符号化模型检测CTL

第28卷 第11期2005年11月

计 算 机 学 报

CH INESE JOURNA L OF COM PU TERS

V ol.28N o.11

No v.2005

收稿日期:2004-08-29;修改稿收到日期:2005-07-14.本课题得到国家自然科学基金(60496327,10410638,60473004)、广东省自然科学

基金团队项目(04205407)与教育部留学回国人员科研启动基金以及上海市智能信息处理重点实验室(筹)开放课题资助.苏开乐,男,1964年生,教授,博士生导师,研究兴趣包括模型检测、知识推理、非单调推理、多智能体系统、模态逻辑、时态逻辑、概率推理、安全协议验证和逻辑程序设计等.E -mail:issraymond@https://www.360docs.net/doc/4051348.html,.骆翔宇,男,1974年生,博士研究生,研究兴趣包括模型检测、时态逻辑、模态逻辑、知识推理、多智能体系统、安全协议验证和逻辑程序设计等.吕关锋,男,1973年出生,博士研究生,研究兴趣包括模型检测、知识推理、多智能体系统、模态逻辑、时态逻辑、概率推理、安全协议验证和逻辑程序设计等.

符号化模型检测CTL

*

苏开乐

1),2)

骆翔宇1) 吕关锋

3)

1)

(中山大学计算机科学系 广州 510275)

2)(河南科技大学电子信息工程学院 洛阳 471003)

3)(

北京工业大学计算机科学与技术学院 北京 100022)

摘 要 提出了一个关于时态逻辑CT L *的符号化模型检测算法.该算法通过所谓的tableau 构造方法来判定一个有限状态系统是否满足CT L *规范.根据该理论,作者已实现了一个基于O BDD 技术的CT L *符号化模型检测工具M CT K ,并完成了相当数量的实验.到目前为止,已知有名的符号化模型检测工具,如SM V 和N uSM V 等,都只能对CT L *的子集逻辑(如CT L ,L T L )进行检测,而文中算法的结果是令人满意的,并且当规范不是特别复杂时,高效的CT L *符号化模型检测是可能的.

关键词 模型检测;时态逻辑;有序二值判定图(O BDD)中图法分类号T P 301

Symbolic Model Checking for CTL *

SU Ka-i Le 1),2) LUO Xiang -Yu 1) LU Guan -Feng 1)

1)

(Dep artment of Comp ute r Sc ienc e ,S un Yat -S en Univ er sity ,Guang z hou 510275)

2)

(I nstitu te of E le ctr onics and I nf ormation Eng ine ering ,H enan Univ e rsity of S cie nce and T echnolog y ,L uoy ang 471003)

3)(Colle ge

of Comp ute r Science and Tec hnology ,Be ij ing Univ er sity of T echnolog y ,B eij ing 100022)

Abstract T his paper gives a symbolic m odel checking algo rithm for the temporal lo gic CT L *

.

The algo rithm determ ines w hether a finite state sy stem satisfies a form ula in CTL *

using the method of sy mbolic tableau construction.According to our algor ithm,w e had implem ented a new CT L *sym bo lic m odel checker (M CTK)by m eans of OBDD and o btained so me ex perimental re -sults.U p to now ,the w el-l kno w n sy mbolic model checking tools (SM V,N uSM V etc.)have been implem ented only for the sublo gics of CT L *,such as CTL and LTL.T he results that w e have obtained in this paper are quite sur prising and show that efficient CT L *model checking is possible w hen the specifications are not ex cessiv ely complicated.

Keywords model checking;tem poral log ic;Or dered Binary Decision Diagram s (OBDD)

1 引 言

1.1 概述

模型检测是一种被广泛使用的验证有限状态系

统满足规范的自动化技术.在这里,形式化规范被描

述为时态逻辑公式,如工具SPIN [1]及FORSPEC [2]使用的LT L (线性时态逻辑)、SMV 中使用的CT L (分支时态逻辑)[3].这些验证技术被称为时态逻辑模型检测,是由Clarke 和Em erson [4]及Queille 和

Sifakis[5]在20世纪80年代最先发展的.在这种方法中,规范被描述成命题时态逻辑公式,系统(如电路设计、协议)被模型化为状态转换系统,使用高效的搜索算法来判定规范是否在系统中成立.

对于描述状态转换系统的性质来说,时态逻辑CT L*是一种表达力很强的规范描述逻辑[6].它用时态算子描述沿计算路径的状态变化,用路径算子解释时间分支性质.很多系统性质可以用CTL或LT L表达,但有些性质只能用CT L*表达.例如, CT L*公式A(FG p) AG(EF p),表示沿着所有的计算路径,要么命题p从某一状态开始一直成立下去;要么始终存在另一计算路径,使得命题p在这条路径的某一状态上成立.可以看出CTL和LTL 均不能表达该公式.所以一个功能全面的模型检测工具应能检测CT L*公式.

