Akcijska logika dreves izvajanj z operatorjem unless

Transcription

1 Univerza v Mariboru Fakulteta za elektrotehniko, računalništvo in informatiko Robert Meolic Akcijska logika dreves izvajanj z operatorjem unless Doktorska disertacija Maribor, september 2005

2 Avtor: Naslov: Naslov v angleščini: Ključne besede: Robert Meolic Akcijska logika dreves izvajanj z operatorjem unless Action computation tree logic with unless operator UDK: (043.3) Število izvodov: 10 Obdelava besedila: Obdelava slik: Razmnoževanje: formalne metode verifikacije sistemov, preverjanje modela, temporalna logika, CTL, ACTL, ACTLW, diagnostika, priča, protiprimer, avtomat prič in protiprimerov, problem medsebojnega izključevanja Robert Meolic Robert Meolic Laboratorij za mikroračunalniške sisteme, Fakulteta za elektrotehniko, računalništvo in informatiko, Maribor Kraj in datum: Maribor, september 2005

3 Na Univerzi v Mariboru, Fakulteti za elektrotehniko, računalništvo in informatiko, je mag. Robert Meolic, univ. dipl. inž. rač. dne 16. septembra 2005 uspešno zagovarjal doktorsko disertacijo z naslovom Akcijska logika dreves izvajanj z operatorjem unless pred komisijo v sestavi: 1. red. prof. dr. Igor Tičar predsednik 2. izr. prof. dr. Tatjana Kapus, mentorica članica 3. red. prof. dr. Zmago Brezočnik član 4. Prof. Alessandro Fantechi, Univerza v Firencah član

4

5 vii Posveˇceno staršema, ki sta mi vedno stala ob strani in Marku, da bi našel eno od sreˇcnih poti skozi ˇzivljenje!

6 viii

7 ix Zahvala Zahvaljujem se mentorici izr. prof. dr. Tatjani Kapus, ki spremlja moje raziskovalno delo od samega začetka in ki je s svojim znanjem in trudom pripomogla, da je ta doktorska disertacija bogatejša, celovitejša in tudi lepša, kot bi bila sicer. Še posebej hvala za vsa strokovna vprašanja, predloge, pripombe in številne razgovore, v katerih se je kalila vsebina pričujočega dela. Iskrena hvala tudi za obilno pomoč in podporo skozi vse obdobje podiplomskega študija, še posebej za zares skrbne jezikovne preglede slovenskih in angleških besedil. Zahvaljujem se vodji Laboratorija za mikroračunalniške sisteme red. prof. dr. Zmagu Brezočniku in vodji Inštituta za elektroniko red. prof. dr. Bogomirju Horvatu, da sta med mojim podiplomskim študijem skrbela za to, da sem lahko bil zaposlen na Fakulteti za elektrotehniko, računalništvo in informatiko v Mariboru, da sem lahko sodeloval, se preizkušal in se izpopolnjeval v raznih oblikah strokovnih in znanstvenih dejavnosti in da sem kdaj pa kdaj zaradi postavljenih izzivov naredil tudi več, kot sem bil dolžan narediti. Njuni dobri nameni, spodbude in vložen trud so gotovo vplivali na moje delo. Zahvaljujem se Prof. Alessandru Fantechiju iz Dipartimento di Sistemi e Informatica na Univerzi v Firencah za sodelovanje na strokovnem področju, še posebej med mojim trimesečnim gostovanjem v Italiji. Sodelovanje z njim je pomembno prispevalo k mojemu razumevanju tematike nastajajoče doktorske disertacije in mi hkrati omogočilo, da sem dodal zelo atraktivno poglavje o avtomatih prič in protiprimerov. Vsem članom komisije za oceno doktorske disertacije se še posebej zahvaljujem za skrbni pregled pričujočega dela ter za vse zelo koristne pripombe in predloge.

8 x

9 xi UDK: (043.3) Ključne besede: formalne metode verifikacije sistemov, preverjanje modela, temporalna logika, CTL, ACTL, ACTLW, diagnostika, priča, protiprimer, avtomat prič in protiprimerov, problem medsebojnega izključevanja Akcijska logika dreves izvajanj z operatorjem unless Povzetek Doktorska disertacija definira in raziskuje akcijsko logiko dreves izvajanj z operatorjem unless (ACTLW). ACTLW je izjavna temporalna logika razvejanega časa. Izhaja iz logike ACTL, ki je bila vpeljana leta 1990 in je ena od uveljavljenih temporalnih logik za izražanje lastnosti modelov, ki temeljijo na dogodkih. ACTLW je fleksibilnejša od ACTL, saj ne vsiljuje uporabe notranjega dogodka τ pri izražanju lastnosti. ACTLW je tudi nekoliko izraznejša od ACTL, saj vsebuje temporalni operator unless (W), katerega pomena v ACTL ni možno v celoti izraziti. Nasprotno pa lahko vse formule ACTL izrazimo z uporabo operatorjev ACTLW. ACTLW omogoča učinkovito izvedbo preverjanja modelov s podobnimi algoritmi kot pri preverjanju modela s CTL, kar je pomembna izboljšava glede na logiko ACTL. Doktorska disertacija podaja definicijo logike ACTLW, izpeljave vseh standardnih temporalnih operatorjev in algoritme za globalno preverjanje modela z ACTLW s simboličnim računanjem. Predstavljeni so tudi algoritmi za tvorjenje diagnostike pri AC- TLW, za tvorjenje linearnih prič in protiprimerov pri ACTLW ter za tvorjenje avtomatov prič in protiprimerov pri ACTLW. Doktorska disertacija je v celoto zaokrožena z vzorci formul ACTLW in dvema večjima praktičnima primeroma: verifikacijo več različnih algoritmov za medsebojno izključevanje in verifikacijo dveh asinhronih vezij za porazdeljeno medsebojno izključevanje.

10 xii

11 xiii UDK: (043.3) Keywords: formal methods of system verification, model checking, temporal logic, CTL, ACTL, ACTLW, diagnostics, witness, counterexample, witness and counterexample automaton, mutual-exclusion problem Action computation tree logic with unless operator Abstract This thesis defines and studies action computation tree logic with unless operator (ACTLW). ACTLW is a propositional branching-time temporal logic. It is derived from logic ACTL, which was introduced in 1990 and which is one of established temporal logics for expressing properties of action-based models. ACTLW is more flexible than ACTL, because it does not impose the usage of silent action τ in expressing of the properties. ACTLW has also a slightly greater expressive power than ACTL, because it contains temporal operator unless (W), whose meaning cannot be fully covered in ACTL. As opposite, all ACTL formulae can be expressed using ACTLW operators. ACTLW enables efficient implementation of model checking by using similar algorithms to those used for CTL model checking, which is a significant advantage in comparison to logic ACTL. The thesis gives a definition of logic ACTLW, derivations of all standard temporal operators, and algorithms for global ACTLW model checking using symbolic methods. Moreover, algorithms for generation of diagnostics for ACTLW, for generation of linear witnesses and counterexamples for ACTLW, and for generation of witness and counterexample automata for ACTLW are presented. The thesis is accomplished with patterns of ACTLW formulae and two larger practical examples: a verification of several different mutual-exclusion algorithms and a verification of two asynchronous distributed mutual-exclusion circuits.

