SPIN模型检测的发展及工作原理
SPIN安装及模型验证实验报告
实验报告实验题目：基于SPIN的LTL模型检测课程名：形式化方法*名：***学号：***************一、SPIN概述SPIN是由贝尔实验室形式化方法与验证小组用ANSI C开发，可以在所有UNIX操作系统版本使用，也可以在安装了Linux、Windows95以上版本等操作系统中使用，适合于分布式并发系统，尤其是协议一致性的辅助分析检测工具。
SPIN模型检验工具的基本思想是求两种自动机所接受语言的交集，若交集为空集，则安全特性得到验证，否则输出不满足安全特性的行为迹。
SPIN可以用于以下三种基础模型中：1）作为一个模拟器，允许快速对建立的系统模型进行随意的、引导性的或交互的仿真。
2）可以作为一个详尽的分析器，严格的证明用户提出的正确性要求是否满足（使用偏序简约进行最优化检索）。
3）用于大型系统近似性证明，用SPIN可以对大型的协议系统进行有效的正确性分析，即使这个系统覆盖了最大限度的状态空间。
二、SPIN的安装2.1安装CygwinCygwin是一个在windows平台上运行的类UNIX模拟环境，我们可以通过这个软件在windows 系统上模拟简单的unix环境。
（1）首先从官网/，下载Cygwin安装包，选择64位windows系统（2）打开软件安装包setup-x86_64.exe，界面如下：（3）选择install from Internet，下一步（4）选择安装路径（5）选择模拟的Unix环境在系统中的路径（6）选择Use Internet Explorer Proxy Setting，根据自己的网络链接状态选择（7）选择镜像，最好是选国内的，以.cn结尾或者含有.cn的，国外镜像下载速度只有几K，所以可以不用尝试。
在这里我选择的是中科大的一个镜像(8)选择要安装的包，Cygwin默认安装的东西很少，像gcc、make、X11、tcl/TK这些都没有，需要自己勾选，可以在Search中直接输入关键字进行查找。
【统计】ISING模型（1）
【统计】ISING模型（1）ISING模型简介可以毫不夸张地说，Ising模型是统计物理中迄今为止唯一的一个同时具备:表述简单、内涵丰富、应用广泛这三种优点的模型。
Ising模型的提出是为了解释铁磁物质的相变，即磁铁在加热到一定临界温度以上会出现磁性消失的现象，而降温到临界温度以下又会表现出磁性。
这种有磁性、无磁性两相之间的转变，是一种连续相变（也叫二级相变）。
Ising模型假设铁磁物质是由一堆规则排列的小磁针构成，每个磁针只有上下两个方向（自旋）。
相邻的小磁针之间通过能量约束发生相互作用，同时又会由于环境热噪声的干扰而发生磁性的随机转变（上变为下或反之）。
涨落的大小由关键的温度参数决定，温度越高，随机涨落干扰越强，小磁针越容易发生无序而剧烈地状态转变，从而让上下两个方向的磁性相互抵消，整个系统消失磁性，如果温度很低，则小磁针相对宁静，系统处于能量约束高的状态,大量的小磁针方向一致,铁磁系统展现出磁性。
而当系统处于临界温度的时候，Ising模型表现出一系列幂律行为和自相似现象。
由于Ising模型的高度抽象，人们可以很容易地将它应用到其他领域之中。
例如，人们将每个小磁针比喻为某个村落中的村民，而将小磁针上、下的两种状态比喻成个体所具备的两种政治观点（例如对A,B 两个不同候选人的选举），相邻小磁针之间的相互作用比喻成村民之间观点的影响。