大体上,有两种基本的模型检测方法.第一种方法是构造出系统的所有可达状态(例如文献[4,7]对于CTL及文献[8,9]对于LTL).但这种方法面临着状态爆炸问题,特别当系统转换关系很复杂时.使用偏序归约(partial o rder reduction)[10~12]可一定程度上减轻该问题.另一种更好的方法就是所谓的符号化方法(sy mbolic method)[13],该方法使得系统的规模得以大幅度地提高,这种提高得益于有序二值判定图(Order ed Binary Decision Diagrams,OB-DDs)[14]的使用,OBDDs是一种用来表示布尔函数的数据结构.

目前已有关于CT L[3,13]及LT L[15,16]的符号化模型检测方法.这自然导致一个问题:是否同样技术可用于CTL*的模型检测?

Emerson等在文献[6,17]里表明,CT L*模型检测有LT L模型检测一样的复杂度.Emerso n和Lei[6]已给出如何把CTL*模型检测问题转化为LT L模型检测问题的方法.考虑到这一点,Clarke 等在文献[15]中给出了将LT L检测转化为CTL模型检测的方法,同时希望通过这两种方法的结合,来解决CT L*的符号化模型检测问题.但是,从CTL*模型检测到LTL模型检测[6]不是基于OBDDs的,而LTL到CT L的转化是基于OBDDs.所以集成这两种方法是困难的.

在本文中,我们给出一个CTL*符号化模型检测算法.该算法时间复杂度和已知的CT L*算法(非符号化)相一致.同时我们指出如何构造出在实际应用中高效的CTL*模型检测工具.对于CT L规范,我们的CTL*模型检测工具和CT L符号化模型检测工具在空间和时间的花费上是相同的.另外,我们也验证了复杂的CT L*(非CTL或LTL)公式.

1.2 相关工作

在过去的15年中,在CT L*的子逻辑(CT L, LT L)的符号化模型检测方面研究者们做了很多工作.对于分支时态逻辑CT L,Em erson等基于OB-DDs实现了CTL模型检测算法[4,7],该算法能够验证超过1020个状态[3,13],甚至10120个状态的系统[18,19].

对于线性时态逻辑LT L的符号化模型检测, Clarke,Grumberg和H amaguchi[15]给出一种把LT L模型检测问题转化为带有公平性约束(fair-ness constraints)的CTL模型检测问题,从而可应用现有的CTL符号化模型检测工具(SM V)来对LT L公式进行检测.Kesten,Pnueli和Raviv[16]给出了一个一致且自包含的LTL符号化模型检测方法,不需要把LT L检测转化为CTL检测或自动机.关于CT L*模型检测,研究者们也提出了一些算法. Bhat,Cleaveland和Grum berg在文献[20]中给出了一个o n-the-fly算法.Bernholtz,Vardi和Wolper 在文献[21]中提出了另一个CTL*模型检测算法.但是,这些算法都不是符号化模型检测算法.最近, Kesten和Pnueli在文献[22]中给出了一个包含符号化模型检测和演绎验证技术的组合方法验证CT L*规范,其中的符号化模型检测算法与本文给出的比较相似,然而文献[22]中没有给出详细的证明和实验结果.

第2节给出OBDDs的扼要介绍;第3节给出时态逻辑CTL*的语法和语义;第4节给出我们的主要贡献,即CT L*的符号化模型检测算法;第5节给出算法的试验结果.第6节总结全文.

2 二值判定图(Binary Decision

Diagrams,BDDs)

BDDs是一种表示布尔函数的高效方法.它首先是作为一种简单的形式,即Binary Decision T rees被提出的.在Binary Decision Trees中每个非终结节点被布尔变量x,y,z, 标注(记为v ar(v), v为节点),终结节点用1或0标注,每个非终结节点v有两个后继节点,记为low(v)(当v赋值0时)和high(v)(当v赋值1时).BDDs通常包含有冗余,所以不是一种高效简洁的布尔函数的表达方法,因为它有和真值表一样的大小.Bry ant在文献[14]

1799

11期苏开乐等:符号化模型检测CT L*

中阐明如何通过使用两个限制来得到BDDs的规范表达:首先,变量出现的顺序要保持一致;其次,不存在同构的子树和多余的节点.概括起来,有三种方法可得到BDD的简洁规范形式:

(1)删除多余终结节点:只留下一个(1或0,或两者)终结节点,删除其余的并使指向被删除终结节点的连接指向剩下的相应节点.

(2)删除多余的非终结节点:如果二个不同节点n和m是结构上相同的子BDDs的根,则删除其中一个,并且把指向它的所有连接指向另一个.

(3)如果二非终结节点u和v有v ar(u)=var(v), low(u)=low(v)并且high(u)=high(v),则删除u 或v,并且重定向所有指向它的连接指向另一节点.

重复上述方法,直到BDD的大小不再改变,则得到BDD的唯一规范表示(OBDD).Bryant指出这可通过一从底向上的过程得到,并且是线性时间[14].另外,在OBDD中,变量赋值运算和逻辑运算都是线性时间复杂度.