12 xiv

13 Vsebina Kazalo slik Kazalo definicij Kazalo primerov xix xxiii xxv 1 Uvod Predstavitev problema Vsebina doktorske disertacije Izvirni znanstveni prispevki doktorske disertacije Temporalne logike CTL, ACTL in ACTLW Teoretične osnove Negibna točka Model Temporalna logika Kripkejeva struktura in CTL Označeni sistem prehajanja stanj in ACTL Temporalna logika ACTLW Preslikave med logikami CTL, ACTL in ACTLW Vzorci formul za CTL, ACTL in ACTLW Vzorci prisotnosti in odsotnosti Vzorci za izražanje obstoja Vzorci za izražanje obstoja prednikov Vzorci za izražanje obstoja odziva Vzorci za izražanje trajanja Preizkus vzorcev formul ACTLW in ACTL Vpeljava zagatnih stanj v LTS xv

14 xvi VSEBINA 3 Preverjanje modela z ACTLW Teoretične osnove Preklopna algebra in logične funkcije Simbolične metode Preverjanje modela Simbolično preverjanje modela z ACTLW Izvedba z operatorji EEU, EEW, AAU in AAW Razreševanje operatorja EEU Razreševanje operatorja EEW Razreševanje operatorja AAU Razreševanje operatorja AAW Izvedba z operatorji EEU, EEG, AAW in AAF Razreševanje operatorja EEG Razreševanja negacije operatorja AAW Razreševanje negacije operatorja AAF Vpeljava zagatnih stanj v LTS Diagnostika ter priče in protiprimeri pri ACTLW Teoretične osnove Diagnostične poti pri ACTLW Tvorjenje diagnostične poti za operator EEU Tvorjenje diagnostične poti za operator EEG Tvorjenje diagnostične poti za operator AAW Tvorjenje diagnostične poti za operator AAF Tvorjenje diagnostičnih poti za druge operatorje ACTLW Vpeljava zagatnih stanj v LTS Diagnostika za ACTLW Linearne priče in protiprimeri za ACTLW Avtomati prič in protiprimerov za ACTLW Praktični primeri Orodje za verifikacijo sistemov EST Kratka predstavitev orodja Specifikacija modelov Preverjanje modela z ACTL in ACTLW Verifikacija algoritmov za medsebojno izključevanje Dekkerjev algoritem

15 VSEBINA xvii Hymanov algoritem Lamportov pekarniški algoritem Petersonov algoritem Rezultati verifikacije Verifikacija asinhronih vezij za medsebojno izključevanje Kratek uvod v načrtovanje asinhronih vezij Modeliranje asinhronih vezij z LTS-ji Odkrivanje hazardov z uporabo preverjanja modela Asinhrona vezja za porazdeljeno medsebojno izključevanje Rezultati verifikacije Zaključek 135 Literatura 139 A Najmanjša zadostna množica operatorjev za CTL 147 B Pretvorba formul ACTLW v formule ACTL 151 B.1 Pretvorba formul z operatorjem EEU B.2 Pretvorba formul z operatorjem AAU B.3 Pretvorba formul z operatorjem EEW B.4 Pretvorba formul z operatorjem AAW B.5 Pretvorba formul ACTLW z izpeljanimi operatorji B.6 Pretvorba okrajšanih formul ACTLW Življenjepis 161 Bibliografija 163

16 xviii VSEBINA

17 Kazalo slik 2.1 Kripkejeva struktura in del pripadajočega drevesa izvajanj Pot v označenem sistemu prehajanja stanj Pomen temporalnih operatorjev pri ACTLW Shematski prikaz preslikave lts2ks strong Shematski prikaz preslikave ks2lts strong LTS za preizkus vzorcev formul ACTLW in ACTL Rezultati preizkusa vzorcev formul ACTLW in ACTL Shematski prikaz uporabe simboličnih metod Osnovni algoritem za razreševanje operatorja EEU Učinkovit algoritem za razreševanje operatorja EEU Osnovni algoritem za razreševanje operatorja EEW Učinkovit algoritem za razreševanje operatorja EEW Osnovni algoritem za razreševanje operatorja AAU Osnovni algoritem za razreševanje operatorja AAW Učinkovit algoritem za razreševanje operatorja EEG Učinkovit algoritem za razreševanje negacije operatorja AAW Učinkovit algoritem za razreševanje negacije operatorja AAF Razreševanje operatorja EEW v LTS-jih, ki vsebujejo zagatna stanja Razreševanje operatorja AAU v LTS-jih, ki vsebujejo zagatna stanja Razreševanje operatorja EEG v LTS-jih, ki vsebujejo zagatna stanja Razreševanje negacije operatorja AAF, ki vsebujejo zagatna stanja Tvorjenje diagnostične poti za operator EEU Algoritem za odkrivanje cikla pri operatorju EEG Tvorjenje cikla pri operatorju EEG Tvorjenje diagnostične poti za operator AAW Algoritem za odkrivanje cikla pri operatorju AAF xix

18 xx KAZALO SLIK 4.6 Tvorjenje cikla pri operatorju AAF Primer drevesa podformul LTS, za katerega tvorimo enostavno diagnostiko Drevo podformul, če diagnostična pot za EEW nima cikla Drevo podformul, ko pri EEW izberemo diagnostično pot s ciklom Drevo podformul med tvorjenjem praktične priče Algoritem za tvorjenje avtomatov prič in protiprimerov (1. del) Algoritem za tvorjenje avtomatov prič in protiprimerov (2. del) Algoritem za tvorjenje avtomatov prič in protiprimerov (3. del) Algoritem za tvorjenje avtomatov prič in protiprimerov (4. del) Preprost LTS in avtomata prič za dve preprosti formuli ACTLW Dopolnitev algoritma za tvorjenje avtomata prič in protiprimerov Avtomati prič in protiprimerov za formule ACTL Specifikacija modela z LTS-jem Specifikacija modela s procesno algebro CCS Specifikacija BNF za formule ACTL in ACTLW LTS-ji, s katerimi predstavimo in obdelujemo spremenljivke Dekkerjev algoritem za medsebojno izključevanje Model procesa P1 v Dekkerjevem algoritmu Hymanov algoritem za medsebojno izključevanje Model procesa P1 v Hymanovem algoritmu Lamportov pekarniški algoritem za medsebojno izključevanje Modela procesov P1 in P2 v Lamportovem pekarniškem algoritmu Ben-Arijeva različica pekarniškega algoritma Modela procesov P1 in P2 v Ben-Arijevi različici pekarniškega algoritma Pekarniški algoritem iz projekta STeP Modela procesov P1 in P2 v pekarniškem algoritmu iz projekta STeP Petersonov algoritem za medsebojno izključevanje Model procesa P1 v Petersonovem algoritmu Velikost modelov algoritmov za medsebojno izključevanje Rezultati verifikacije algoritmov za medsebojno izključevanje Diagnostika in protiprimer za Hymanov algoritem Diagnostika in protiprimer za pekarniški algoritem iz projekta STeP Izvedba elementa C z osnovnimi vrati Vezje z oscilirajočim izhodom Statični hazard