环境的温度比喻成每个村民对自己意见不坚持的程度。
这样，整个Ising模型就可以建模该村落中不同政治见解的动态演化（即观点动力学opinion dynamics）。
在社会科学中，人们已经将Ising模型应用于股票市场、种族隔离、政治选择等不同的问题。
另一方面，如果将小磁针比喻成神经元细胞，向上向下的状态比喻成神经元的激活与抑制，小磁针的相互作用比喻成神经元之间的信号传导，那么，Ising模型的变种还可以用来建模神经网络系统，从而搭建可适应环境、不断学习的机器（Hopfield网络或Boltzmann机）。
Ising模型（伊辛模型）
Ising模型（伊⾟模型）Ising模型（伊⾟模型）是⼀个最简单且能够提供⾮常丰富的物理内容的模型。
可⽤于描写叙述⾮常多物理现象，如：合⾦中的有序-⽆序转变、液氦到超流态的转变、液体的冻结与蒸发、玻璃物质的性质、森林⽕灾、城市交通等。
Ising模型的提出最初是为了解释铁磁物质的相变，即磁铁在加热到⼀定临界温度以上会出现磁性消失的现象，⽽降温到临界温度下⾯⼜会表现出磁性。
这样的有磁性、⽆磁性两相之间的转变。
是⼀种连续相变（也叫⼆级相变）。
Ising模型如果铁磁物质是由⼀堆规则排列的⼩磁针构成，每⼀个磁针仅仅有上下两个⽅向（⾃旋）。
相邻的⼩磁针之间通过能量约束发⽣相互作⽤。
同⼀时候⼜会因为环境热噪声的⼲扰⽽发⽣磁性的随机转变（上变为下或反之）。
涨落的⼤⼩由关键的温度參数决定。
温度越⾼，随机涨落⼲扰越强。
⼩磁针越easy发⽣⽆序⽽剧烈地状态转变。
从⽽让上下两个⽅向的磁性相互抵消，整个系统消失磁性。
如果温度⾮常低，则⼩磁针相对宁静，系统处于能量约束⾼的状态,⼤量的⼩磁针⽅向⼀致,铁磁系统展现出磁性。
科学家对该模型的⼴泛兴趣还源于它是描写叙述相互作⽤的粒⼦（或者⾃旋）最简单的模型。
Ising模型是⼀个很easy的模型，在⼀维、⼆维、三维的每⼀个格点上占领⼀个⾃旋。
⾃旋是电⼦的⼀个内部性质。
每⼀个⾃旋在空间有两个量化⽅向。
即其指向能够向上或者向下。
虽然该模型是⼀个最简单的物理模型。
眼下仅有⼀维和⼆维的精确解。
考虑⼀维Ising模型。
M个⾃旋排成⼀排，每⼀个⾃旋与其左右两个近期邻的⾃旋之间有相互作⽤。
简单起见，我们仅仅考虑倾向于使近邻⾃旋的⽅向⼀致的相互作⽤。
⼆维正⽅Ising模型就是由N个同样的⾃旋排。
每⼀个⾃旋不但与其左右两个近期邻的⾃旋相互作⽤，并且与前后相邻的⾃旋排中两个近期邻的⾃旋相互作⽤，project了⼀个⼆维的⾃旋阵列。
三维⽴⽅Ising模型就是有L个同样的⼆维⾃旋阵列，每⼀个⾃旋与其左右、前后、上下六个近期邻的⾃旋相互作⽤。
IEEE802.11中WEP认证协议的SPIN模型检测
（．Ｓ ｈ ｏ ｆ ｏ ｕｅ ｎ ｏ １ ｃ ｏ ｌ ｍｐ ｔｒ ｄＣ ｍｍｕ ｉａｉｎ ｏＣ ａ ｎｃ ｔ ，Ｈｕ ａ ｉｅｓ ｙ ｏ ｎ ｎＵｎｖ ｒｉ ，Ｃｈ ｎ ｓ ａ １ ０ ２ ｈｎ ； ｔ ａ ｇ ｈ ８ ，Ｃ ｉａ ４０
维普资讯
第２卷 ９
Ｖｏ ． ９ １２
第３ 期
Ｎ ｏ． ３
计算 机 工 程 与设 计
Ｃｏ ｍｐ ｔ ｒＥ ｇ ｎ ｅ ｉ ｇ ａ ｄ Ｄｅ ｉ ｎ ｕ ｅ ｎ ｉ ｅ ｒｎ ｎ ｓｇ
２０ 年 ２ ０８ 月
Ｆｅ ｂ．２ ０ ０ ８