3 计算树逻辑(C omputation

Tree Logic)

CT L*[4,17,23]可以表示分支时间和线性时间性质,CT L*公式由路径算子和时态算子组成.有两种路径算子,分别是A(对于所有的路径)和E(存在某些路径).时态算子用来描述沿着路径所具有的性质:X(下一状态),F(将来某些状态),G(总是)和U (直到 为止).LTL和CTL都包含于CTL*之内.

(1)如果p A P,则p是一个状态公式.

(2)如果f和g是状态公式,则 f和f g是状态公式.

(3)如果f是一个路径公式,则E(f)和A(f)是状态公式.

路径公式的语法为:

(1)如果f是一状态公式,则f也是一路径公式.

(2)如果f和g是路径公式,则 f,f g,X f,

F f,

G f及f U g是路径公式.

CT L*的子逻辑CT L和LT L定义如下:

CT L:CTL(Branching T ime Log ic)[17]公式是那些每个时态算子前必须紧跟有一路径算子的CT L*公式.

LT L:LTL(Linear Temporal Lo gic)[9]公式是那些不含有路径算子A,E的CT L*公式.

一个符号化的Kripke结构[16]是一个系统M=〈x,I,R〉,其包含如下组成部分:

(1)x={x1,x2, ,x n}是一布尔变量的有限集.每个状态都被编码为对x的一个赋值,或者是x的一个子集(为了方便,我们有时候不区分一个集合和它的特征函数).所有状态组成的集合记为S.

(2)I是系统的初始状态集合.

(3)R表示转换关系,其为一断言,把一个状态s S和其后继状态s S联系起来.令x 为x的后继版本,则状态s 是状态s的后继当且仅当

〈s,s 〉 R(x,x ),

在这里〈s,s 〉是一联合解释,其中把x x解释为s[x],把x 解释为s [x].

我们假设转换关系R是完全的:对于每个s S 有一个s s使得〈s,s 〉 R(x,x ).有时候,我们把〈s,s 〉 R(x,x )表示为〈s,s 〉 R.

定义1. 假设M=〈x,I,R〉是一Kripke结构.

①M的一条路径是一无限的状态序列〈s0,s1, 〉,使得对于每个i 0,有〈s i,s i+1〉 R和s0 I.

②如果r=〈s0,s1, 〉是M的一条路径,则用r(i)表示s i,r i表示〈s i,s i+1, 〉.

定义2. 给定一个Kripke结构M,A P是原子命题集,r是一计算路径, 是CT L*公式,定义 在r的第i步的可满足性(记为M,r,i )如下:

M,r,i p,如果p r(i).

M,r,i g1,如果M,r,i /g1.

M,r,i g1 g2,如果M,r,i g1并且M,r,i g2. M,r,i E g1,如果存在一路径r 和自然数j,使

得r (j)=r(i)并且M,r ,j g1. M,r,i A g1,如果对于所有的路径r ,存在自然

数j,使得r (j)=r(i),有M,r ,j

g1.

M,r,i X g1,如果M,r,(i+1) g1.

M,r,i g1U g2,如果存在k i,使得M,r,k g2且

对于所有i j

为方便起见,我们有时把M,r,i 记为M, r(i) .

显然,算子X,U及E足以表示CT L*中所有路径及时态算子.

给定一个Kripke结构M和一用来表示规范的状态公式f,则模型检测问题就是计算出M中那些满足公式f的所有状态,即集合:

1800计 算 机 学 报2005年

{r(i)|r 是M 中的路径并且M ,r ,i f },这是一个x 上的布尔公式.

4 关于CTL *的符号化模型检测

设 是一可能包含时态算子的CT L *

公式.我们采用文献[9,15]中的所谓tableau 构造的方法,对于一个公式 ,用 表示 是 的一个子(可能等于)公式.公式 被称为主时态的如果它的主要算子是时态算子,即 是如下形式:X 或 U .

给定一个Kripke 结构M =〈x ,I ,R 〉和一个公式 ,我们定义另一个Kripke 结构M =〈X ,I ,R 〉如下:

状态变量.M 的状态变量X 包括x 及附加的布尔变量集

x :{x | 是 的一个主时态子公式},即X

=x x

.附加变量x

在路径上某个状态为真

当且仅当公式 在该状态成立.

方便起见,我们定义一函数 ,它是把 的每一个子公式映射到x x

上的一个布尔函数:

( )=

,

是x 中的一个变量.

( ), = . ( ) ( ), = .x ,

是主时态公式.

令x 是x 的后继版本(primed version ).对于x x 上的公式 ,我们用 ( )来表示公式 x X

x X

,

即 的后继版本.

初始条件.M 的初始条件I 和M 的初始条件I 一样.

转换关系.M 的转换关系R 为R

X

(x X ( ))

U

(x U ( ( ) ( ( ) x U ))).

注1.我们关于公式 的tableau 构造与文献[15,16]中的有点不同.M 的初始状态不一定要满足 ,但是文献[15,16]中的tableau 构造使得初始状态满足 .

方便起见,我们引进文献[24]中关于CT L 的一些记号.令 为x x 上的公式,EX 为一算子,使得:

EX (x,x )= (x x )( (x ,x ) R ).算子EF 和EU 分别定义为某个单调算子的最小不动点:

EF f =lfp Z(f EX Z)和

EU (f ,g)=lfp Z(g (f EX Z)).