19 KAZALO SLIK xxi 5.24 Dinamični hazard Prehodni hazard Hazard stanja Model vezja za dvovhodna vrata AND Model vezja za element C Model vezja za element FORK Model vezja za flip-flop RS Model vezja za element ME Model vezja za element ME z zapornim signalom z Model vezja z oscilirajočim izhodom Vezje z odstranljivim logičnim hazardom Vezje z neodstranljivim logičnim hazardom Model vezja s statičnim hazardom s slike Model vezja z dinamičnim hazardom s slike Model vezja s prehodnim hazardom s slike Model vezja s hazardom stanja s slike Celica DME, ki jo je predlagal A.J. Martin Celica DME, ki jo je predlagal K.L. McMillan Delovanje vezja DME, sestavljenega iz dveh Martinovih celic DME Delovanje vezja DME, sestavljenega iz dveh McMillanovih celic DME Velikost modelov vezij pri verifikaciji asinhronih vezij DME Število hazardov v celicah DME Statični hazard pri signalu RR v McMillanovi celici DME Del avtomata prič, ki razlaga obstoj statičnih hazardov pri signalu UA v Martinovi celici DME

20 xxii KAZALO SLIK

21 Kazalo definicij 2.1 Kripkejeva struktura Drevo izvajanj Logika dreves izvajanj Označeni sistem prehajanja stanj Akcijska logika dreves izvajanj Akcijska logika dreves izvajanj z operatorjem unless Preslikava lts2ks strong Preslikava ks2lts strong Preslikava actlw2ctl Preslikava ctl2actlw Preslikava actl2actlw Normalna oblika formule dogodka Preslikava actlw2actl Neposredno vrednotenje formul ACTL v zagatnih stanjih Posredno vrednotenje formul ACTL v zagatnih stanjih Vrednotenje formul ACTLW v zagatnih stanjih Preverjanje modela z ACTLW Kodiran LTS Diagnostična pot za operatorje ACTLW Diagnostična pot za operatorja EEW in AAU v LTS-ju z zagatnimi stanji Linearna priča in protiprimer pri ACTLW Trivialna linearna priča in protiprimer Zaporedje dogodkov, ki potrjuje oz. zavrača veljavnost formule ACTLW Praktična priča in protiprimer pri ACTLW Končni avtomat Avtomat prič in protiprimerov za ACTLW xxiii

22 xxiv KAZALO DEFINICIJ

23 Kazalo primerov Pomen nekaterih osnovnih formul ACTL Preizkus vzorcev formul ACTLW in ACTL Neposredno in posredno vrednotenje formul ACTL v zagatnih stanjih Tvorjenje enostavne diagnostike Linearne priče Tvorjenje praktične priče in protiprimera Tvorjenje avtomata prič Avtomati prič in protiprimerov za formule ACTL Verifikacija algoritmov za medsebojno izključevanje Verifikacija asinhronih vezij za medsebojno izključevanje xxv

24 xxvi KAZALO PRIMEROV

25 Poglavje 1 Uvod 1.1 Predstavitev problema Logično sklepanje je eden od osnovnih znanstvenih principov, ki so ga poznale in uporabljale že najzgodnejše civilizacije. Sodobna družba spoštljivo odkriva dela starogrških in drugih filozofov, ki jasno izpričujejo, da sklepi, dobljeni s pomočjo logičnega razmišljanja, brezpogojno držijo vsaj tako dolgo, dokler se ne spremenijo predpostavke, iz katerih so bili izpeljani. Moderen človek, vajen hitro spreminjajočega se sveta in nestanovitnega življenja, je ob takih tisočletnih resnicah upravičeno osupel in čuti neizmerno željo po njihovem odkrivanju. Hkrati pa si želi, da bi lahko tako trdne sklepe sprejel tudi na drugih področjih svojega življenja, npr. glede pravilnosti delovanja raznih strojev in naprav, od katerih je vedno bolj odvisen. Logika je interdisciplinarna veda. Kot vsa ostala znanost ima svoje korenine v filozofiji starega veka. Po izoblikovanju specifičnih znanstvenih ved je našla svoje mesto v vsaki od njih, še posebej močno pa se je razvijala v okviru matematike in sodobne filozofije v zadnjem stoletju prejšnjega tisočletja. Značilno je, da je med logiko v filozofiji in logiko v matematiki precejšen razkorak. Medtem ko filozofi razmišljajo predvsem o logičnih problemih in o moči različnih logičnih sistemov, se matematiki posvečajo predvsem notaciji in logičnemu računanju. Velik prelom se je v logiki zgodil s pojavom računalništva. Računalnik je determinističen stroj. Logični problemi so rešljivi z računalnikom le, če jih lahko predstavimo in izračunamo v okviru omejenega logičnega sistema, za katerega za vse njegove operacije obstajajo računalniški algoritmi. Pojav računalnikov je spodbudil konvergenco filozofskih in matematičnih pristopov, kot rezultat pa so nastali številni logični sistemi, ki črpajo ideje od filozofov, notacijo in strukturo pa od matematikov. 1

26 2 1 Uvod Obsežno inženirsko področje dela, v katerem se je uveljavila uporaba logik, je računalniško podprto snovanje sistemov. Poznamo več življenjskih ciklov snovanja sistemov, ki pa so vsi sestavljeni iz podobnih korakov. Sistem začnemo snovati tako, da podamo specifikacijo zahtev sistema. Specifikacija zahtev sistema je opis željenega obnašanja sistema in se običajno nanaša predvsem na to, kako naj sistem komunicira z okolico. Na podlagi specifikacije zahtev tvorimo specifikacijo zasnove sistema, ki bolj ali manj podrobno opisuje, kakšna bo zgradba sistema. Specifikacija zasnove sistema oz. njena abstrakcija služi kot model sistema v postopku dokazovanja skladnosti specifikacije zahtev in specifikacije zasnove, kar imenujemo formalna verifikacija. Poleg formalne verifikacije je pomembna tudi simulacija, s katero preizkušamo, kako bo sistem deloval. Za simulacijo potrebujemo izvedljivo specifikacijo zasnove sistema. Po uspešni formalni verifikaciji in/ali simulaciji sistema sledi izvedba sistema. Pravilnost zasnove sistema ne zagotavlja pravilnosti obnašanja izvedenega sistema, zato izvedeni sistem testiramo. Testiranje sistema je eksperimentalno izvajanje izvedenega sistema, pri katerem se preveri, ali izvedeni sistem ustreza specifikaciji zahtev. Cilj snovanja sistemov je pravilen sistem, kar pa je možno le, če uporabimo pravilno zasnovo sistema. S simulacijo le težko dokažemo odsotnost napak, saj bi morali simulirati vsa možna izvajanja sistema, kar pa v praksi ni mogoče. Formalna verifikacija je tako edina zanesljiva metoda preverjanja pravilnosti zasnove sistema. Še posebej je pomembna na področju snovanja elektronske, računalniške in telekomunikacijske opreme, ki postaja z leti vedno bolj kompleksna. Obenem imajo ti izdelki tudi zelo veliko tržišče, pa naj gre za vezja VLSI ali za komunikacijske protokole. Odkrita napaka v sistemu, ki se že na široko uporablja po svetu, se lahko odraža v veliki materialni škodi in hkrati izgubi zaupanja kupcev. Postavi pa se vprašanje, ali praktične sisteme v vsej njihovi kompleksnosti sploh znamo in zmoremo formalno verificirati. Razvoj metod formalne verifikacije se je začel konec 70-ih let [27, 38, 67, 82]. K razvoju je v veliki meri pripomogel hiter razvoj računalniške opreme, ki omogoča izvedbo zahtevnih algoritmov. Pomembna je iznajdba podatkovne strukture binarni odloˇcitveni graf (BDD) in algoritmov s simboličnim računanjem, pri katerih ni potrebno eksplicitno predstaviti vseh dosegljivih stanj sistema [1, 5, 11, 15, 16, 18, 44, 59, 60, 69, 76]. Najpomembnejši dejavnik, ki vzpodbuja nadaljnji razvoj, je kompleksnost sistemov, ki zelo presega zmožnosti človekovega celovitega razumevanja in je zato formalna verifikacija pri njihovem snovanju enostavno nujna. Ena od bolj učinkovitih metod formalne verifikacije sistema je preverjanje modela [24, 42, 45, 57], pri katerem specifikacijo zahtev podamo v obliki formul temporalne logike

