Blatt 3 (PDF) - Universität Kassel

Universität Kassel SS 2010
FB Elektrotechnik/Informatik
FG Formale Methoden und Verifikation
Prof. Dr. M. Lange 20.5.10
Übungen zur Vorlesung
Grundlagen der Programmsicherheit
Blatt 3
Aufgabe 8: Betrachte die folgenden drei Transitionssysteme.
p, q
s1
s3
s5
T1
p p, q
s2
p, q
s4
s6
t1
t3
T2
p p, q
p p, q
p, q
t2
t4
t5 t6 u5 u6
a) Entscheide zu jedem Paar dieser Transitionssysteme, ob sie bisimilar sind oder nicht. Gib im Fall, dass
sie es sind, jeweils eine Bisimulation zwischen ihnen an.
b) Berechne für jedes dieser Transitionssysteme den Bisimulationsquotienten.
Aufgabe 9: Wir betrachten ein System, welches aus drei parallelen Komponenten P1,P2,Q besteht. Diese
sehen wie folgt aus.
s3
¯ b
ā
a
s0
s1
s2
b
ā
P1
key1
acc1
¯ b
ā
s4
t3
b
t0
t1
t2
¯ b
a
¯ b ā
ā
P2
key2
acc2
¯ b
t4
p, q
u0
u2
p, q
ā
a
ā
a
u1
u3
b ¯b b
Q
u1
u3
T3
¯ b
q
u2
p, q
u4

a) Gib das Transitionsystem T an, welches aus der parallelen Komposition dieser drei Komponenten
entsteht. Zur Erinnerung: Ist eine x-Transition in einer Komponente möglich, so ist diese auch im
Produkt möglich, wobei die anderen Komponenten ihren Zustand nicht ändern. Sind in zwei Komponente
jeweils eine x- und eine ¯x-Transition möglich, so können diese im Produkt zu einer τ-Transition
verschmelzen. Die dritte Komponente bleibt davon unberührt.
b) Betrachte nun die Invariante ϕ1 = “niemals gilt acc1 und acc2 und q”. Zeige mithilfe des Algorithmus
aus der Vorlesung zur Verifikation von Invarianten, dass T |= ϕ1 gilt.
c) Der Grund dafür, dass die Invariante aus (b) nicht erüllt ist, ist der, dass P1 und P2 einfach einzeln
ihre Schritte zu s2 bzw. t2 machen können, ohne sich mit der dritten Komponente Q, die eigentlich als
Controller fungieren soll, zu synchronisieren.
Lässt sich eine Safety-Eigenschaft finden, die anhand von Auftreten von key1 und key2 besagt, dass
es niemals möglich ist, dass beide Pi in den jeweiligen Zustand, in dem acci gilt, gelangen und die
dahinführenden Transitionen aber mit der Controller-Komponente Q synchronisiert wurden? Wenn ja,
dann gib solch eine Eigenschaft ϕ3 sowie den NFA, der die dazugehörigen schlechten Präfixe erkennt,
an.
d) Betrachte nun die Liveness-Eigenschaft ϕ2 = “irgendwann einmal gilt acc1 und q und nicht key2”.
Erkläre, warum T |= ϕ2 gilt.
e) Lassen sich geeignete Fairness-Constraints F finden, so dass T |=F ϕ2 gilt? Schränken diese die
modellierten Läufe auf sinnvolle oder weniger sinnvolle Weise ein?