令J 为公式 x U ( )的集合,这里 U 是 的一个子公式.我们考察如下公平性约束(fair ness

constraints ):

C :存在一条路径,使得J 中的每个公式在该路径上成立无限多次.

我们假设J 是一非空集,此假设不失一般性,因为我们可以把tr ue 加入J .

约束条件C 可以被定义为一个最大不动点函数:

C =gfp Z

J J

EX(EU (true ,Z J )).

我们称M 中的路径r 是公平的,如果J 中的每个J 沿着路径r 被满足无限多次.

由文献[24]可知一状态满足约束条件C 当且仅当该状态在某条公平路径上,该路径使得每个J J 成立无限多次.可得如下引理.

引理1. 设M =〈x ,I ,R 〉为一Kripke 结构, 为一可能含有时态算子的公式.M =〈X ,I ,R 〉,s 是M 的一状态.则s 满足C 当且仅当s 在M 中的公平路径上.

引理2. 令M =〈x ,I ,R 〉是一Kripke 结构, 为一可能包含时态算子的公式,M =〈X ,I ,R 〉.则对于M 中的每条路径r ,存在M 中的一条公平路径r ,使得对于每个自然数u 和 中的每个子公式 ,有

①r(u)=r (u) x .

②M,r (u) 当且仅当M ,r (u) ( ).证明. 令r 为M 中的路径.我们定义M 中相应的公平路径r 如下:对于每个状态r(u),令

r (u)=r (u) {x : 是 的主时态子公式

并且M ,r (u) }.

则我们可立即得到r(u)=r (u) x ,并且对于 中的主时态子公式 ,有M ,r (u) 当且仅当M ,r (u) ( ).对于 中别的子公式 ,我们可以通过归纳法证明.显然,r 是一公平路径.证毕.

引理3. 令M =〈x ,I ,R 〉是一Kripke 结构, 是一可能包含时态算子的公式,M =〈X ,I ,R 〉.则对于M 中的任一公平路径r ,存在M 中的路径r 使得对于每个自然数u 和 中的每个子公式 有

①r(u)=r (u) x .

②M,r (u) 当且仅当M ,r (u) ( ).

1801

11期苏开乐等:符号化模型检测CT L *

证明. 令r 为M 中的一公平路径.我们定义M中的一路径r为:对于每个状态r (u),

r(u)=r (u) x.

给定 的一个子公式 ,我们对 的结构使用归纳法证明:M,r(u) 当且仅当M ,r (u) ( ).

①当 x.根据事实r(u)=r (u) x,结论立即可得.

②当 = 1或 = 1 2.根据归纳假设,及 和 的定义,易证结论.

③当 =X 1.根据X语义定义,我们有

M,r(u) 当且仅当M,r(u+1) 1,

由归纳假设可得

M,r(u+1) 1当且仅当M ,r (u+1) ( 1),再根据X的语义定义,有

M ,r (u+1) ( 1)当且仅当M ,r (u) X ( 1),由转换关系R 的定义,可得

M ,r (u) X ( 1)当且仅当M ,r (u) ( ).

④当 = 1U 2.

( )假设M,r(u) 1U 2.则对于v u, M,r(v) 2,并且对于所有的u m

(a)假设M U,r U(u)4V(W),但并非M,r(u)4 W1U W2.有两种情况:

(a)v是一自然数,且v E u使得M,r(v)4 ?W1,并且对于所有的u F m F v,有M,r(m)4 ?W2.

(b)对于所有的m E u,有M,r(m)4W1C?W2.

对于情况(a),根据归纳假设,对于v E u,有MU,r U(v)4/V(W1),并且对于所有的u F m F v,有MU,r U(m)4/V(W2).现对m使用递减归纳法证明:对于所有的u F m F v,有MU,r U(m)4/V(W).首先,根据转换关系R U和M U,r U(v)4/V(W1)及M U,r U(v)4/ V(W2),有MU,rU(v)4/V(W).假设对于所有u

对于情况(b),根据归纳假设,对于所有的m E u,有M U,r U(m)4V(W1)并且MU,r U(m)4/V(W2).所以,再根据转换关系,可得:对于所有m E u,有M U,r U(m)4V(W)当且仅当MU,r U(m+1)4V(W).所以,对于所有m E u,有M U,r U(m)4V(W)和M U,r U (m)4/V(W2).这导致矛盾,因为r U的公平性保证有无限多个m使得r U(m)满足?x W D W2.证毕.

下面的定理给出基于OBDDs的符号化验证CT L*公式的方法.

定理1.令M=〈x,I,R〉为一Kripke结构,U 为一可能包含时态算子的公式,M U=〈XU,I U,R U〉.则对于M中的每条计算路径r及每个自然数u,有M,r(u)4E UZ v xU(CUC V(U)).

