Verifikation reaktiver Systeme - Universität Kaiserslautern

23
lichkeit. Die Begrenzung der zu untersuchenden Eigenschaften, wie am Beispiel
des AEC vorgestellt, auf nur wenige Zeitschritte zeigt erst warum sich bounded
model checking als hervorragende Technik im industriellen Alltag etabliert hat.
In der Praxis kommen selten Eigenschaften mit Schranken größer zehn vor.
Auch wenn bounded model checking sich in der Praxis schon bewährt hat, so
befindet es sich immer noch in der Entwicklung seiner Fähigkeiten. So ist bisher
nur eine begrenzte Anzahl an Eigenschaften spezifizierbar. Diese Unvollständigkeit
hinsichtlich der Spezifizierungen wie Fairness- oder Persistenzeigenschaften
scheint jedoch in der Industrie weniger von Bedeutung zu sein, als im akademischen
Bereich. Es bleibt abzuwarten, ob es in naher Zukunft möglich ist Fixpunktoperationen
in bounded model checking Probleme zu übertragen.
Der für den Benutzer markanteste Nachteil ist die Aussagekraft des Ergebnisses.
Am Beispiel des AEC wurde schon aufgezeigt, dass der Benutzer darauf achten
muss, dass er bei der formalen Spezifikation nicht den Fehler begeht und false
negative beschreibt. Hier liegt es also am Benutzer die Gegenbeispiele zu untersuchen,
ob hier keine Zeugen gefunden wurden, die in einen unerreichbaren
Zustand münden. Was für das Gegenbeispiel gilt muss natürlich auch für den
Beweis gelten. Auch hier darf nicht einfach angenommen werden, dass bei dem
Ergebnis ”die spezifizierte Eigenschaft ist erfüllt” dies auch automatisch gilt.
Hier kann es immer noch sein, dass ein Fehler in der Annahme aufgetreten ist.
So hängt schlussendlich ein korrekt spezifiziertes System von korrekt spezifizierten
Eigenschaften ab. Wenn diese korrekt und vollständig sind, dann liefert auch
bounded model checking in Kombination mit einem Eigenschaftsprüfer verlässliche
Ergebnisse.
Siehe hierzu “Tuning sat checkers für bounded model checking” von O.Shtrichman
und “Combining decisions diagrams and sat procedures for efficient symbolic
model checking” P.F.Williams, A.Biere sowie [3].