Verifikation reaktiver Systeme - Universität Kaiserslautern

29
Interpolation and SAT-based Model Checking
Christian Schlosser
Email: ChristianSchlosser@web.de
Zusammenfassung. Moderne SAT - Algorithmen können durch einfache
Modifikationen dazu benutzt werden, um einen Wiederspruchsbeweis für eine
unerfüllbare Belegung eines Erfüllbarkeitsproblems zu liefern. Hier wird ein
Algorithmus vorgestellt, der mit linearem Aufwand Interpolierende von so
einem Beweis liefert. Mit Hilfe dieser Interpolation kann eine vollständige
Erreichbarkeitsanalyse für die Finalzustände eines Automaten durchgeführt
werden. Diese wiederum ermöglicht nun in linearer Zeit eine unbegrenzte
Modellprüfung, die nur auf SAT basiert. Benchmarks haben gezeigt, dass diese
Methode erheblich effizienter bei der Modellprüfung von industriellen
Verifikationsproblemen ist als BDD-basierte symbolische Modellprüfung.
Auch einen Vergleich mit anderen erst kürzlich entwickelten auf SATbasierenden
Modellprüfern braucht das hier vorgestellte Verfahren nicht zu
scheuen.
1. Einführung
Symbolische Modellprüfung ist eine Methode zur Verifikation von temporalen
Logikbedingungen von endlichen Zustandsräumen. Für die Modellprüfung von
finalen Zuständen haben sich in der Praxis binäre Entscheidungsbäume (BDDs) als
gut geeignet erwiesen.
Werden die Systeme aber größer, dann sind diese mit BDDs nicht mehr zu
verifizieren. Hierfür wurde die begrenzte Modellprüfung entwickelt, die mit Hilfe von
SAT - Algorithmen Gegenbeispiele mit einer maximalen Anzahl k an
Zustandsübergängen findet. Der Nachteil dieses Verfahrens ist, dass nicht
nachgewiesen werden kann, dass nicht doch ein Gegenbeispiel länger als k existiert
und somit nur Fehler gefunden werden können, aber nicht gezeigt werden kann, dass
keine Fehler vorhanden sind.
Hier soll eine Methode vorgestellt werden, die unbegrenzte Modellprüfung
ermöglicht und nur auf SAT basiert. Dabei wird ausgenutzt, dass SAT ein formales
Gegenargument liefert, wenn die Logikbedingungen nicht erfüllbar sind. Dies
entspricht bei einer begrenzten Modellprüfung dem Beweis, dass kein Gegenbeispiel
mit Länge kleiner gleich k für eine Eigenschaft existiert. Trotzdem sagt dies noch
nichts darüber aus, ob die Eigenschaft allgemein gültig ist oder nicht, wir werden aber
sehen, dass dieser Beweis Aussagen über die erreichbaren Zustände des Modells
macht, die bei der Modellprüfung ausgenutzt werden können. Genauer gesagt,
gegeben eine Unterteilung der Klauselmenge in zwei Teilmengen A und B, und einem
Beweis, dass diese Klauseln unerfüllbar sind (Wiederspruchsbeweis), ist es möglich,