Verifikation reaktiver Systeme - Universität Kaiserslautern

38
dann terminieren wird.
.
Aus diesem Theorem folgt, dass wenn die Prozedur FiniteRun abbricht, der Wert von
k nur immer wieder erhöht werden muss, sodass die Prozedur terminiert. Der Faktor,
um den k erhöht wird, hat einen großen Einfluss auf die Performance der Prozedur.
Wenn wir zu wenig erhöhen, dann muss die Prozedur unnötig oft ausgeführt werden,
erhöhen wir zu viel, dann werden die darausfolgenden SAT-Probleme unnötig
aufwendig.
4.2. Optimierungen
Für diesen Basisalgorithmus gibt es sehr viele Möglichkeiten, die Performance zu
steigern. Als erstes sind hier die Formeln der Beweispartitionierung zu nennen, die
typischer Weise hochredundant sind, und zwar in der Form, dass viele Subformeln
syntaktisch verschieden aber semantisch identisch sind. Um diese Redundanzen zu
eliminieren gibt es eine ganze Reihe von Algorithmen.
k
Weitere Effektivitätssteigerungen lassen sich erzielen, wenn man SUFF 0
durch
k
SUFF j
für j > 0 ersetzt (es werden nur die Zeitpunkte größer oder gleich j getestet).
In den meisten Fällen scheint j = k die effektivste Wahl zu sein. Das ist auch nicht
weiter verwunderlich, weil in diesem Fall der SAT-Algorithmus die Finalbedingung
nur in einem Zustand wiederlegen muss, und nicht in allen. Dummerweise verlieren
wir für j > 0 die Garantie, dass der Prozess terminiert. In der Praxis sind Divergenzen
bei einigen Hardwaremodellen aufgetreten, die sich aber mit dem Setzen von j = k –1
korrigieren ließen.
Als letzte Optimierungsmöglichkeit soll hier die Invarianz der Formel
SUFF k
j
(M ')
von einer Iteration zur nächsten genannt werden. Sie erzeugt die
meisten CNF - Formeln, die vom SAT-Algorithmus wiederlegt werden müssen. Es ist
klar, dass es sehr uneffizient ist, diese bei jeder Iteration neu zu bestimmen. Besser
wäre es, alle Klauseln von SUFF k
j
(M ')
und die von ihr abgeleiteten von einem SAT-
Aufruf für den nächsten zu speichern. Obwohl dies ein enormes
Optimierungspotential darstellt, wurde es hier nicht implementiert, da dazu der SAT-
Algorithmus modifiziert werden müsste.
5. Praktische Erfahrungen
Die Leistungsfähigkeit des Interpolations-basierten Modellprüfers wurde mit zwei
verschiedenen Problemstellungen aus kommerziellen Mikroprozessordesigns getestet.
Die erste Problemstellung ist eine Sammlung von Bedingungen, mit denen zwei
Einheiten des PicoJava II Prozessors zusammen Verifiziert werden sollen. Von diesen
Bedingungen wurden 20 repräsentative ausgewählt, die alle erfüllt sind, und als
Benchmark verwendet. Alle diese Probleme sind Sicherheitseigenschaften der Form
Gp, wobei p eine Formel ist, die sich meist nur auf den aktuellen Zeitpunkt bezieht,
manchmal auch auf den nächsten Zeitpunkt. Die Anzahl der Zustandsvariablen