ｉ ｈ ＥＰ ｏ ｏ ｏ ． ｎｔ ｅＷ ｐｒ ｔ １ ｃ
Ｋｅ ｒ ｓ ｙ ｗｏ ｄ ： Ｅ ｒ ｔ ｃ ｌ Ｗ Ｐ ｐ ｏ ｏ ｏ ； ｍｏ ｅ ｈ ｃ ｉ ｇ ａ ｔ ｅ ｔ ａｉ ｎ ｐ ｏ ｏ ｏ ａｙ ｉ； ｌ ｇ ｃｖ ｌ ａ ｅ ｓ ａ ｃ ｔｔ ｓ ｐ ｏ ｌｍ ｒ ｔ ｏ ｄ ｌ ｅ ｋｎ ； ｕ ｈ ｎ ｉ ｔ ； ｒ ｔ ｌ ｃ ｃ ｏ ｃ ｎ ａ ｌ ｓｓ ｏ ｉ ａｉ ｔ ； ｅ ｈ ｓａｅ ； ｒ ｂ ｅ ｉ ｐ ｏ ｏ ｌ ｄ ｒ ｎ ｃ
２ ｃｏ ｌ ｆቤተ መጻሕፍቲ ባይዱｏ ｗａｅ Ｈｕ ａ ｎｖ ｒｔ， ｈ ｎ ｓａ １０ ２ Ｃ ｉａ ．Ｓｈ ｏ ｏ ｆ ｒ， ｎｎ ｉ ｓ Ｃ ａ ｇｈ ８ ， ｈ ） Ｓｔ Ｕ ｅｉ ｙ ４０ ｎ
Ａｂｓｒ ｔ Ｔｈｅｐ ｐｅ ｅａ ｉｈｍ ｏ ｌ ｈ ｃ ｉ ｇｏｆ ＥＰ ｐ ｏ ｏ ｏｌ ｉ ＰＩ ，ｎｏ ｌ ｓ ａ ｃ ｎｇ ｅｐｒ ｂｌｍ ｒ ｔ ａｃ ： ａ ｒ ｄ ｌ ｔ ｄｅ ｅ ｋ ｎ Ｗ ｗ ｃ ｒ ｔ ｃ ａＳ Ｎ ｖ ｔ ｙ ｅ ｒ ｈｉ ｔ ｏ ｅ ｆｏｍ ｔｔ ｓ ｂ ｌｏａ ａｙｚｎｇ ｏｎ ｈ ｓａ ｅ ， ｕｔ ｓ ｎ ｌ ｉ ａ
WTP协议的SPIN模型检测
ｈｔ ： ｗ ｗ． ｎ ｓｎ ｔ ａ ｔ ／ ｗ ｄ ｚ ．ｅ ． ｐ／ ｃ
Ｔｌ ８ — ５ — ６０ ６ ５ ９９ ４ ｅ： ６ ５ ５ ９ ９ ３ ＋ １ ６ ０ ６
ＷＴ Ｐ协议 的 Ｓ Ｉ 模型 检测 ＰＮ
冯杰
（ 贵州 大 学 电子科 学 与 信 息技 术 学 院 ， 贵州 贵 阳 ５０ ２ ） ５ ０ ５
摘 要 ： 于模 型 检 测技 术 ， 用 Ｓ Ｉ 对 Ｗ Ｔ 基 使 ＰＮ Ｐ协议 进 行 了建 模 和 分析 ． 用 自动 机 和 Ｐ ｏ ｌ 协议 进 行 建模 ， 用 Ｌ Ｌ规 范 了协 应 ｒ ｍｅ ａ对 利 Ｔ 议 需要 满足 的安 全性 ， 时序 性 。通 过 分 析发 现 了协议 的 一 个错 误 。
关 键词 ： ＴＰ协 议 ；ＰＩ ； 型检 测 ；Ｐ ｏ ｌ Ｗ Ｓ Ｎ 模 ｒｍｅａ
中图分 类 号 ： Ｐ ９ Ｔ ３３
文 献标 识 码 ： Ａ
文章 编 号 ： ０ ９ ３ ４ （ ０ ）４ １ ８ － ４ １ ０ － ０ ４２ ８３ － ５ ８ ０ ０
Ｍ ｏ ｅ ｅ ｋｎ ｆＷ ＴＰ Ｐｒ ｔ ｃ ｌＶｉ ＰＩ ｄｌ Ｃｈ ｃ ｉ ｇ ｏ ｏ ｏ ｏ ａ Ｓ Ｎ
在无 线 应用 上 ， 道 上数 据 包 的丢 失 是 时常 发 生 的 。 信 在 本文 中 ， 对 ＷＴ ｖｔ 我 Ｐ ２］ 方 案 进 行 了形 式 化 的验 证 。 我们 用 自动 机 的 理论 重 新 形式 化 了服 务 的定 义和 协 议 的 规程 ， 建 立 ２ 协议 并
自动模型检测-模型检测工具SPIN安装使用
计算机研究生开放课程《自动模型检测—模型检测工具SPIN安装使用》美国GeneChiu基金资助1 SPIN 概述1．1 SPIN的历史背景SPIN（Simple Promela Interpreter）是适合于并行系统，尤其是协议一致性的辅助分析检测工具，由贝尔实验室的形式化方法与验证小组于1980年开始开发的pan就是现在SPIN的前身。
1989年SPIN的0版本推出主要用于检测一系列的ω-regular属性。
