Verifikation reaktiver Systeme - Universität Kaiserslautern

3
Erste Erfolge mit Modellprüfer auf BDD-Basis zeigten sich bei der Überprüfung
des Futurebus+ Cache Protokolls.
Das von Ken McMillan an der Carnegie-Mellon Universität erstellte Programm
SMV war das erste Werkzeug, dass sich bewährte. 1992 setze Clarke diese Tool
ein, um das Cache-Kohärenz-Protokoll zu überprüfen. Die damit gefundenen
Fehler zeigten, dass mit diesen formalen Methoden mehr erreicht werden konnte,
als die seit 1988 auf den Futurebus+ angewendeten informellen Techniken.
2.2 Temporale Logiken
Um Eigenschaften wie Fairness, Lebendigkeit oder Sicherheit zu spezifizieren,
haben sich temporallogische Aussagenlogiken bewährt. Unter temporaler Aussagenlogik
versteht man die allgemeine Aussagenlogik, die um temporale Operatoren
erweitert ist.
Die verwendeten Zeitschematas unterteilt McMillan in drei Klassen lineare, diskrete
und verzweigende Zeit [7].
In dieser Ausarbeitung spielen insbesondere Temporallogiken auf linearer und
diskreter Zeitebene eine Rolle. Die Besonderheiten der hier betrachteten Diskreten
Temporallogik werden am Beispiel der Intervalltemproallogik ITL aufgezeigt.
Um die Verständlichkeit und das Anwendungsspektrum genauer zu verstehen ist
es wichtig die betrachtete Zeit genau zu unterscheiden. Die im Weiteren verwendete
lineare Zeit ist definiert durch eine linear geordnete Menge von Zeitpunkten.
Ein Zeitrahmen gilt hierbei als linear, wenn die Relation hierauf als total bezeichnet
werden kann. Dies ist der Fall, wenn für zwei beliebige Zustände s, t entweder
gilt s ≤ t, s = t oder t ≤ s.
Um einen Eindruck für die Arbeitsweise von bounded model checking zu bekommen
ist die Wahl der Temporallogik entscheidend. Für die im Folgenden
auftretenden Betrachtungen spielt insbesondere die Logik LTL eine besondere
Rolle, an der auch die notwendigen Änderungen in der Semantik vorgestellt
werden. Zu LTL gehört jede Formel der Art Ap genau dann, wenn in p keine
weiteren Pfadquantoren vorkommen. LTL ist also soweit beschränkt, dass man
nur Aussagen über alle Abläufe machen kann und nicht über mögliche Alternativen.
Die Logik ist auch dahingehend beschränkt, dass keine Aussagen über die
Erreichbarkeit bestimmter Zustände AGEFp möglich sind.
Neben dieser bekannten Temporallogik, die sich dazu auch leicht auf Logiken
wie CTL* und Derivate erweitern lässt, wird die Logik ITL betrachtet. ITL ist
deswegen eine Betrachtung wert, da sie nur im Hause Infineon verwendet wird
für die Beschreibung von formalen Spezifikationen für das Tool gateprop. Die
Funktionsweise von ITL wird in Kapitel 4 und Anhang B ausführlich besprochen.