Verifikation reaktiver Systeme - Universität Kaiserslautern

33
Der Beweis dieses Theorems wird geführt, indem man eine Induktion über die
Struktur von P durchführt und dabei zeigt, dass für jeden Knoten c gilt:
C i impliziert pi(c) l i (c),
(c) impliziert g(c) und
i
p i
jedes p i (c) beinhaltet nur globale Variablen.
Den eigentlichen Beweis kann man in [McMillan03] nachlesen.
Jedes p i (r) kann in der Zeit von O(N + L) berechnet werden, wobei N die Anzahl
der Knoten in dem Beweis V P ist und L die gesamte Anzahl der Literale in dem
Beweis der Unerfüllbarkeit von C ist. Eine komplette -Wiederlegung kann in der
Zeit O(nN + L) berechnet werden, wobei n für die Kardialität von steht (Anzahl der
Untermengen in der Partition). Dies ist der Fall, weil p i (r) nur von den Pivotvariablen
der Konten die nicht Wurzel sind abhängt und nur einmal berechnet werden muss.
4. Modellprüfung basierend auf Interpolation
Nun wollen wir zeigen, wie man -Wiederlegungen in einer vollständigen SATbasierten
unbegrenzten Modellprüfung verwenden kann.
Begrenzte Modellprüfung wird eingesetzt, um zu zeigen, dass ein
Transitionssystem keine Übergangsfolge mit k oder weniger Schritten besitzt, die
einer gegebenen Bedingung wiederspricht, wobei k eine feste Grenze ist. Dies kann
als SAT-Problem mit der Grenze k formuliert werden. Für den Fall der
Unerfüllbarkeit kann man aus einem Beweis-generierenden SAT-Algorithmus einen
Beweis extrahieren, der die Nicht-Existenz eines Gegenbeispiels der Länge k zeigt.
Interpoliert man nun diesen Beweis, so kann man eine obere Abschätzung von den in
j Schritten erreichbaren Zuständen bestimmen (für alle 0 j k).
Ein begrenztes Modellprüfungsproblem besteht aus einer Menge von
Bedingungen, die in Initial-, Transitions- und Finalbedingungen unterteilt werden
können. Diese Bedingungen werden nun in eine Konjunktive Normalform übersetzt
und zu jedem Zeitpunkt 0...k instanziiert. Dies ist in Abbildung 2 dargestellt, wobei I
die Initialbedingung, T die Transitionsbedingung und F die Finalbedingung
repräsentiert.
Abbildung 2: begrenzte Modellprüfung
Nehmen wir nun an, dass wir die Klauseln so unterteilen, dass die initiale
Bedingung und die erste Instanz der Transitionsbedingung in der Menge C 1 enthalten
sind, während die finale Bedingung und die übrigen Instanzen der
Transitionsbedingung in der Menge C 2 enthalten sind. Diese Situation ist in