Verifikation reaktiver Systeme - Universität Kaiserslautern

43
Completeness of (BMC) Property Suite
Sören Burmeister
Technische Universität Kaiserslautern
Zusammenfassung. Für die Durchführung eines formalen Korrektheitsbeweises
ist es von größter Wichtigkeit, die Anforderungen an das zu prüfende
System vollständig zu spezifizieren, da ansonsten Teile der Funktionalität eines
Programmes nicht von der Verifikation erfasst werden. In diesem Kapitel wird
das Verfahren der Coverage Measure vorgestellt, das für eine Schaltung prüft,
welche Signallinien von einer erstellten Spezifikation berücksichtigt werden
und welche nicht. Obgleich dieses Verfahren nicht die Vollständigkeit einer
Spezifikation beweisen kann, stellt es in seinen verschiedenen Erweiterungen
ein Hilfsmittel für die Entwicklung einer Spezifikation dar, da es dem
Entwickler mögliche Lücken in seiner property suite aufzeigen sowie ihm
einen groben Überblick über den Fortschritt seiner Arbeit geben kann.
1 Einführung
Im letzten Kapitel wurde erläutert, wie man mittels BMC eine gegebene
Implementierung eines Designs auf ihre Korrektheit überprüfen kann. Wie auch bei
anderen Methoden zur Verifikation kann die Modellprüfung mittels BMC aber nur
dann zuverlässige Ergebnisse liefern, wenn die property suite alle relevanten Aspekte
des Designs beinhaltet. Erfüllt die property suite diese Eigenschaft, bezeichnet man
diese auch als Verifikationsplan.
Eine der wesentlichen Aufgaben bei der Verifikation ist also die Sicherstellung,
dass es sich bei der erstellten property suite tatsächlich um einen Verifikationsplan
handelt. Unglücklicherweise ist es nicht möglich, aus der informellen Definition eines
solchen Planes formale Eigenschaften abzuleiten, mit denen eine mathematische
Überprüfung einer property suite auf ihre Vollständigkeit durchführbar wäre. Daher
wird versucht, dem Erzeuger der property suite Hilfsmittel zur Verfügung zu stellen,
die es ihm ermöglichen, während des Entwicklungsprozesses Lücken in der property
suite zu erkennen und zu lokalisieren.
Eines dieser Hilfsmittel ist die Coverage Measure. Der Ansatz dieser Methode
liegt darin, dass die syntaktische Vollständigkeit der property suite untersucht wird,
das heißt, es wird geprüft, ob jeder Bestandteil der untersuchten Implementierung von
der property suite abgedeckt wird.
Im Folgenden soll nun die Vorgehensweise bei der Coverage Measure am Beispiel
des bereits im letzten Kapitel vorgestellten ATM Error Controllers (AEC) erläutert
werden. Dazu werden zunächst in einem ersten Ansatz die Vorgehensweisen bei den
verschiedenen Arten von Signallinien (Eingängen, Ausgängen, interne und