Functional hardware description in Lava

Verifikation
Da man nun aber nicht für jede Schaltung alle Eingangsbelegungen (bei Schaltwerken
sogar alle Folgen von Belegungen) durchprobieren möchte um zu überprüfen ob eine
Aussage wahr oder falsch ist, bietet Lava an die Schaltung an ein externes
Verifikationstool zu übergeben. Dazu muss man zuerst eine Funktion schreiben, die die
Eigenschaft der Schaltung beschreibt, die man überprüfen möchte:
prop_HalfAddOutputNeverBothHigh :: (Signal Bool, Signal Bool) -> Signal Bool
prop_HalfAddOutputNeverBothHigh (a,b) = ok
where
(sum, carryOut) = halfAdd(a,b)
ok
= nand2(sum, carryOut)
Diese Beschreibung sieht selbst aus wie eine Schaltung und gibt High zurück wenn die
zu überprüfende Eigenschaft zutrifft. (Hier wird beispielsweise überprüft ob bei einem
Halbaddierer die beiden Ausgänge niemals zusammen High sein können.)
Wenn man jetzt dem Aufruf des Verifikationstools diese Eigenschaftsdefinition
übergibt kann dieses überprüfen ob diese Eigenschaft immer erfüllt ist:
> smv prop_HalfAddOutputNeverBothHigh
Smv:...Valid.
Dabei ist wichtig, dass die Verifikation nicht daraus besteht alle Varianten durch zu
probieren. Sondern die Schaltung wird in einen mathematischen Ausdruck
umgewandelt und dann von dem externen Tool überprüft. So kann sowohl die
Wahrheit als auch der Gegenbeweis relativ schnell festgestellt werden. Versucht man
den oberen Beweis, statt mit dem Halbaddierer mit dem Volladdierer durchzuführen,
ergibt dies folgendes:
> smv prop_FullAddOutputNeverBothHigh
Smv:...Falsifiable.
Einen Spezialfall bei der Verifikation stellen die Lavadefinitionen dar, die als Parameter
eine Liste erwarten. Bei diesen Definitionen wird erst durch die konkrete Belegung der
Eingänge entscheiden was für eine Schaltung entsteht. Daher ist eine einfach
Definition der Eigenschaft wie folgt nicht ausreichend:
prop_AdderCommutative :: ([Signal Bool], [Signal Bool]) ->
Signal Bool
prop_AdderCommutative (a,b) = ok
where
out1 = adder(a,b)
out2 = adder(b,a)
ok = out1 out2
Bei dieser Definition ist noch völlig offen wie groß die Eingabewerte sind und welche
Schaltung entsteht. Damit man diese Schaltung aber zumindest für eine bestimmte
Größe testen kann, kann man eine Hilfsfunktion definieren:
prop_AdderCommutative_ForSize :: Int -> Property
prop_AdderCommutative_ForSize n =
forAll (list n) $ \as ->
forAll (list n) $ \bs ->
prop_AdderCommutative (as, bs)
Seite 6/7