27 1.1 Predstavitev problema 3 [17, 46, 61]. S preverjanjem modela preverimo, ali je struktura, ki predstavlja model sistema, hkrati tudi model logičnih formul. Preverjanje modelov je zelo primerna in uspešna metoda formalne verifikacije v inženirskih in industrijskih okoljih. Uporabljamo jo lahko neposredno za verifikacijo zasnove sistemov ali posredno za generiranje testnih primerov [19]. Preverjanje modelov v splošnem omogoča generiranje prič in protiprimerov, s katerimi potrdimo oz. ovržemo, da dana formula v danem stanju drži in s tem formalno pokažemo, zakaj sistem ima oz. nima zahtevane lastnosti [23, 39, 47, 78]. Najboljše rezultate dobimo, če metodo preverjanja modelov kombiniramo z drugimi metodami, npr. s preverjanjem ekvivalence modelov [6, 26, 37]. V realnih okoljih se srečujemo z zelo velikimi sistemi, ki pa jih lahko uspešno obvladujemo npr. s tehniko abstrakcije [22, 36], s katero zmanjšujemo modele ter iz specifikacije zasnove izluščimo tisti del, ki ga želimo verificirati. Izvedba preverjanja modela je v veliki meri odvisna od tega, kakšne vrste je model, ki predstavlja zasnovo sistema. Tako kot v računalništvu poznamo različne vrste programskih jezikov (proceduralne, objektno orientirane, logične, funkcijske...), obstaja tudi več vrst formalizmov za podajanje modelov. V grobem jih lahko razdelimo na tiste, ki poudarjajo stanja (npr. od 6.30 do 7.00 se peljem v službo, od 7.00 do sem v službi itd.) in tiste, ki poudarjajo dogodke (npr. ob 6.30 sem odpeljal od doma, ob 7.00 sem prispel v službo, ob grem domov itd.) Temporalna logika, s katero podamo specifikacijo zahtev, mora biti skladna s formalizmom, ki je uporabljen v modelu. Za modele, ki temeljijo na stanjih, sta se uveljavili temporalni logiki LTL in CTL [20, 30, 53, 77]. Bolj pestro je pri modelih, ki temeljijo na dogodkih. Leta 1985 sta M. Hennessy in R. Milner vpeljala preprosto procesno logiko, ki je danes znana kot Hennessy-Milnerjeva logika (HML) [43]. Njuno delo je leta 1989 razširil C. Stirling in predlagal svojo varianto HML-ja [80]. Leta 1990 sta R. De Nicola in F. Vaandrager definirala HMLU, ki je razširitev HML-ja z operatorjem until [72]. Ista avtorja sta istega leta svojo logiko tudi razširila in vpeljala akcijsko logiko dreves izvajanj (ACTL) [32, 70, 71], ki sta jo označila kot izpeljanko CTL-ja. Kljub navedbam o podobnosti sta skladnja in semantika formul ACTL in CTL toliko vsaksebi, da ne moremo učinkovito uporabljati analogije niti pri algoritmih za izvedbo formalne verifikacije niti pri izražanju lastnosti. ACTL je uspešno integrirana v kar nekaj orodjih, npr. v orodju Severo [34], CADP toolbox [35, 54, 55] in JACK [3, 8, 10, 33]. Pomembna temporalna logika, ki vsebuje pojem dogodka, je tudi modalni µ-račun, ki ga je leta 1983 vpeljal D. Kozen [2, 12, 40, 48]. Modalni µ-račun je izrazno močnejši od vseh naštetih logik, vendar pa ravno zaradi velike izrazne moči ne omogoča učinkovitega preverjanja modela. Dober kompromis med izrazno močjo in možnostjo učinkovitega preverjanja modela je µ-actl [31].

28 4 1 Uvod 1.2 Vsebina doktorske disertacije Izhodišče te doktorske disertacije je vprašanje, ali obstaja logika, ki elegantno združuje lastnosti logik CTL in ACTL in omogoča učinkovito preverjanje modela, vključno s tvorjenjem diagnostike, prič in protiprimerov. Kot odgovor definiramo in raziščemo novo logiko ACTLW, ki izpolnjuje ta pričakovanja. Poglavje 2 se začne s teoretičnimi osnovami, ki so potrebne za razumevanje temporalnih logik. Na kratko so predstavljene negibne točke, modeli in temporalne logike. Sledi razdelek o Kripkejevi strukturi in logiki CTL. Pri CTL je uporabljena definicija, ki vsebuje temporalni operator dosledni until. Ta definicija omogoča najbolj nazorno primerjavo z logikama ACTL in ACTLW, predstavljenima v nadaljevanju. Nato so podane najpomembnejše ekvivalence, ki veljajo v CTL, razdelek pa se zaključi z opredelitvijo operatorjev CTL z izrazi z negibno točko. Sledi razdelek, v katerem so predstavljeni označeni sistemi prehajanja stanj in logika ACTL. Razdelek 2.4 je najpomembnejši razdelek v tej doktorski disertaciji. Podaja definicijo logike ACTLW. ACTLW je izjavna temporalna logika razvejanega časa, ki je izpeljana iz logik CTL in ACTL, namenjena pa je izražanju lastnosti modelov, ki vsebujejo dogodke. Podane so ekvivalence, ki veljajo v ACTLW, in opredelitev operatorjev ACTLW z izrazi z negibno točko. Naslednji razdelek je posvečen preslikavam med logikami CTL, ACTL in ACTLW, nato pa so za vse tri logike podani vzorci formul. V zadnjem razdelku poglavja 2 je definicija logike ACTLW razširjena tako, da omogoča tudi preverjanje modelov z zagatnimi stanji. Poglavje 3 govori o preverjanju modela z logiko ACTLW. Osredotočeno je na globalno preverjanje modela z ACTLW s simboličnimi metodami. Opisana sta dva različna pristopa k preverjanju modela z ACTLW. Prvi temelji na razreševanju operatorjev EEU, EEW, AAU in AAW, drugi pa na razreševanju operatorjev EEU, EEG, AAW in AAF. Izvedba sledi podani teoriji, zato so najprej predstavljeni algoritmi za modele brez zagatnih stanj, v zadnjem razdelku pa so nato dopolnjeni tako, da omogočajo preverjanje modela z zagatnimi stanji. Poglavje 4 predstavlja tvorjenje diagnostike pri ACTLW, tvorjenje linearnih prič in protiprimerov pri ACTLW in tvorjenje avtomatov prič in protiprimerov za ACTLW. Izvedba je oprta na definicijo diagnostičnih poti za opeatorje ACTLW ter definicijo praktičnih prič in protiprimerov za ACTLW. Poglavje 5 se začne s kratko predstavitvijo našega orodja za formalno verifikacijo EST. Nato sta podana dva večja primera preverjanja modela z ACTLW. Oba sta povezana s praktičnim problemom medsebojnega izključevanja, za katerega v literaturi obstajajo številne

