Verifikation reaktiver Systeme - Universität Kaiserslautern

34
Abbildung 3 dargestellt. Die globalen Variablen bei dieser Unterteilung entsprechen
genau den Instanzen der Zustandsvariablen zum Zeitpunkt 1. Mit Hilfe von einem
SAT-Algorithmus zeigen wir nun die Unerfüllbarkeit der Klauselmenge und leiten
von diesem Beweis eine -Wiederlegung {p 1 , p 2 } ab. Da p 1 von der Initialbedingung
und der ersten Transitionsbedingung impliziert wird, folgt daraus, dass p 1 in jedem
Zustand, der vom Initialzustand aus in einem Schritt erreichbar ist, erfüllt ist. Ebenso
gilt, dass p 2 in jedem Zustand, der die Finalbedingung in k - 1 Schritten erreichen
kann, erfüllt ist. Die Konjunktion von p 1 und p 2 ist unerfüllbar, was bedeutet, dass
kein Zustand, der p 1 erfüllt, den Finalzustand in k - 1 Schritten erreichen kann. Nun
wählen wir p 1 als die Initialbedingung und wiederholen den Prozess, so dass wir eine
Bedingung erhalten, die nach zwei Schritten erfüllt sein muss, dann nach drei
Schritten, u.s.w. bis die Disjunktion von p 1 und p 2 einen fixen Punkt erreichen oder
das Problem lösbar wird. Im ersten Fall haben wir erfolgreich bewiesen, dass die
Finalbedingung nicht erreichbar ist, im zweiten Fall müssen wir k erhöhen und noch
mal von Vorne anfangen. Wir können aber zeigen, dass für k größer der reverse depth
(siehe unten) des Zustandsraumes der Prozess zu einem fixen Punkt hin konvergiert.
Somit muss der Prozess mit dem Erhöhen von k irgendwann terminieren.
Abbildung 3: Sequenz von SAT-Problemen generiert von der Modellprüfung