证明.(])假设M,r(u)4E U.有一路径r c和一自然数v使得rc(v)=r(u)并且M,rc(v)4U.根据引理2,M U中存在一公平路径r U,使得M U,r U(v)4 V(U).并且,因为r U是一公平路径,则在其上的每个状态都必须满足CU.所以rU(v)满足CUC V(U).又因为r(u)=rc(v)=r U(v)H x,我们有r(u)G(rU(v) H xU)=r U(v).所以,可得r(u)G(r U(v)H xU)满足CUC V(U).即M,r(u)4v xU(CUC V(U)).

(a)假设M,r(u)4v xU(CUC V(U)).则r(u)满足v xU(CUC V(U)),并且存在M U中的一状态s U 使得r(u)=sUH x,并且sU满足((CU)C V(U)).根据事实s U满足C U以及引理1,可得s U在M U中的某个公平路径r U上,并且存在一自然数v使得s U= r U(v).根据引理3,M中存在一路径rc使得rc(v)= r U(v)H x,并且M,rc,v4U当且仅当r U(v)满足V(U).又因为rU(v)=s U且r(u)=s UH x,可得rc(v)= r(u).另外,根据事实r U(v)满足V(U),可得M,rc, v4U.所以M,r,u4E U.证毕.

现在我们给出CT L*的符号化模型检测算法.首先,我们给出EX,EF和EU的算法,它们分别记为CheckEX,CheckEF和CheckEU.CheckEX可根据下列方程计算:

CheckEX(f(x,xU))=v(xc Gxc U)(f(xc,xc U)C RU).

令BDD_And(f,g)和BDD_Or(f,g)分别表示公式f和g的BDDs的并及或运算,则给出Check-EU的伪代码如下:

pro cedure CheckEU(f,g)

begin

BDD a##=F alse;

BDD b##=T r ue;

while a!=b do

1802计算机学报2005年

begin

b##=a;

a##=CheckEX(a);

a##=BDD_A nd(f,a);

a##=BDD_O r(g,a);

end;

r et ur n(a);

end;

CheckEF则可根据下式得到:

CheckEF(f)=CheckEU(T rue,f).

通过CheckEX和CheckEU及计算最大不动点的算法(参见文献[24]),可得到计算公平性约束CU 的算法,下面给出其伪代码:

pr ocedure G etCo nstr aints()

/*输入:J是公平性公式集合J U;输出:表示C U的BD D*/

beg in

BDD a##=T rue;

BDD b##=F alse;

BDD c;

integ er i;

w hile a!=b do

begin

b##=a;

a##=T rue;

for i##=1to count of J do

beg in

c##=CheckEU(T r ue,BDD_A nd(b,J[i]));

a##=BDD_A nd(a,CheckEX(c));

end;

end;

r et ur n(a);

end;

定义3.令g和gc为CT L*公式,称gc为g的最大子公式,如果有以下条件成立:

①gc是g的子公式;

②gc的形式为E g1或gc是一原子命题;

③gc至少有一次不出现在g中的E的作用范围内.

例如,对于公式E(f D E(g C EF h)),则EF h是E(g C EF h)的最大子公式,但不是E(f D E(g C EF h))的最大子公式.

令M=〈x,I,R〉为一Kripke结构,g是一CT L*状态公式(如果g不是一状态公式,则验证它等于验证A g).

算法1.Check函数.

输入:Kr ipke结构M=〈x,I,R〉和CT L*状态公式g

输出:布尔函数Check(g)返回M中g在其上成立的所有状态的集合(由BD D表示)

1.把g转化为一个除算子E,X和U外,不包含别的模态算子的CT L*公式,这一步可根据下列公式得到:

(a)A f S?E?f.

(b)F f S T rueU f.

(c)G f S?F?f.

2.归纳地构造一个BDD来表示g:

(a)当g为原子命题,则返回表示g的BDD.

(b)当g=?g1,构造g1的BDD,并且返回该BDD的否定.

(c)当g=g1C g2,则构造出表示g1的BDD和表示g2的BDD,然后返回它们的并.

(d)当g=E g1,这里g1是一L T L公式,则返回BDD:

v X g

1

(C g

1

C V(g1)).

(e)当g=E g1,这里g1不是LT L公式.令f1,f2,,,

f n是g1中最大子公式的序列,并且g1=g2(f1,f2,,,f n),则返回BDD:

Check(g2(Check(f1),Check(f2),,,Check(f n))).

注2.在算法1步2的(d)中,如果g是形式为EX g1或E(g1U g2)的CTL公式,我们可简单地在Kripke结构〈x,I,R〉上直接调用CheckEX或CheckEU来得到相应的BDD:显然,这样使得效率更高,因为此时不需要构造Kripke结构M g=〈X g, I g,R g〉.我们把经过这种修改后得到的算法称为算法2.

5实验结果

我们已经在N uSMV2.1.2[25]的开放源码中实现了本文给出的CTL*的符号化模型检测算法.其中使用的OBDDs是由美国科罗拉多大学Somenzi 开发的CUDD.得到的模型检测工具我们称之为M CTK.M CTK向下兼容N uSM V,在NuSMV的输入语言中扩展了对CT L*规范的支持.这使得我们可以利用MCT K同时验证CT L,LT L和CT L*规范(NuSMV仅支持CT L和LTL).