29 1.3 Izvirni znanstveni prispevki doktorske disertacije 5 pravilne, pa tudi nekatere napačne rešitve. V doktorski disertaciji je najprej verificirana programska rešitev, torej algoritmi za medsebojno izključevanje, nato pa še dve asinhroni vezji za porazdeljeno medsebojno izključevanje. V slednjem primeru je nekoliko bolj podrobno predstavljen postopek načrtovanja in modeliranja asinhronih vezij. V kratkem zaključku v poglavju 6 strnemo najpomembnejše ugotovitve doktorske disertacije. Sledi seznam uporabljene literature in dva dodatka. V prvem podajamo dokaz izreka o najmanjši zadostni množici operatorjev za CTL, v drugem pa podrobno obravnavamo pretvorbo formul ACTLW v formule ACTL. 1.3 Izvirni znanstveni prispevki doktorske disertacije Doktorska disertacija vsebuje več izvirnih znanstvenih prispevkov, ki jih lahko kategoriziramo v tri skupine. 1. Definicija nove temporalne logike ACTLW Formalno smo definirali novo temporalno logiko ACTLW, ki je namenjena izražanju lastnosti modelov, ki temeljijo na dogodkih. Pokazali smo, da je ACTLW fleksibilnejša in tudi izraznejša od ACTL, ki sta jo leta 1990 vpeljala R. De Nicola in F. Vaandrager. Podali smo preslikave iz CTL v ACTLW, iz ACTLW v CTL in iz ACTL v ACTLW. Predstavili smo vzorce formul ACTLW, ki omogočajo učinkovito uporabo te logike v inženirskih okoljih. Osnovno definicijo logike smo razširili tako, da zajame tudi modele z zagatnimi stanji. 2. Izvedba preverjanja modela z ACTLW Opisali smo globalno preverjanje modela z ACTLW z uporabo simboličnih metod. Podali smo rešitev, ki temelji na razreševanju operatorjev EEU, EEW, AAU in AAW, in tudi rešitev, ki temelji na razreševanju operatorjev EEU, EEG, AAW in AAF. 3. Tvorjenje diagnostike ter prič in protiprimerov pri ACTLW Vpeljali smo pojem diagnostične poti za ACTLW. Podali smo postopek za tvorjenje diagnostike pri ACTLW, postopek za tvorjenje linearnih prič in protiprimerov pri ACTLW ter postopek za tvorjenje avtomatov prič in protiprimerov pri ACTLW.

30 6 1 Uvod

31 Poglavje 2 Temporalne logike CTL, ACTL in ACTLW 2.1 Teoretične osnove Negibna točka Relacija R je delno urejena, če je refleksivna ( a. ara), antisimetrična ( a, b. (arb bra) = a = b) in tranzitivna ( a, b, c. arb brc = arc). Naj bo množica A delno urejena z relacijo. Če v A obstaja tak element a min, za katerega velja b A. a min b, potem je a min najmanjši element v množici A. Če v A obstaja tak element a max, za katerega velja b A. b a max, potem je a max najveˇcji element v množici A. Imejmo množico A, ki je delno urejena z relacijo, in naj bo f : A A funkcija, ki preslikuje elemente množice A med seboj. Velja: 1. f je monotono narašˇcajoˇca, če za vsak a, b A velja a b = f(a) f(b). 2. f je monotono padajoˇca, če za vsak a, b A velja a b = f(b) f(a). 3. f je monotona, če je f monotono naraščajoča ali monotono padajoča. 4. Element a A je negibna toˇcka funkcije f, če velja a = f(a). Naj bo F ix(a) množica vseh negibnih točk funkcije f : A A. Če v množici F ix(a) obstaja najmanjši element, ga imenujemo najmanjša negibna toˇcka. Najmanjšo negibno točko funkcije f : A A označimo kot lfp A Z. f(z). 7

32 8 2 Temporalne logike CTL, ACTL in ACTLW Če v množici F ix(a) obstaja največji element, ga imenujemo najveˇcja negibna toˇcka. Največjo negibno točko funkcije f : A A označimo kot gfp A Z. f(z). Imejmo množico A, ki je delno urejena z relacijo, in funkcijo f : A A. Vpeljimo relacijo, za katero velja a b b a, in kompozicijo n funkcij f, ki jo zapišemo kot f n (a) = (f f... f)(a). Dokažemo lahko naslednje izreke: 1. Če je f monotono naraščajoča, potem za vsak a A velja: a f(a) f 2 (a)... Če je f monotono padajoča, potem za vsak a A velja: a f(a) f 2 (a) Če velja f i+1 (a) = f i (a), potem je f i (a) negibna točka funkcije f. 3. Če je A končna in f monotona, potem a A i. f i+1 (a) = f i (a). 4. Če je A množica, v kateri obstaja najmanjši element a min, če je f monotona funkcija in če je f i (a min ) negibna točka funkcije f, potem je f i (a min ) najmanjša negibna točka funkcije f. 5. Če je A množica, v kateri obstaja največji element a max, če je f monotona funkcija in če je f i (a max ) negibna točka funkcije f, potem je f i (a max ) največja negibna točka funkcije f. Kot poseben primer računanja negibne točke vzemimo funkcijo, ki med seboj preslikuje podmnožice dane množice. Imejmo končno množico U in množico množic S = 2 U, ki je delno urejena z relacijo. Za funkcijo f : S S velja: 1. Če je f monotona funkcija, potem obstaja vsaj ena negibna točka funkcije f. 2. Če je f monotona funkcija, potem obstajata najmanjša in največja negibna točka funkcije f. Najmanjša negibna točka funkcije f je enaka preseku, največja negibna točka funkcije f pa uniji vseh negibnih točk funkcije f. 3. Če je f monotona in f i ( ) negibna točka funkcije f, potem je f i ( ) najmanjša negibna točka funkcije f. 4. Če je f monotona in f i (U) negibna točka funkcije f, potem je f i (U) največja negibna točka funkcije f.

