q 2 : (q) := (q) \ {ϕ} q 1 := [ id(), incoming incoming(q), (q) {ϕ}, (q) {ψ,µ}, (q)] q 2 := [ id(), incoming incoming(q), (q) {ϕ}, (q) {ψ}, (q) {µrψ}]

23 ϕ = Xµ q wird ersetzt durch einen neuen Knoten q : (q) := (q) \ {ϕ} q := [ id(), incoming incoming(q), (q) {ϕ}, (q), (q) {µ}]

24 Falls ϕ (negierte) Proposition oder true ist: q wird ersetzt durch einen neuen Knoten q : (q) := (q) \ {ϕ} q := [ id(), incoming {()}, (q) {ϕ}, (q), (q)]

25 Algorithmus: expand (q, Nodes) { if (q) sei η (q); if η (q) /* η wurde schon berechnet */ (q) := (q) \ {η}; expand(q, Nodes); if η (q) η = False /* Widerspruch */ return Nodes; else erzeuge Knoten q bzw. q 1 und q 2 wie beschrieben; expand(q,nodes); bzw. expand(q 2,expand(q 1,Nodes));

26 Algorithmus: } else /* (q) = */ if r Nodes: (r) = (q) (r) = (q) { incoming(r) := incoming(r) incoming(q); return Nodes; else /* neuen Knoten einfügen */ expand([ id(), incoming {(q)},, (q), ], Nodes {q});

27 Beispiel: ϕ = aub : n1 : aub : n2 : {a} : n3 : {b}

28 Beispiel: ϕ = aub : n2 : {a} : n3 : {b} : n4 : {aub, a}

29 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n5

30 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n5 : n6 : {a} : n7 : {b}

31 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n6 : {a} : n7 : {b}

32 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n6 : {a} : n7 : {b} : n8 : {aub, a}

33 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n8 : {aub, a} : n7 : {b}

34 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n8 : {aub, a} : n7 : {b}

35 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n7 : {b}

36 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n7 : {b} : n9 : {aub, b}

37 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n9 : {aub, b} : n10

38 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n9 : {aub, b} : n10

39 Beispiel: ϕ = aub : n4 : {aub, a} : n3 : {b} : n9 : {aub, b} : n11 : {aub, b} : n10

40 Beispiel: ϕ = aub : n4 : {aub, a} : n11 : {aub, b} : n9 : {aub, b} : n10

41 Beispiel: ϕ = aub : n4 : {aub, a} : n11 : {aub, b} : n9 : {aub, b} : n10

42 Beispiel: ϕ = aub : n4 : {aub, a} : n9 : {aub, b} Rekursion beendet : n10

43 Konstruktion des verallgemeinerten Büchi Automaten: Σ = Menge der Propositionen Q = Menge der Knoten in Nodes Q 0 = init = Menge aller Tripel (r,α,r ) mit: r incoming(r ) und α erfüllt alle nicht-/negierten Propositionen in (r ) Akzeptanz: Für jede Teilformel der Form µuψ gibt es eine Akzeptanzmenge E i mit: E i = {r ψ (r) oder µuψ / (r)}

44 Beispiel: ϕ = aub Nodes: : n4 : {aub, a} B(Nodes): a init b : n9 : {aub, b} a n4 b n9 true

45 Konstruktion von A S B 1 B 2 Modelchecking Algorithmus: konstruiere Automat A zu gegebener Kripke Struktur konstruiere Automat S der L(S) erkennt Bilde den Durchschnitt von A und S Prüfe, ob der Automat A S leer ist. Falls A S : Gegenbeispiel ausgeben