我们在NuSM V软件包的一些实例中加入了若干CT L*规范并用M CTK加以验证,实验结果如表1所示.其中第4,6列给出验证每个规范所用BDD 的最大节点数.为便于分析实验结果,我们设计一简单的实验用例,即文献[24]中给出的微波炉例子,如图1所示.其中每个状态被原子命题标注,如果命题在该状态中为假,则用其否定标注;状态间的有向弧表示转换关系.

在该例子中有4个原子命题:S tar t表示/微波

1803

11期苏开乐等:符号化模型检测CT L*

图1微波炉例子

炉开始加热0;H eat表示/微波炉加热0;Close表示/微波炉门被关闭0;Er ror表示/出现错误0.我们验证了该例中的一些CT L*规范,下面列出3个具有代表性的CTL*规范(实验结果列于表1中实例o v-en所处的3行).

1.X H eat.即验证微波炉在下一状态将被加热.等价于验证A X H eat.

2.?H eat U Close.即验证微波炉门没关加热是不可能的.等价于验证A(?H eat U Clos e).

3.A G((?Close C Star t)→A(G?H eat D F?Er r or)).验证:无论何时有错误出现,则微波炉要么不会加热,要么重启.

从表1可以看出,如果一个CT L*规范的整体或部分子公式是CT L公式,则用算法2计算时,所用BDD节点数和计算时间通常比算法1要少;否则算法2退化为算法1,使得两算法的时空效率相同.规范1,2,4,5,9的实验结果属于前一种情况,而规范3,6,7,8,11的属于后一种情况.另外,用算法2验证规范10所需的时间比算法1少很多,但是所用BDD节点数比算法1的要多.我们认为主要是由于BDD变量的排列顺序不够优化所导致的.实际上,如果一个规范是CT L公式,用算法2得到的BDD 和用文献[24]中的CT L算法得到的BDD是一样的.我们通过验证表1中的实例证实了这一点.

表1 实验结果

实例CT L*规范结果

算法1

BDD的节点数时间(s)

算法2

BDD的节点数时间(s)

oven 1X H eat Fals e3030.012470.01 2?H eat U Close T rue4030.012530.01 3AG((?Close C Start)→A(G?H eat D F?E rr or))T rue6440.016440.01

gigamax 4?F(p0.w ritable C p1.w ritable)T rue166660.04105710.03 5(G?(p0.w rita ble C p1.w ritable))C

AGEF(p0.rea dable|p0.w r itable))

T rue640720.13245880.06 6GE(F p0.rea dable D F p0.w ritable)T rue3834790.803834790.80

production-cell7AG((s.F BM=on C?s.d eliv)→A(F(s.F BM=on C

s.d eliv)C F(s.botP os C s.minRotC s.T EM=id le C

s.T R M=id le)))

T rue1262870.461262870.46

guidance 8AGA(?cg.idle→F cg.f inished)T rue3295344.023295344.02 9

AG((cg.idle D cg.f inished)→E F(?(c g.id le C

c g.f inishe d)D EF cg.f inished))T rue2893704.322562100.58

msi_w tran 10AGEF n0.c.inv alid T rue18708185.321955754.24 11AGE(F n0.c.inv alid D F n0.c.shared)T rue485774393.05485774393.05

6结论

在本文中,我们给出了一个基于OBDD的CT L*符号化模型检测算法,实现了相应的符号化模型检测工具M CTK,并验证了N uSM V软件包中的若干实例.直到目前,已知的符号化模型检测工具,如SM V和NuSMV等,都只能对CT L*的子集(CTL,LT L等)进行验证.在本文中我们得到的结果表明,当系统规范不是非常复杂时,高效的CTL*模型检测是可能的.关于将来的工作,我们将对该算法进行扩展,使其能够处理公平性约束(fairness constraints)和过去时态算子以及区间演算(dura-tion calculus)[26].

参考文献

1H olzmann G.J..The model ch eck er SPIN.IE EE Transactions on Softw are Engineerin g,1997,23(5):279~295

2Vardi M.Y..Branching vs.linear tim e:Fin al sh ow dow n.In: Proceedings of the7th International Conferen ce on Tools an d Algorithm s for the Construction and Analy sis of Systems,L on-don,U K,2001,1~22

3M cM illan K.L..Symbolic M odel C hecking.Boston:Kluw er Academic Pub lisher,1993

4Clarke E.M.,E mer son E.A..Design and synthesis of syn-

1804计算机学报2005年

chronization sk eletons u sing b ranching-time temporal logic.In: Proceedin gs of Logic of Programs,W orksh op,Yorktow n

H eights,New York,1981,52~71

5Qu eille J.P.,Sifak is J..S pecification and verification of con-cu rren t system s in CESAR.In:Proceedin gs of International S ymposium on Programm ing,T orin o,Italy,1982,337~351 6Em ers on E.A.,Lei Ch in-Laung.M odalities for m odel chec-kin g(extend ed abstract):Bran ching tim e strik es back.In: Proceedin gs of the12th ACM SIGACT-SIGPLAN Symp os ium on Prin ciples of Programm ing Languages,New York,1985,84 ~96