33 2.1 Teoretiˇcne osnove Model Model sistema je abstraktna predstavitev sistema, ki opisuje njegovo obnašanje skozi čas. V doktorski disertaciji nas zanimajo predvsem modeli sistemov s soˇcasnostjo. Sistemi s sočasnostjo so vsi taki sistemi, ki so zgrajeni iz več v prostoru ločenih delov, ki se izvajajo sočasno in med izvajanjem med seboj komunicirajo. Komunikacija se lahko odvija s pomočjo pošiljanja sporočil, skupnih spremenljivk ali pa s sinhronim izvajanjem določenih dogodkov [30, 49]. Sistem s sočasnostjo okolica dojema kot celoto, npr. telefonsko omrežje je za načrtovalce in vzdrževalce sistem s sočasnostjo, sestavljen iz terminalnih naprav in central (v širšem pomenu besede), za uporabnike pa je celota, ki ponuja določene storitve. Pomemben problem pri obdelavi sistemov s sočasnostjo je, kako na osnovi modelov posameznih elementov sistema tvoriti en sam model, ki predstavlja celoten sistem, kar imenujemo sestavljanje modelov. Modeli sistemov s sočasnostjo so strukture, sestavljene iz vozlišč, ki jih imenujemo stanja, in usmerjenih povezav med njimi, ki jih imenujemo prehodi. Množico vseh stanj modela imenujemo prostor stanj. Prehajanje med stanji modela imenujemo izvajanje modela. Vsako izvajanje modela ustreza nekemu izvajanju sistema, seveda pa zaradi abstrakcije vsak prehod modela ponazarja manjši ali večji del izvajanja sistema. Vsakemu izvajanju modela pripišemo scenarij izvajanja, ki opisuje, kako sta se med izvajanjem obnašala model in njegova okolica. V splošnem nas zanimajo vsi možni scenariji v sistemu, lahko pa se omejimo le na nekatere izmed njih, npr. z vpeljavo poštenostnih omejitev [30]. Če se model ob istem obnašanju okolice vedno obnaša na enak način, potem je model deterministiˇcen, v nasprotnem primeru pa je model nedeterministiˇcen. Obnašanje modela je skupek veličin, katerih pojav, prisotnost oz. vrednost lahko opazujemo. Glede na to, kaj so opazovane veličine, ločimo modele, ki temeljijo na stanjih, modele, ki temeljijo na dogodkih in kombinirane modele. V modelih, ki temeljijo na stanjih, so opazovane veličine lastnosti posameznih stanj. V modelih, ki temeljijo na dogodkih, so opazovane veličine lastnosti posameznih prehodov. Kombinirani modeli so kombinacija teh dveh pristopov. Primeri struktur, ki pogosto služijo kot model, ki temelji na stanjih, so končni avtomat, končni avtomat stanj in Kripkejeva struktura. Primer strukture, ki pogosto služi kot model, ki temelji na dogodkih, je označen sistem prehajanja stanj. Da lahko modele obdelujemo avtomatično z računalnikom, moramo iz tehničnih vzrokov (omejen pomnilnik) ponavadi zahtevati, da ima model končno število stanj, končno število prehodov in končno število veličin, ki jih opazujemo, pri čemer ima vsaka veličina tudi končno zalogo vrednosti. Zaradi teh predpostavk je potrebno pri interpretaciji rezultatov, dobljenih na osnovi modela, upoštevati, do kolikšne mere uporabljeni model verodostojno predstavlja pravi sistem.

34 10 2 Temporalne logike CTL, ACTL in ACTLW Temporalna logika Temporalne logike so zgrajene nad izjavno logiko. Slovnico izjavne logike sestavljajo simboli, ki označujejo atomarne izjave, simboli za logične operatorje (,, in drugi) ter oklepaji. Vsaka atomarna izjava je bodisi pravilna bodisi nepravilna. Pomen logičnih operatorjev je definiran s pravilnostnimi tabelami, tako da: izjava p je pravilna, če in samo če izjava p ni pravilna, izjava p q je pravilna, če in samo če sta izjavi p in q obe pravilni, izjava p q je pravilna, če in samo če je pravilna izjava p ali izjava q ali pa obe, itd. Izjavna logika omogoča sklepanje o veljavnosti sestavljenih izjav na osnovi poznavanja veljavnosti atomarnih izjav. Sestavljeno izjavo ovrednotimo tako, da jo izpeljemo iz atomarnih izjav s pomočjo aksiomov in izrekov. Filozofi so najbolj priročne izreke poimenovali z latinskimi imeni, npr. modus ponens ( (p (p = q)) = q) in modus tollens ( ( q (p = q)) = p). Sestavljeno izjavo lahko ovrednotimo tudi tako, da zgradimo njeno pravilnostno tabelo oz. strukturo, ki inducira pravilnostno tabelo. Ena od nadgradenj izjavne logike so modalne logike, pri katerih je veljavnost atomarnih izjav odvisna od sveta, v katerih jih interpretiramo. Tako je lahko neka izjava pravilna v vseh možnih svetovih, v nobenem ali pa le v nekaterih od njih. Če privzamemo, da so različni svetovi pravzaprav isti svet, v katerem pa se veljavnost izjav skozi čas spreminja, dobimo temporalne logike [30, 81]. V temporalnih logikah slovnico izjavne logike dopolnimo s temporalni operatorji, ki izražajo, kako je z veljavnostjo izjave skozi čas, npr. izjava je v prihodnosti vsaj enkrat pravilna, izjava je v prihodnosti ves čas pravilna itd. Če privzamemo razvejan tok časa, potem moramo v temporalno logiko dodati tudi kvantifikatorje poti, s katerimi izrazimo, na katere poti skozi čas se dana temporalna formula nanaša, npr. na vsaj eno pot, na vse poti, na poti z določeno lastnostjo itd. Temporalni operatorji se običajno nanašajo na prihodnost, lahko pa vpeljemo tudi temporalne operatorje, ki se nanašajo na veljavnost izjav v preteklosti. Temporalne logike so se po letu 1977, ko je bila v [74] predstavljena njihova uporabnost pri sklepanju o pravilnosti računalniških programov, zelo uveljavile na področju formalne verifikacije sistemov. Pomemben mejnik pri njihovi uporabi je vpeljava avtomatičnega preverjanja veljavnosti temporalnih formul v dani končni strukturi, kar imenujemo preverjanje modela [21, 24]. Primeri temporalnih logik, ki omogočajo učinkovito preverjanje modela, so linearna temporalna logika (LTL), logika dreves izvajanj (CTL) in akcijska logika dreves izvajanj (ACTL). Razen teh so dandanes na področju formalne verifikacije sistemov priljubljene tudi Hennessy-Milnerjeva logika (HML), modalni µ-račun, temporalna logika akcij (TLA) in razne razširitve omenjenih logik z vpeljavo realnega časa.