46 Konstruktion von A S B 1 B 2 Schnitt zweier Büchi Automaten: B 1 = Σ,Q 1, 1,Q 0 1,F 1, B 2 = Σ,Q 2, 2,Q 0 2,F 2 B 1 B 2 akzeptiert gdw. akzeptierende Zustände von B 1 und B 2 unendlich oft durchlaufen werden. B 1 B 2 = Σ, Q 1 Q 2 {0,1,2},, Q 0 1 Q0 2 {0}, Q 1 Q 2 {2} ( r i,q j,x,a, r m,q n,y ) gdw. (r i,a,r m ) 1 und (q j,a,q n ) 2 Für x und y gilt: x = 0 r m F 1 y = 1 x = 1 q m F 2 y = 2 x = 2 y = 0 sonst y = x

47 B 1 B 2 - Beispiel Model Checking mit Büchi Automaten Konstruktion von A S B 1 : a b r 1 r 2 a b B 2 : b a q 1 q 2 b a B 1 B 2 : r 1,q 1,0 a b r 1,q 2,1 a r 2,q 1,0 a b b a b r 2,q 1,2 a r 1,q 2,0 b

48 Leerheitstest Model Checking mit Büchi Automaten Leerheitstest Model Checking Algorithmus: konstruiere Automat A zu M konstruiere Automat S der L(S) erkennt Bilde den Durchschnitt von A und S Prüfe, ob der Automat A S leer ist. Falls A S : Gegenbeispiel ausgeben

49 Leerheitstest Model Checking mit Büchi Automaten Leerheitstest Idee des Algorithmus: Sei ρ ein akzeptierender Lauf über B dann enthält ρ unendlich viele Akzeptanzzustände. Da die Menge der Zustände endlich ist, muss ρ von der Form ρ 1 ρ 2 ω sein. Der Algorithmus sucht einen Pfad ρ 1 zu einem akzeptierenden Zustand q e und von da einen Pfad ρ 2 zurück zu einem Knoten in ρ 1. Der Pfad ρ 1 ρ 2 besitzt dann einen zyklischen Suffix über q a und ist das gewünschte Gegenbeispiel.

50 Leerheitstest Model Checking mit Büchi Automaten Leerheitstest double depth-first-search Algorithmus: dfs1(q) { hash(q); for all Nachfolger q von q do if q / hashtable dfs1(q ); if accept(q) dfs2(q); } dfs2(q) { flag(q); for all Nachfolger q von q do if q dfs1 stack terminate(true); else if q not flagged dfs2(q ); } q 0 q 1 q e q e q 3 Zyklus gefunden

51 Leerheitstest Model Checking mit Büchi Automaten Leerheitstest double DFS Algorithmus: emptiness() { for all q 0 Q 0 do dfs1(q 0 ); terminate(false); } Der Algorithmus terminiert mit TRUE wenn ein akzeptierender Pfad gefunden wurde. Der Stack von dfs1 enthält den Pfad ρ 1. Der Stack von dfs2 enthält den Pfad ρ 2. Worst-Case-Laufzeit: O( Q + )

52 Leerheitstest Model Checking mit Büchi Automaten Zusammenfassung: Konstruktion von A: nahezu kein Aufwand, falls die Kripke Struktur schon berechnet ist : exponentiell zu ϕ Konstruktion von A und S: O( A S ) Leerheitstest: O( Q + ) im Worst-Case

53 On-the-Fly Model Checking On-the-Fly Model Checking Idee: Zuerst S erstellen Zustände von S A so berechnen, wie sie der double-dfs-algorithmus benötigt. Dabei werden immer nur die nötigen Zustände aus A berechnet. Vorteil: viele Zustände aus A werden nie erzeugt. während der Schnittberechnung werden Zyklen erkannt.

54 Verfahren: On-the-Fly Model Checking Sei s der aktuelle Zustand, in dem sich der Suchalgorithmus befindet s = r,q r Q A ;q Q S Transition ex. gdw. L(r, r ) = L(q, q ) Nachfolger von q sind schon berechnet s = r,q r wird on-the-fly-berechnet Falls L(r,r ) L(q,q ) wird abgebrochen, und die Nachfolger von r werden nicht berechnet. Wird vor dem Backtracking zu s ein Zyklus gefunden wird abgebrochen, und die Nachfolger von s werden nicht berechnet.