7Em ers on E.A..Branch ing time temporal logic and th e design of correct con current pr ograms[Ph.D.dis sertation].H ar vard U nivers ity,Cambridge,M A,1981

8S istla A.P.,Clark e https://www.360docs.net/doc/4051348.html, plexity of propositional tem-poral logics.Journ al of the ACM,1986,32(3):733~749

9Lichten stein O.,Pnueli A..Ch ecking th at finite s tate concur-rent programs satisfy their lin ear s pecification.In:Pr oceedings of th e12th ACM SIGAC T-SIGPLAN Symposiu m on Prin ciples of Programmin g Languages,New York,1985,97~107

10Godefroid P.,Pirottin D..Refin ing depen dencies impr oves partia-l order verification m ethods(exten ded abstract).In: Cou rcoubetis C.ed..C AV,Lectu re Notes in Compu ter S c-i ence697.Spring er,1993,438~449

11Peled https://www.360docs.net/doc/4051348.html,b ining partial order redu ctions w ith on-the-fly m od e-l checkin g.Formal M eth ods in System Design,1996,8

(1):39~64

12Valmari A..A s tu bborn attack on state ex plosion.Formal M ethods in System Des ign,1992,1(4):297~322

13Bur ch J.R.,Clark e E.M.,M cM illan K.L.,Dill D.L.,

H w an g L.J..S ymbolic m odel ch eck ing:1020states an d b e-

yond.In:Proceedin gs of the5th An nual IE EE Sympos ium on Logic in Computer S cience,W as hington,D.C.,1990,1~33 14Bryant R.E..Symb olic Boolean man ipulation w ith ordered b-i nary-decision diagram s.ACM Computing Su rveys,1992,24

(3):293~318

15Clark e E.M.,Grum berg O.,Hamaguchi K..Another look at ltl m odel checking.In:Pr oceedings of th e6th Conference on Com puter Aided Verification,S tanford,Californ ia,U SA, 1994,415~427

16Kesten Y.,Pn ueli A.,Raviv L..Algor ith mic verification of

linear tem poral logic specifications.In:Lar sen K.G.,Skyum S.,Winskel G.eds..ICALP,Lecture Notes in Computer Sc-i ence1443.S pringer,1998,1~16

17Clarke E.M.,Em erson E.A.,Sistla A.P..Automatic verif-i cation of finite state con current s ystem s using tem poral logic specification s:A practical approach.In:Proceedin gs of the 10th Annual ACM Symposiu m on Principles of Programmin g Language,Austin,Texas,1983,117~126

18Burch J.R.,Clarke E.M.,Long D.E..Symbolic model ch ec-king w ith partition ed tran sition relations.In:Proceedings of the Intern ational Conferen ce on Very Large Scale Integration, Edinbu rgh,S cotland,1991,49~58

19Burch J.R.,Clark e E.M.,Lon g D.E.,M acM illan K.L., Dill D.L..S ymbolic model checking for sequential circu it ver-i fication.IEEE Trans actions on Computer-Aided Design of Inte-grated Cir cuits and Sys tems,1994,13(4):401~424

20Bhat G.,Cleavelan d R.,Gru mberg O..Efficient on-th e-fly model checking for ctl*.In:Proceedings of the10th Ann ual IEEE Symp os ium on Logic in Computer S cien ce,San Diego, Californ ia,USA,1995,388~397

21Bern holtz O.,Vardi M.Y.,W olper P..An automata-theoret-ic approach to branching-time model checking(extended ab-stract).In:Dill D.L.ed..CAV,Lecture Notes in Computer Science818.Sp ringer,1994,142~155

22Kes ten Y.,Pnueli A..A compositional approach to ctl*ver-i fication.Th eoretical Compu ter Science,2005,331(2,3):397 ~428

23Emerson E.A.,H alpern J.Y../sometimes0and/n ot n ever0 revis ited:On branching versus linear time tem por al logic.Jour-nal of th e ACM,1986,33(1):151~178

24Grumberg O.,Clarke E.M.,Peled D.A..M odel Checkin g.

Cambridge,M A:T he M IT Press,2000

25Cimatti A.,Clark e E.M.,Giunch iglia E.,Giun chiglia F., Pistore M.,Roveri M.,Sebastiani R.,Tacchella A..NuSM V Ver sion2:An OpenS ou rce tool for symbolic model checkin g.

In:Proceedin gs of the In ternation al Conference on Compu ter-Aided Verification(CAV2002),Copenhagen,Denm ark, 2002,359~364

26Zhou C hao-Chen,H oare C.A.R.,Ravn An ders P..A calcu-lus of du rations.In formation Processing L etters,1991,40(5): 269~

276

SU Kai-Le,bor n in1964,pr ofes-

sor,P h.D.super viso r.H is r esear ch in-

terests include mo del checking,r eason-

ing abo ut kno wledg e,no n-monotonic

r easo ning,mult-i agent system,modal

log ic,tempor al log ic,pro bability r ea-

soning,verificatio n o f security pro tocol,

log ic pro gr amming.