35 2.2 Kripkejeva struktura in CTL 2.2 Kripkejeva struktura in CTL 11 Kripkejeva struktura je nedeterminističen model, v katerem so stanja označena z atomarnimi izjavami. Uporabljamo je v povezavi s formalizmi, ki temeljijo na stanjih. V disertaciji za Kripkejevo strukturo zahtevamo, da ima natanko eno začetno stanje in totalno prehajalno relacijo. V splošnem to ni nujno. Definicija 2.1 (Kripkejeva struktura) Kripkejeva struktura (KS) je petorka K = (S, AP, L, D, s 0 ), kjer je S množica stanj, AP je neprazna množica atomarnih izjav, L : S 2 AP je označevalna funkcija, ki vsakemu stanju priredi množico atomarnih izjav, veljavnih v tistem stanju, D S S je totalna prehajalna relacija, s 0 S pa je začetno stanje. Če sta množica stanj in množica atomarnih izjav v KS končna, potem je to konˇcna KS. Element (s, s ) D predstavlja prehod iz stanja s v stanje s. Če obstaja prehod (s, s ) D, potem je stanje s naslednik stanja s, stanje s pa prednik stanja s. Ker je D totalna relacija, ima vsako stanje v KS vsaj enega naslednika. Z oznako D(s) označimo množico vseh naslednikov stanja s. Pot π v KS je tâko končno ali neskončno zaporedje stanj v KS p 0, p 1,..., da za vsaki dve zaporedni stanji p i in p i+1 na poti velja (p i, p i+1 ) D. Neskončno pot v KS imenujemo polna pot v KS. Posamezna stanja na poti π označimo z oznako π(i). Pri tem je π(0) prvo stanje na poti π in π(i+1) je stanje na poti π, ki je takoj za stanjem π(i). Definicija 2.2 (Drevo izvajanj) Drevo izvajanj je KS z neskončnim številom stanj, v kateri začetno stanje s 0 nima prednikov, vsa druga stanja s s 0 pa imajo natanko enega prednika. Za vsako KS K = (S, AP, L, D, s 0 ) obstaja pripadajoˇce drevo izvajanj ct(k) = (S, AP, L, D, s 0 ), katerega množica stanj je izomorfna množici končnih poti v K. Zgradimo ga lahko na naslednji način [30]: S vsebuje vse končne poti v K, ki se začnejo v njenem začetnem stanju, s 0 je pot, ki vsebuje le začetno stanje s 0, (π, π ) D, če in samo če π =p 0,..., p n, π = p 0,..., p n, p n+1, (p n, p n+1 ) D in za vsako pot π = p 0,..., p n v K velja L (π) = L(p n ). Primer KS in del pripadajočega drevesa izvajanj sta prikazana na sliki 2.1.

36 12 2 Temporalne logike CTL, ACTL in ACTLW a) p b) p q p, q q q p, q p, q q q p, q q q p, q Slika 2.1: Kripkejeva struktura in del pripadajočega drevesa izvajanj Logika dreves izvajanj (CTL) [21] je izjavna temporalna logika razvejanega časa. Abeceda CTL sestoji iz simbolov za atomarne izjave, Boolovih operatorjev, temporalnih operatorjev in kvantifikatorjev poti. V CTL pred vsakim temporalnim operatorjem stoji kvantifikator poti in skupaj ju imenujemo operator CTL. Ker operatorji CTL vedno vsebujejo kvantifikator poti, spadajo med temporalne operatorje povsod razvejanega ˇcasa. CTL je navadno definirana z operatorjema next in nedosledni until kot osnovnima temporalnima operatorjema. Za primerjavo z logikama ACTL in ACTLW pa je najbolj primerna definicija, ki uporablja temporalni operator dosledni until [30]. Definicija 2.3 (Logika dreves izvajanj) Naj bo K = (S, AP, L, D, s 0 ) Kripkejeva struktura. Skladnja CTL nad K je definirana z naslednjo slovnico, kjer je λ AP atomarna izjava, E in A sta kvantifikatorja poti, U > pa temporalni operator dosledni until: ϕ ::= λ ϕ ϕ ϕ E γ A γ γ ::= ϕ U > ϕ Zadoščenje formule stanja ϕ v stanju s (s = K ϕ) in formule poti γ na polni poti π (π = K γ) je induktivno definirano z naslednjimi pravili: s = K λ če in samo če λ L(s); s = K ϕ če in samo če s = K ϕ; s = K ϕ ϕ če in samo če s = K ϕ ali s = K ϕ ; s = K E γ če in samo če obstaja taka polna pot π v K, da je π(0)=s in π = K γ; s = K A γ če in samo če za vse polne poti π v K: π(0) = s = π = K γ; π = K ϕ U > ϕ če in samo če obstaja tak i 1, da je π(i) = K ϕ in za vse 1 j i 1: π(j) = K ϕ. Za lažje izražanje uporabljamo true v pomenu λ λ, kjer je λ poljubno izbrana atomarna izjava, in false, ki pomeni true. Uporabljamo tudi razne Boolove operatorje, na primer ϕ ϕ pomeni ( ϕ ϕ ). Če s = K ϕ, pravimo, da ϕ velja v stanju s. Ko je KS

37 2.2 Kripkejeva struktura in CTL 13 razvidna iz sobesedila, pišemo s = ϕ namesto s = K ϕ. Formula CTL ϕ velja v dani KS K (pišemo K = ϕ), če in samo če ϕ velja v začetnem stanju K. Formula CTL velja v KS natanko takrat, ko velja v njej pripadajočem drevesu izvajanj. Vpeljemo lahko naslednje uporabne operatorje CTL: EX ϕ E[false U > ϕ] EF > ϕ E[true U > ϕ] EG > ϕ A[true U > ϕ] E[ϕ W > ϕ ] A[ ϕ U > ( ϕ ϕ )] AX ϕ E[false U > ϕ] AF > ϕ A[true U > ϕ] AG > ϕ E[true U > ϕ] A[ϕ W > ϕ ] E[ ϕ U > ( ϕ ϕ )] Predstavljene operatorje CTL imenujemo dosledni temporalni operatorji, ker obravnavajo le tiste dele poti, ki so dosledno v prihodnosti. Pri CTL se bolj pogosto uporabljajo nedosledni temporalni operatorji, ki upoštevajo sedanjost in ki jih lahko vpeljemo takole: EF ϕ ϕ EF > ϕ EG ϕ ϕ EG > ϕ E[ϕ U ϕ ] ϕ (ϕ E[ϕ U > ϕ ]) E[ϕ W ϕ ] ϕ (ϕ E[ϕ W > ϕ ]) AF ϕ ϕ AF > ϕ AG ϕ ϕ AG > ϕ A[ϕ U ϕ ] ϕ (ϕ A[ϕ U > ϕ ]) A[ϕ W ϕ ] ϕ (ϕ A[ϕ W > ϕ ]) Dosledni in nedosledni operatorji CTL se razlikujejo samo v obravnavi prvega stanja na poti, ki ga dosledni operatorji CTL ignorirajo. Na primer, formula AG > q velja v KS na sliki 2.1, medtem ko formula AG q v tej KS ne velja. Izrek 2.1 (Ekvivalence med formulami CTL z razliˇcnimi operatorji) E[false U > ϕ] = E[false W > ϕ] = EX ϕ = AX ϕ A[false U > ϕ] = A[false W > ϕ] = AX ϕ = EX ϕ E[true U > ϕ] = A[ ϕ W > false] = EF > ϕ = AG > ϕ A[true U > ϕ] = E[ ϕ W > false] = AF > ϕ = EG > ϕ E[ϕ U > ϕ ] = A[ ϕ W > ( ϕ ϕ )] A[ϕ U > ϕ ] = E[ ϕ W > ( ϕ ϕ )] E[ϕ W > ϕ ] = E[ϕ U > ϕ ] EG > ϕ = A[ ϕ W > ( ϕ ϕ )] AF > ϕ A[ϕ U > ϕ ] = A[ϕ W > ϕ ] AF > ϕ = E[ ϕ U > ( ϕ ϕ )] EG > ϕ Dokaz. Ekvivalence sledijo neposredno iz definicije operatorjev CTL. Izrek 2.2 (Najmanjˇsa zadostna mnoˇzica operatorjev za CTL) Če uporabljamo le nedosledne operatorje, ima najmanjša zadostna množica operatorjev za CTL 3 elemente. Eden med njimi mora biti EX ali AX, eden mora biti EG, AF, EW ali AU, eden pa mora biti EU ali AW. Če vzamemo v obzir tudi dosledne operatorje, sta za izražavo vseh ostalih dovolj dva operatorja, ker lahko EX in AX v tem primeru izpeljemo iz drugih. Dokaz. Dokaz, ki se zgleduje po [53], je v dodatku A.

