Verifikation reaktiver Systeme - Universität Kaiserslautern

37
Abschätzung R p 1 [V/W 0 ] der erreichbaren Zustände. Wenn wir nun einen Fixpunkt
erreicht haben, dann ist R eine induktive Invariante und da kein Zustand in R F
erfüllen kann (weder F in bis zu k Schritten erreichen kann), kann die Prozedur mit
dem Ergebnis, dass kein Durchlauf existiert, terminieren. Ist dies noch nicht der Fall,
dann wird die Prozedur mit der neuen Abschätzung für R wiederholt.
Theorem FiniteRun:
Für k > 0 gilt: wenn FINITERUN (M, k) terminiert, liefert die Prozedur
TRUE zurück, wenn M einen Durchlauf hat.
Beweis:
Nehmen wir an, dass die Prozedur TRUE zurückliefert. Dann ist entweder I F
erfüllbar, was bedeutet, dass M einen Durchlauf der Länge 0 hat, oder
BMC k ist erfüllbar, woraus folgt, dass M einen Durchlauf der Länge 1...k hat.
1
( M )
Nun nehmen wir an, dass die Prozedur FALSE zurückliefert. Dann können folgende
drei Fakten gezeigt werden:
I impliziert R. Trivial.
R ist eine Invariante von T (R(S) und T(S, S’) implizieren R(S’)). Da C 1 p 1
impliziert folgt, dass für alle Zustände S, S’, R(S) T(S, S’) => R’(S’) gilt.
Somit impliziert R’ R und dann implizieren R(S) und T(S, S’) auch R(S’).
R F ist nicht erfüllbar. An Anfang gilt R = I und I F ist unerfüllbar. Bei
k
jeder Iteration wissen wir, dass p1 SUFF0
( M ')
unerfüllbar ist und somit
ist auch R’ F unerfüllbar.
Aus diesen drei Fakten folgt mit Induktion, dass M keinen Durchlauf von jedweder
Länge hat. .
Es kann auch gezeigt werden, dass die Prozedur für ausreichend große k terminiert.
Dazu definieren wir die reverse depth von M als die maximale Länge des kürzesten
Pfades von einem beliebigen Zustand zu einem Finalzustand. Die reverse depth wird
durch 2 |V| nach oben begrenzt, in den meisten praktischen Fällen ist sie aber viel
kleiner. |V| steht für die Anzahl der booleschen Variablen, die den Zustandsraum
beschreiben, was wiederum bedeutet, dass die reverse depth durch die Anzahl der
Zustände des Zustandsraumes nach oben beschräkt ist.
Theorem FiniteRun terminiert:
Für jedes M existiert ein Wert k, für den gilt dass FINITERUN (M, k)
terminiert.
Beweis:
Sei k die reverse depth von M. In der ersten Iteration terminiert der Algorithmus,
wenn das SAT-Problem erfüllbar ist. Andernfalls wissen wir, dass R’ in k Schritten F
nicht erreichen kann. Da k die reverse depth ist, folgt dass R’ mit keiner Anzahl von
Schritten F erreichen kann. Bei der nächsten Iteration kann R nun F in bis zu k + 1
Schritten nicht erreichen, so dass das SAT-Problem wiederum unlösbar ist. Fährt
man nun mit der Iteration fort, lässt sich daraus schließen, dass in jeder Iteration R
in bis zu k + 1 Schritten nicht in der Lage sein wird, F zu erreichen. Deshalb muss R
immer größer werden, bis es einen Fixpunkt erreicht hat, bei dem die Prozedur