Verifikation reaktiver Systeme - Universität Kaiserslautern

2
Der Aufbau der Arbeit ist in fünf Gesichtspunkte untergliedert. Die ersten Kapitel
beschreiben die Kernideen des bounded model checking. In diesen Kapiteln
werden auch die notwendigen semantische Änderungen am Beispiel der Temporallogik
LTL erläutert. Diese Erklärungen sind jedoch für das wesentliche
Verständnis von bounded model checking nicht notwendig. Die Ergänzungen
hierzu lassen sich in der Überschrift des Kapitels als LTL spezifische erkennen.
Ein ausführliches Beispiel zur Eigenschaftsprüfung mit LTL befindet sich im Anhang
A. Neben der Vorstellung der Technik wird auch die industrielle Umsetzung
in Kapitel 4 vorgestellt. Die Syntax der in diesem Kapitel verwendete Temporallogik
ITL wird im Anhang B erläutert. Mit der Bewertung von bounded model
checking endet die Ausarbeitung.
2 Grundlagen
2.1 Symbolische Modellprüfung
Zur formalen Verifikation benötigt man ein mathematisches Modell des Systems,
sowie eine Sprache zur Spezifizierung der gewünschten Eigenschaft. Darauf aufbauend
eine Beweismethode um sicherzustellen, dass die gewünschte Eigenschaft
spezifiziert wird [7]. Die dabei wirtschaftlich interessantesten sind die maschinell
ausführbaren Algorithmen, die automatische Verifikation erlauben.
Die eigentliche Modellprüfung (model checking) wird realisiert durch Algorithmen,
die den Zustandsraum des Transitionssystems dahingehen untersuchen, ob
Spezifikationen und Verhalten übereinstimmen [3].
Die ersten Schritte der Symbolischen Modellprüfung wurden 1990 von Burch,
Clarke, McMillan und Dill unternommen und unterlagen seit dem einer ständig
fortschreitenden Entwicklung.
Die bis dato übliche Methode der formalen Verifikation beruhte auf den Erkenntnissen
der Automatentheorie. Systemmodell und Spezifikation wurden mit Hilfe
einer passenden Logik beschrieben. Mit Hilfe dieser Beschreibung wurde aufbauend
ein logischer Beweis geführt, der die Spezifikation bestätigte. Trotz seiner
Mächtigkeit und Flexibilität bleibt das Verständnis und die Anwendbarkeit nur
wenigen Anwendern vorbehalten, auf Grund der verwendeten mathematischen
Formalismen.
Das Systemmodell wird in den folgenden Betrachtungen als endlicher Automat
verstanden. Die notwendige Spezifikation wird in aussagenlogischer Form mittels
Temporallogik beschrieben. Ihr Vorteil ist die leichte Verständlichkeit und
Kompaktheit. Zudem können die wichtigen Eigenschaften wie Sicherheit, Lebendigkeit,
Fairness, ... damit ausgedrückt werden.
Um das Problem der Zustandsexplosion bei großen Systemen in den Griff zu bekommen
entstand die symbolische Modellprüfung. Die Ersetzung der expliziten
Zustandsrepräsentation durch Zustände mit booleschen Kodierungen erlauben
der symbolischen Modellprüfung größere Designs zu bewältigen, als mittels statischer
Modellprüfung. Meist liegt dabei die zugrundeliegende Implementation
auf Basis von binären Entscheidungsdiagrammen (BDD). Diese erlaubten es erst
die Breitensuche auf den Datenstrukturen effizient zu gestalten.