LUO Xiang-Yu,bo rn in1974,Ph.D.candidate.H is

r esear ch interests include model checking,tem po ral lo gic,

modal log ic,r easo ning about know ledg e,mult-i ag ent sys-

tem,v erificat ion of secur ity proto col,lo gic pr og ramming.

LU Guan-Feng,bo rn in1973,Ph.D.candidate.H is

r esear ch interests include model checking,reasoning about

know ledg e,mult-i ag ent sy stem,moda l log ic,tempor al lo g-

ic,pr obability r easo ning,v erificat ion of secur ity pr oto co l,

log ic pr og ramming.

1805 11期苏开乐等:符号化模型检测CT L*

Background

In t he past15year s,ther e w as many w or ks on symbolic model checking fo r the sublo gics of CT L*.Fo r t he br anch-ing-time tempor al log ic CT L,M cM illan et al.r ealized the o-r ig inal CT L mo del checking alg or ithm of Clarke and Emer son with the OBDDs representat ion for state tr ansition g raphs, and thus it is po ssible to verify some examples that had mor e than1020states,even10120stat es by using v arious refine-ments of the OBDD-based techniques by o ther researchers.

Fo r sy mbo lic L T L model checking,Clarke,G rumberg and Hamag uchi gave a wa y to r educe L T L model checking to CT L model checking with fairness const raints,co nstr ucted asy mbo lic L T L model checker using the r eduction,and also show ed ho w SM V can be ex tended to per mit L T L specifica-t ions.K esten,P nueli and Raviv gav e an interesting frame-w or k for sy mbo lic model checking specificatio ns of linear-t ime tempo ral log ic L T L w ith full fa irness into consider ation,and it was self-contained ex po sition of full L T L symbolic mo del checking w ithout resor ting to r eductions to either CT L or au-to mata.

T here was also some model checking algo rithms for the full CT L*.Bhat,Cleav e land and G rumber g presented an ef-ficient o n-t he-fly algo rit hm fo r mo del checking CT L*.Bern-ho ltz,V ardi and Wo lper sugg ested another mode-l checking alg or ithm fo r the full CT L*,w hich allo ws the on-the-fly con-str uction of the state space of a system.H owev er,these a-l g or ithms ar e not symbolic ones for CT L*mo del checking. Recently,K est en and Pnueli pr esented a compositional a p-pr oach to t he v erif ication o f CT L*pr operties o ver reactiv e systems.Bo th sy mbo lic mo de-l checking and deductiv e ver if-i cation ar e consider ed.T he mode-l checking part is similar to the sy mbo lic model checking alg or ithm of this paper.But they didn.t present the pr oofs and ex perimental r esults in de-ta il.

T his paper g iv es a symbolic model checking alg or ithm for CT L*.T he t ime co mplexity of the alg or ithm matches that of the exist ing algo rithms for model checking CT L*,or its sublog ics CT L and LT L.A ut ho rs also describe how to co nstr uct a new CT L*sy mbo lic model checker(M CT K)that appears to be efficient in practice.Fo r the specificat ions which are CT L,the CT L*model checker g et the same re-sults as the CT L mo del checker.

第一届Agent理论与应用学术会议(Agent.2006)

征文通知

由中国计算机学会模式识别与人工智能专业委员会主办、烟台大学承办的第一届Ag ent理论与应用学术会议定于2006年8月中旬在山东烟台举行.本次会议将聚集国内从事A gent理论与应用的研究人员和工程技术人员,广泛开展学术交流,研究发展战略,共同促进Ag ent理论与技术的发展和应用.本次会议录用的论文将在《计算机研究与发展》增刊上发表,部分录用论文推荐到三大刊发表.

一、征文范围(包括但不限于)

Ag ent和多A g ent结构;A gent和多Ag ent系统的形式模型;基于A gent的软件工程与方法学;A gent协商与协调;Ag ent 拍卖与电子市场;A g ent组织与联盟;A gent通信和语言;A g ent学习与规划;A gent系统的计算复杂性;多A gent系统环境与性能评价;A g ent仿真;人工社会系统;移动Ag ent;A g ent与网格计算;A gent与数据挖掘;A gent和多Ag ent系统应用;其他Ag ent理论与技术方面的内容.

二、论文要求

论文未被其它会议或期刊发表;论文包括题目、中英文摘要、关键词、正文、参考文献等,论文参照《计算机研究与发展》的格式,发电子邮件至agent2006@https://www.360docs.net/doc/4051348.html,,并请注明作者姓名、单位、通信地址、邮政编码、联系电话、电子邮件地址.

三、重要日期

征文截止日期:2006年4月30日

录用通知日期:2006年5月30日

四、联系方式

通信地址:山东烟台大学计算机学院邮政编码:264005

联系人:童向荣,娄跃荣,贺利坚

联系电话:(0535)6902538转8621;6902209转8621;6191281

会议网址:https://www.360docs.net/doc/4051348.html,;电子邮件:agent2006@https://www.360docs.net/doc/4051348.html,

1806计算机学报2005年