Verifikation reaktiver Systeme - Universität Kaiserslautern

209
D Φ (x) bezeichnet dabei die Subformel σx.ϕ von Φ bei der x gebunden wird. Zu
lesen sind die Regeln wie folgt:
s ⊢ Φ ϕ ∨ ψ
s ⊢ Φ ϕ s ⊢ Φ ψ ∨
bedeutet, dass in Zustand s in der Umgebung Φ (dazu später) geprüft werden
soll, ob ϕ ∨ ψ gilt. Dieser Knoten wird in die Teilbäume
– Prüfe, ob in Zustand s in der Umgebung Φϕgilt.
– Prüfe, ob in Zustand s in der Umgebung Φψgilt.
aufgespalten, welche im Originalknoten mit ODER (∨) verknüpft werden. An dieser
Stelle besteht zum Beispiel die Möglichkeit, dass nur ein Teilbaum ausgewertet
werden muss. Sollte der zuerst Ausgewertete bereits wahr als Rückgabewert
liefern, dann kann der andere Teilbaum dieses Ergebnis nicht mehr beeinflussen.
Gleiches gilt natürlich auch bei der UND–Verknüpfung – sollte ein Teilbaum
falsch zurückliefern, kann die Auswertung des Knotens abgebrochen werden, da
nur noch falsch als Ergebnis in Frage kommt.
Dies kann sich insbesondere bei den modalen Operatoren (♦, □, ← ♦ , ← □) sehr
effizienzsteigernd auswirken, da bei diesen Operatoren die Subformel für alle
direkten Nachfolger, bzw. Vorgänger ausgewertet werden muss. Anschaulich gesprochen:
Bei einem modalen Operator entstehen an diesem Knoten genausoviele
Äste, wie der aktuelle Zustand Nachfolger/Vorgänger hat und durch lazy evaluation
könnte es sein, dass schon die Auswertung des ersten Zweiges genügt,
um den Knoten abschließen zu können.
Als Beispiel diene wieder die Kripke-Struktur aus Abbildung 8. Diesmal soll
die Formel
νy.♦[µx.(y ∧ a) ∨ ♦x] K
geprüft werden, aber nicht auf allen Zuständen, sondern nur im Zustand s 0 . Die
Bedeutung der Formel lässt sich durch Lesen von innen nach außen erschließen:
µx.a ∨ ♦x: Existiert ein ausgehender Pfad, auf welchem irgendwann einmal a
gelten kann?
νy.♦z: Gilt z immer (größter Fixpunkt) in einem beliebigen direkten Nachfolgezustand?
Zusammen ergibt sich also: ”Gibt es einen Pfad, auf dem unendlich oft a vorkommt?“
Daraus ergibt sich nun folgendes Tableau: