Verifikation reaktiver Systeme - Universität Kaiserslautern

216
In Knoten 1 kann der Baum wie gewöhnlich mit zwei Ästen fortgeführt werden.
Jeder Ast bekommt eine Kopie der Arbeitsmenge ({s 1 ,s 4 }) und die Auswertung
kommt zu Knoten 2. Wertet man hier die Frage, ob a gilt, durch UND–
Verknüpfen der Arbeitsmenge mit a aus, so besagt die Antwort lediglich, ob a
in mindestens einem Zustand der Arbeitsmenge erfüllt ist.
In Knoten 3 gilt es die unmittelbaren Nachfolger von {s 1 ,s 4 } zu bestimmen.
Eine einfache UND–Verknüpfung der Arbeitsmenge mit dem Zustandsraum führt
zu der Kantenmenge, welche aus den Zuständen s 1 und s 4 hinausführen. In
dieser aussagenlogischen Formel müssten dann alle x i entfallen und die x ′ i in x i
umbenannt werden. Damit hat man die gewünschte Nachfolgermenge.
Spätestens an diesem Punkt treten einige Probleme auf. Zum Beispiel ist
die Erkennung von Schleifen beim Ausrollen von Fixpunkten nicht mehr so einfach
zu bewerkstelligen, wie dies bei nur einem Zustand der Fall ist. Die erste
Frage ist überhaupt nach der grundsätzlichen Arbeitsweise eines lokalen Modellprüfers,
der auf mehreren Zuständen gleichzeitig arbeitet. Folgende Varianten
wären denkbar:
Sei M(s) ein lokaler Modellprüfer, welcher auf nur einem Zustand s arbeitet
und M ′ (S) ein Lokaler, welcher auf der Zustandsmenge S arbeitet.
– Der Modellprüfer M ′ arbeitet auf einer Menge {x 1 , ..., x n } mit folgendem
Resultat: ∧ i∈{1,...,n} M(x i)=M ′ ({x 1 , ..., x n })
Sagt also nur aus, ob die Formel in wirklich jedem Zustand gilt.
– M ′ ({x 1 , ..., x n }) liefert als Rückgabewert eine Menge T ⊆{x 1 , ..., x n }, wobei
die Formel für alle Zustände aus dieser Menge erfüllt ist.
Es ist also neben der Wahl der Funktionalität noch einiges mehr zu beachten.
Zum Beispiel in welcher Art und Weise die Arbeitsmenge nun repräsentiert
werden soll – als Transitionen, oder durch ihre Label?
5 Fazit
Es gibt viele unterschiedliche Ansätze und Anwendungsgebiete für Modellprüfungsalgorithmen.
Verfahren, welche die Verifikation durch symbolische Auswertung
von µ–Kalkül–Formeln durchführen, sind verhältnismäßig einfach zu erstellen.
Ein Nachteil der µ–Kalkül–Formeln ist die schwere Lesbarkeit. Einerseits ist
es noch gut möglich für kleinere Aussagen solche Formeln zu formulieren, allerdings
sind diese schon vom entgegengesetzten Standpunkt (Formel sehen und
Verstehen) recht schwer zugänglich.
Bei in der Praxis befindlichen Tools wird deshalb meist auf andere Logiken,
welche leichter verständlich sind, zurückgegriffen. Der Vorteil der µ–Kalkül–
Formeln ist die Möglichkeit zur Beschreibung von touring–vollständigen Problemen,
d.h. das µ–Kalkül gehört zur mächtigsten Sprachklasse überhaupt. Es
lassen sich viele Formalismen in das µ–Kalkül einbetten (z.B. Hoare–Logiken,
temporale Logiken, ω-Automaten, etc.). Aus diesem Grund, und aus der guten