Verifikation reaktiver Systeme - Universität Kaiserslautern

30
in linearer Zeit eine Interpolierende P der Teilmengen A und B zu generieren, die
folgende Eigenschaften hat:
A impliziert P,
P B ist nicht erfüllbar und
P verwendet nur die gemeinsamen Variablen von A und B.
Dies ermöglicht es, die Finalzustände auf Erreichbarkeit zu überprüfen und
darausfolgend eine unbegrenzte Modellprüfung durchzuführen.
Im nächsten Kapitel wird gezeigt, wie man mit einem SAT-Algorithmus den
benötigten Wiederspruchsbeweis erhält. In Kapitel 4 wird dann eine einfache
Methode vorgestellt, die mit Hilfe von Interpolation eine unbegrenzte Modellprüfung
durchführt. Ein Test dieser Methode in der Praxis an Hand von einigen Eigenschaften
von kommerziellen Mikroprozessoren folgt in Kapitel 5.
2. Extraktion von Beweisen aus SAT – Algorithmen
Eine Klausel ist eine Disjunktion von beliebig vielen booleschen Variablen oder ihrer
Negation. Wir nehmen an, dass die Klauseln nicht allgemeingültig sind, d.h. dass sie
nicht gleichzeitig eine Variable und deren Negation enthalten. Eine Menge von
Klauseln ist erfüllbar, wenn eine Variablenbelegung existiert, bei der alle Klauseln
der Menge den Wert true liefern.
Haben wir nun zwei Klauseln der Form c 1 = v A und c 2 = v B, dann
definieren wir die Vereinigung der beiden Klauseln als A B, unter der
Vorraussetzung, dass A B nicht allgemeingütig sind. Ist A B jedoch
allgemeingütig, so existiert keine Vereinigung. Existiert eine Vereinigung von c 1 und
c 2 , dann wird diese impliziert von c 1 c 2 .
Definition Beweis der Unerfüllbarkeit:
Für eine Menge von Klauseln C ist ein Beweis der Unerfüllbarkeit P ein
gerichteter azyklischer Graph (V P ,E P ), bei dem V P eine Menge von
Klauseln darstellt, so dass:
Für jeden Knoten c V P gilt entweder
o c C und c eine Wurzel oder
o c hat genau zwei Vorgänger c 1 und c 2 , wobei c die
Vereinigung von c 1 und c 2 ist
Die leere Klausel ist das einzige Blatt.
Existiert nun ein Beweis für eine Klauselmenge C, der besagt dass die Klauselmenge
unerfüllbar ist, dann ist auch C unerfüllbar. Dies lässt sich durch Induktion über die
Tiefe des Graphen und mit Hilfe der Transitivität der impliziten Verknüpfung leicht
zeigen.
Zum Erzeugen der Unerfüllbarkeitsbeweise wird ein DPLL – SAT-Algorithmus
verwendet, was aber nicht zwingend erforderlich ist. Während der DPLL -
Algorithmus nach einer erfüllenden Belegung sucht, muss er Entscheidungen treffen,
bei denen er beliebigen Variablen den Wert true zuweist und daraus einen