Effizientes Model-Checking für CTL - Institut für Theoretische ...

2 Theoretische Grundlagen
In der Spezifikationsphase werden geforderte Eigenschaften des Systems S formal erfasst.
Somit entsteht eine Spezifikation als eine Menge von Regeln, die das System erfüllen
muss. Bei der Erstellung der Spezifikation spielt ihre Vollständigkeit eine zentrale Rolle,
da nur diejenigen Eigenschaften mit dem Modell verifiziert werden, die in der Spezifikation
vorkommen. Wenn nicht alle relevanten Systemanforderungen in der Spezifikation
abgebildet sind, werden sie bei der Verifikation nicht beachtet. Dies kann allerdings zu
einer falschen Entscheidung führen, dass das Modell die Systemanforderungen erfüllt,
obwohl das nicht vollständig geprüft wurde.
Meistens wird temporale Logik als Spezifikationssprache von den Software- und Hardware-Systemen
benutzt. Temporale Logik ermöglicht es, zeitliche Abläufe des Systems zu
beschreiben. In diesem Fall wird die Spezifikation als eine Menge von temporal-logischen
Formeln ϕ formuliert. Jede Formel drückt das nachzuweisende Verhalten des Systems
über die Zeit aus. In Abschnitt 2.3 wird auf die temporale Logik genauer eingegangen.
Im letzten Schritt werden spezielle Model-Checking-Algorithmen angewendet, um
nachzuweisen oder zu widerlegen, dass das Modell M die Spezifikation ϕ erfüllt. Dieser
Schritt erfolgt größtenteils automatisch, menschliche Teilnahme wird in der Praxis nur
bei der Analyse der Verifikationsergebnisse gefordert.
Das Model-Checking-Problem kann folgendermaßen formuliert werden. Sei S ein zu
analysierendes System.
Eingabe: ein Modell M des Systems S
Frage:
eine nachzuweisende Eigenschaft ϕ, die das System S haben muss
” Erfüllt das Modell M die Spezifikation ϕ?“
(M ⊧ ϕ?)
Eine genauere Definition für das für die vorliegende Arbeit auszuarbeitende Model-
Checking-Problem für CTL wird in Abschnitt 3.1 gegeben, nachdem die Begriffe ” Kripke-
Struktur“ und ” CTL“ in den nächsten Abschnitten eingeführt werden.
2.2 Kripke-Struktur
Zum Modellieren von endlichen zustandsbasierten Systemen werden beim Model-Checking
Kripke-Strukturen verwendet. Diese ermöglichen, Eigenschaften eines Systems in
verschiedenen Zuständen zu beschreiben, indem bestimmte Aussagen über das System
den Zuständen zugeordnet werden. Beispielsweise ist eine Ampel (ein System) in einem
Zustand ” rot“, und dabei wird ein ” Tonsignal“ abgegeben. In diesem Fall wird dieser
Zustand beim Modellieren der Ampel mit den beiden Aussagen ” rot“ und ” Tonsignal“
markiert.
Eine Kripke-Struktur ist wie folgt definiert (vgl. [CGP99], [BMT + ]).
4