Verifikation reaktiver Systeme - Universität Kaiserslautern

44
Zustandssignallinien) behandelt. Anschließend wird das Modell um die Aspekte der
Zeit und der Signalwerte erweitert. Am Ende des Kapitels wird der Nutzen der
coverage measure untersucht.
2 Grundansatz der Coverage Measure
Um zu überprüfen, welche Bestandteile der Implementierung von der property suite
abgedeckt werden, wird jede Signallinie darauf untersucht, welchen Einfluss sie auf
die property suite hat. Die Vorgehensweise bei der Überprüfung hängt dabei von der
Art der betrachteten Signallinie ab.
Ingesamt lassen sich 4 Arten von Signallinien unterscheiden: interne Signallinien,
Zustandssignallinien, Eingänge und Ausgänge. Diese werde im Folgenden näher
erläutert. Zur Verdeutlichung wird dabei die (aufgerollte) Schaltung des ATM – Error
Controllers verwendet, die bereits im vorangegangenen Kapitel von Christian Allman
vorgestellt wurde und daher in ihrer Funktionsweise sowie den an diese gestellten
Eigenschaften als bekannt vorausgesetzt wird.
Anmerkung
Der Ansatz der Coverage Measure kann fälschlicherweise den Eindruck vermitteln,
als würde die Spezifikation von der Implementierung verifiziert werden, was der
Grundidee einer formalen Verifikation zuwiderlaufen würde. Bei der Coverage
Measure wird aber zu keiner Zeit die Korrektheit einer Spezifikation in Frage gestellt,
sonder lediglich deren Vollständigkeit.
2.1 Untersuchung von internen Signallinien
Bei der Betrachtung von internen Signallinien werden die Auswirkungen auf die
Verifikation untersucht, die entstehen, wenn die betreffende Signallinie in ein
zusätzliches externes Eingangssignal umgewandelt wird. Liefert die auf die so
modifizierte Schaltung angewendete Verifikation nach wie vor das Ergebnis, dass die
Schaltung korrekt ist, so wird die untersuchte Signallinie von der property suite nicht
abgedeckt. Ist eine der Eigenschaften der property suite jedoch nicht mehr erfüllt, so
wird die Signallinie von dieser Eigenschaft abgedeckt.
Im folgenden wird die Vorgehensweise bei der Untersuchung der Signallinie s
(vgl. Fig. 1) auf ihre Überdeckung durch P1 untersucht. Zu Vergleichszwecken wird
dabei zunächst der Verifikationsbeweis für P1 aufgeführt, bevor die Untersuchung auf
Überdeckung nach der beschriebenen Vorgehensweise durchgeführt wird.