Verifikation reaktiver Systeme - Universität Kaiserslautern

18
Diese einzelne Eigenschaft alleine würde jedoch nicht ausreichen um den Controller
zu verifizieren. Es müssen noch weitere Eigenschaften aufgestellt werden.
1 theorem T2 ist
2 assume:
3 at t: error = ’0’;
4 at t+1: error = ’1’;
5 at t+1: multiple = ’0’;
6 prove:
7 at t+1: correct_it = ’1’;
8 end theorem;
1 theorem T3 ist
2 prove:
3 at t+1: correct_it = ’0’ or reject_it = ’0’;
4 end theorem;
1 theorem T4 ist
2 assume:
3 during [t,t+1]: error = ’1’;
4 at t+1: multiple = ’0’;
5 prove:
6 at t+1: reject_it = ’1’;
7 end theorem;
1 theorem T5 ist
2 assume:
3 at t: error = ’1’;
4 at t: multiple = ’1’;
5 prove:
6 at t+1: reject_it = ’1’;
7 end theorem;
Die vorgenommenen Umformungen und Berechnungen werden in Abbildung 6
als work flow des Tools gateprop noch einmal verdeutlicht. Die Übersetzung des
HDL-Design in die interne Automatendarstellung wird automatisch vorgenommen.
Aus der informellen Spezifikation eine formale Spezifikation zu fertigen
bleibt allerdings dem Benutzer vor.
Auch wenn die Benutzung dieses Tool sehr einfach erscheint und die kompliziertesten
Schritte automatisiert sind, so ist die Frage, ob sich der Benutzer auf alle
Ausgaben einfach so verlassen kann?