38 14 2 Temporalne logike CTL, ACTL in ACTLW Izrek 2.3 (Krajˇsanje formul CTL, ki vsebujejo iste podformule) E[(ϕ ϕ ) U > ϕ ] = E[(ϕ ϕ ) U > ϕ ] = E[ϕ U > ϕ ] A[(ϕ ϕ ) U > ϕ ] = A[(ϕ ϕ ) U > ϕ ] = A[ϕ U > ϕ ] E[(ϕ ϕ ) U > (ϕ ϕ )] = E[ϕ U > (ϕ ϕ )] A[(ϕ ϕ ) U > (ϕ ϕ )] = A[ϕ U > (ϕ ϕ )] E[(ϕ ϕ ) U > (ϕ ϕ )] = E[ϕ U > (ϕ ϕ )] A[(ϕ ϕ ) U > (ϕ ϕ )] = A[ϕ U > (ϕ ϕ )] Dokaz. Ekvivalence sledijo neposredno iz definicije operatorjev CTL. Vse ekvivalence so veljavne tudi v primeru, da temporalni operator U > zamenjamo z operatorjem W > oz. z nedoslednim operatorjem U ali W. Izrek 2.4 (Opredelitev operatorjev CTL z izrazi z negibno toˇcko) Naj bo K = (S, AP, L, D, s 0 ) Kripkejeva struktura, P S in T S S. Označimo z oznako /ϕ/ K množico stanj p v K, za katera velja p = K ϕ, z oznako /P / K pa množico prehodov (p, p ) v K, za katere velja p P. Nadalje, naj bosta Φ in Φ taki funkciji 2 S S 2 S nad K, da velja p Φ (T ), če in samo če p S. (p, p ) D (p, p ) T, ter p Φ (T ), če in samo če p S. (p, p ) D = (p, p ) T. Potem lahko operatorje CTL opredelimo z naslednjimi izrazi z negibno točko: /EX ϕ/ K = Φ ( //ϕ/ K / K ) /EF > ϕ/ K = /EX(ϕ EF > ϕ)/ K = lfp Z. Φ ( //ϕ/ K / K /Z / K ) /EG > ϕ/ K = /EX(ϕ EG > ϕ)/ K = gfp Z. Φ ( //ϕ/ K / K /Z / K ) /E[ϕ U > ϕ ]/ K = /EX(ϕ (ϕ E[ϕ U > ϕ ]))/ K = lfp Z. Φ ( //ϕ / K / K //ϕ/ K Z / K ) /E[ϕ W > ϕ ]/ K = /EX(ϕ (ϕ E[ϕ W > ϕ ]))/ K = gfp Z. Φ ( //ϕ / K / K //ϕ/ K Z / K ) /AX ϕ/ K = Φ ( //ϕ/ K / K ) /AF > ϕ/ K = /AX(ϕ AF > ϕ)/ K = lfp Z. Φ ( //ϕ/ K / K /Z / K ) /AG > ϕ/ K = /AX(ϕ AG > ϕ)/ K = gfp Z. Φ ( //ϕ/ K / K /Z / K ) /A[ϕ U > ϕ ]/ K = /AX(ϕ (ϕ A[ϕ U > ϕ ]))/ K = lfp Z. Φ ( //ϕ / K / K //ϕ/ K Z / K ) /A[ϕ W > ϕ ]/ K = /AX(ϕ (ϕ A[ϕ W > ϕ ]))/ K = gfp Z. Φ ( //ϕ / K / K //ϕ/ K Z / K ) Dokaz. Opredelitev sledi iz definicije operatorjev CTL. Glej npr. [30].

39 2.3 Oznaˇceni sistem prehajanja stanj in ACTL Označeni sistem prehajanja stanj in ACTL Označeni sistem prehajanja stanj je nedeterminističen model, v katerem so prehodi označeni z dogodki. Uporabljamo ga v povezavi s formalizmi, ki temeljijo na dogodkih. Definicija 2.4 (Oznaˇceni sistem prehajanja stanj) Oznaˇceni sistem prehajanja stanj (LTS) je četvorka M = (S, Act, D, s 0 ), kjer je S množica stanj, Act množica zunanjih dogodkov (notranji dogodek τ ni v Act), D S Act {τ} S prehajalna relacija in s 0 S začetno stanje. Če sta množica stanj in množica zunanjih dogodkov v LTS-ju končna, potem je to konˇcni LTS. Trojica (s, a, s ) D predstavlja prehod iz stanja s v stanje s, ki je označen z dogodkom a. Če (s, a, s ) D, potem je stanje s a-naslednik ali preprosto naslednik stanja s, stanje s pa prednik stanja s. Prehod, ki se začne in konča v istem stanju, imenujemo zanka. Z A τ označimo množico A {τ}, z D A (s) označimo množico naslednikov stanja s, ki so dosegljiva s prehodom, označenim z dogodkom iz množice A, z DA τ (s) pa na kratko zapišemo množico D A (s) D {τ} (s). Stanje brez naslednikov imenujemo zagatno stanje. Pot π v LTS-ju je tâko končno ali neskončno izmenično zaporedje stanj in dogodkov p 0, a 1, p 1, a 2, p 2,... v LTS-ju, ki se začne in konča v stanju in za vsaki dve zaporedni stanji p i in p i+1 na poti velja (p i, a i+1, p i+1 ) D. Dogodek a i in prehod (p i 1, a i, p i ) sta i-ti dogodek in i-ti prehod na tej poti. Stanja na poti π označujemo kot π(i). Pri tem je π(0) prvo stanje na poti π in π(i+1) je stanje na poti π, ki je takoj za stanjem π(i) (slika 2.2). a 1 a 2 a 3 π(0) π(1) π(2)... Slika 2.2: Pot v označenem sistemu prehajanja stanj Končno pot, ki se konča v stanju brez naslednikov, imenujemo konˇcna polna pot v LTS-ju. Končno polno pot z enim samim stanjem in brez dogodkov imenujemo prazna pot. Končno polno pot z vsaj enim dogodkom, ki se začne in konča v istem stanju, imenujemo cikel. Zaporedje dogodkov na poti π označimo z act(π). Število dogodkov na končni poti π označimo z len(π). Stanje, v katerem se začne tâka neskončna pot, na kateri so vsi dogodki notranji dogodki τ, imenujemo divergentno stanje. Nad LTS-ji so definirane nekatere pomembne ekvivalenčne relacije, na primer stroga opazovalna ekvivalenca, šibka opazovalna ekvivalenca in vejitvena opazovalna ekvivalenca [32, 72].