Verifikation reaktiver Systeme - Universität Kaiserslautern

5
3 Bounded Model Checking
3.1 Idee
Dieser neue Ansatz im Bereich der formalen Verifikation beschäftigt sich, wie
viele Ansätze davor, mit dem lösen von Problemen. Es handelt sich hierbei nicht
um ein x-beliebiges Problem sondern um die Frage, ob die an das Design gestellten
Eigenschaften von diesem erfüllt werden. Die Kernidee dieser Technik
besteht nun darin Gegenbeispiele beliebiger Länge k zu finden, ohne den Zustandsraum
des betrachteten Systems zu durchforsten. Dies wird dadurch gelöst,
indem das zu untersuchende Verhalten des Systems durch eine aussagenlogische
Formel ausgedrückt und anschließend ausgewertet wird. Da es sich hierbei um
ein Erfüllbarkeitsproblem handelt, also ob ein Design eine Eigenschaft erfüllt,
eignen sich zur Lösung solcher Formel SAT Methoden.
Wenn man in diesem Zusammenhang von beliebiger Länge k spricht, so drückt
k die Schranke (”bound”) aus, also die maximale Länge des Gegenbeispieles.
Die zur Aufstellung der Formel benötigte Zeit wird in Kapitel 3.4 näher betrachtet.
Der Einsatz von bounded model checking erlaubt die Spezifikation der
elementaren Eigenschaften wie Lebendigkeit und Sicherheit, die anschließend auf
ihre Erfüllbarkeit hin getestet werden. Hierbei ist es wichtig zu wissen was diese
Eigenschaften eigentlich aussagen. So besagt die Sicherheitseigenschaft, dass
überprüft werden muss, ob eine gegebene Menge von Zuständen erreichbar ist,
inklusive der Verifizierung des Vorhandenseins etwaiger Schleifen im Zustandsgraphen
des Systems.
Vorteile dieses Ansatzes:
1. Gegenbeispiele werden schnell gefunden
Grund: Tiefensuche von SAT Prozeduren
2. Gegenbeispiele sind von minimaler Länge
Vorteil: Verständnis des Benutzers wird unterstützt
3. es wird weniger Speicher benötigt
Grund: keine üblichen BDD Ansätze
4. keine Eingriffe seitens des Bedieners
Vorteil: hoher Automatisierungsgrad
3.2 Triviales Eingangsbeispiel
Wenn man sich in die Lage eines Ingenieurs versetzen würde, so besteht seine
primäre Aufgabe bei der Entwicklung neuer Produkte darin, dass das neue
Produkt die aufgestellten Eigenschaften erfüllt. So gesehen könnte dieser hier
betrachtete Zähler ein solches Produkt sein. Dieser Zähler soll aus drei Schieberegistern
bestehen, die mit x[0], x[1] und x[2] gekennzeichnet sind.
Mit den heutigen Entwicklungsmethoden wie Rapid Prototyping ist es meist
nicht anders machbar, als an die Modellierung neuer Produkte zu gehen, ohne
den unvollständigen Katalog mit Eigenschaften zu besitzen. Dieser Fall könnte
exemplarisch auch an diesem Zähler vorgenommen werden, da hier nur eine