Verifikation reaktiver Systeme - Universität Kaiserslautern

36
Abbildung 4: Prozedur FiniteRun
Belegungen von (f, U) gleich der denen von f sind, wenn wir die neuen Variablen
ausblenden. Solch eine Funktion ist in linearer Zeit bestimmbar.
Die Basisprozedur zur Überprüfung der Existenz eines endlichen Durchlaufs von
M ist in
Abbildung 4 dargestellt. Hier werden U 1 und U 2 als Mengen von neuen Variablen
angenommen, die voneinander und von allen W i ’s disjunkt sind. Nun soll gezeigt
werden, dass die Prozedur für ein groß genug gewähltes k immer terminiert, wobei zu
sagen ist, dass die Prozedur auch für kleine k endet, allerdings ohne entscheiden zu
können, ob ein Durchlauf von M existiert.
Die Funktionsweise der Prozedur ist wie folgt: Zuerst wird überprüft, ob es einen
Durchlauf der Länge null gibt. Für den Rest der Prozedur kann also angenommen
werden, dass ein solcher nicht existiert. Initial wird die Abschätzung R von den
erreichbaren Zuständen auf I, die Initialzustände, gesetzt.
k
Nun wird die Erfüllbarkeit von PREF geprüft. Ist dies der Fall,
1( M ) SUFF0
( M )
dann gibt es einen Durchlauf der Länge 1...k+1, der bei R beginnt und mit F endet. Ist
nun R = I, dann ist ein Durchlauf von M gefunden und wir terminieren, ist die nicht
der Fall, dann bricht die Prozedur ab ohne entscheiden zu können, ob ein solcher
k
existiert oder nicht. Ist PREF
aber nun nicht erfüllbar, dann
1( M ) SUFF0
( M )
erstellen wir aus den beiden disjunkten Klauselmengen C1 und C 2 und dem Beweis
für die Unerfüllbarkeit eine -Wiederlegung und erhalten zwei Formeln p 1 und p 2
über W 0 . Es gilt zudem, dass p 1 von R(W -1 ) und T(W -1 , W 0 ) impliziert wird. Daraus
folgt, dass p 1 in allen Zuständen von W 0 , die von R aus in einem Schritt erreichbar
sind, erfüllt ist. Des weiteren ist p 2 in allen Zuständen von W 0 erfüllt, die in 0...k
Schritten F erreichen können. Da p 1 p 2 nicht erfüllbar ist, kann kein Zustand der p 1
erfüllt F in bis zu k Schritten erreichen. Somit erhalten wir eine neue (obere)