Verifikation reaktiver Systeme - Universität Kaiserslautern

21
zifiziert und überprüft werden. Dem gegenüber stehen die Transaktionseigenschaften.
Hier treten Fehler, insbesondere Deadlocks, erst nach gewissen zeitlichen
Abläufen auf. Die Deadlockwahrscheinlichkeit ist in Fällen von überfüllten
Queues besonders wahrscheinlich. Diese sind auch mit bounded model checking
zu finden, allerdings müsste der Benutzer - in erster Betrachtung - hierfür viel
Zeit und Geduld investieren, bis die Berechnung beendet ist. Würde man hingegen
einen Spezialisten damit beauftragen mit sehr genaue Kenntnisse über
das zu untersuchende System, so hätte dies einige Vorteile. Ihm ist es möglich,
mit einem geringeren Risiko von false negative, den Startzustand des bounded
model checking Problem zu variieren. Der Fehler der Autoren bezüglich der Verwendung
von gateprop lag genau in diesem Punkt. Sie änderten den Zustand
niemals und passten ihn damit nicht an die zu untersuchende Eigenschaft an.
Jeder Erstbenutzer würde genau so handeln und sich den einfachsten Zustand als
Initialzustand der Untersuchung aussuchen, in diesem Fall war es der Zustand
nach dem RESET der Brücke.
Denkbar wäre hier eine Kombination aus den Vorteilen von Testsuiten und den
formalen Methoden. Testfälle könnte potentielle Deadlockfälle ausloten, die dann
mittels gateprop untersucht würden. Der Vorteil wäre, dass man leichter den Initialzustand
bestimmen könnte und zudem auch mit Sicherheit Aussagen über
weitere Deadlocks in der Abfolge der Verarbeitung machen könnte.
5.1 Vergleich mit etablierten Techniken
An dem Tool gateprop konnte man erkennen, dass bounded model checking Probleme
sich sehr gut mit SAT-Prozeduren kombinieren lassen. Eine weitere Technik,
die in diesem Zusammenhang einer Erwähnung würdig wäre sind BDDs.
BDDs eignen sich weniger gut in Kombination mit bounded model checking Problemen,
da sie eine Repräsentation der zugrundeliegenden Datenstruktur darstellen.
Ihr Problem ist nicht das Handling der Datenstruktur, sondern ihr Aufbau.
Die guten Eigenschaften von BDDs kommen erst zur Geltung nach Aufbau der
Struktur und erlauben dann die Anwendung von booleschen Operationen auf den
Datenstrukturen. Diese Operationen sind ohne jeden Zweifel sehr effizient und
können mit heutigen Implementierung sehr schnell ausgeführt werden. Da die
Konstruktion von bounded model checking Problemen, in Abhängigkeit von der
Grenze k und der Anzahl der booleschen Variablen des Systems, zu sehr komplexen
Formeln führen kann, ist die Konstruktion dieser Entscheidungsdiagramme
sehr kompliziert. Die notwendige kanonische Darstellung führt bei ungünstiger
Variablenkonstruktion beziehungsweise ungünstigen Funktionen zu einer exponentiellen
Speicherexplosion, die die Vorteile des Ansatzes mehr als aufhebt.
SAT Prozeduren kommen ohne aufwendige Datenstruktur aus. Da sie eine kanonische
Darstellung des Systems vermeiden, vermeiden sie auch mögliche exponentielle
Speicherexplosionen. So müssen sie auch nicht den Zustandsraum
durchsuchen, um ein mögliches Gegenbeispiel für das zu untersuchende Problem