1995年偏序简约和线性时序逻辑转换的引入使得SPIN的功能进一步扩大。
2001年推出的SPIN4.0版本支持C代码的植入，应用的灵活性进一步增强。
在随后2003年推出的SPIN4.1版本加入了深度优先搜索算法，更是使得SPIN的发展上了一个新台阶[/spin/Doc/course/]。
NASA 使用SPIN检测早在1996年火星探测者所存在的错误，结果发现一些错误是可以在发射之前就可以被改正的。
SPIN从此就被用来检测土星火箭控制软件和一些应用与外层空间的程序。
Lucent公司也发现了SPIN 的优点，PathStar Access Server是受益于Holzmann（SPIN开发者）的工作的第一个Lucent 产品，Holzmann用SPIN 检测了5ESS Switch的新版本代码，这个软件现在用于Lucent的灵活性部分来改善软件测试的过程。
SPIN良好的算法设计和非凡的检测能力得到了ACM(Association for Computing Machinery)（世界最早的专业计算机协会）的认可，在2001年授予SPIN的开发者Holzmann享有声望的软件系统奖[获奖名单http:// /awards/ssaward.html]（Software Systems Award）（其它获得该奖的还有Unix，TCP/IP，Tcl/Tk，Java，WWW等）。
Holzmann由此成为继Ken Thompson and Dennis Ritchie（UNIX的开发者）和John M. Chambers（S系统的开发者）之后又一个获得此项殊荣的贝尔人。
计算机系统形式化验证中的模型检测方法综述
计算机系统形式化验证中的模型检测方法综述形式化方法是用数学和规律的方法来描述和验证系统设计是否满意需求。
它将系统属性和系统行为定义在抽象层次上，以形式化的标准语言去描述系统。
形式化的描述语言有多种，如一阶规律，Z 语言，时序规律等。
采纳形式化方法可以有效提高系统的平安性、全都性和正确性，关心分析冗杂系统并且及早觉察错误。
形式化验证是保证系统正确性的重要方法，主要包括以数学、规律推理为根底的演绎验证(deductive verification)和以穷举状态为根底的模型检测(model checking)。
演绎验证是基于人工数学来证明系统模型的正确性。
它利用规律公式来描述系统，通过定理或证明规章来证明系统的某些性质。
演绎验证既可以处理有限状态系统，又可以解决无限状态问题。
但是演绎验证的过程一般为定理证明器帮助，人工参加，无法做到完全自动化，推导过程冗杂，工作量大，效率低，不能适用于大型的冗杂系统，因此适用范围较窄。
常见的演绎验证工具有HOL，ACL2，PVS和TLV等。
模型检测主要应用于验证并发的状态转换系统，通过遍历系统的状态空间，对有限状态系统进展全自动验证，快速高效地验证出系统是否满意其设计期望。
下面将主要介绍模型检测方法的进展历史和讨论现状，以及当前面临的挑战和将来进展方向等问题。
2 模型检测及相关技术模型检测方法最初由Clarke，Emerson等人于1981年提出，因其自动化高效等特点，在过去的几十年里被广泛用于实时系统、概率系统和量子等多个领域。
模型检测根本要素有系统模型和系统需满意的属性，其中属性被描述成时态规律公式Φ。
检测系统模型是否满意时态规律公式Φ，假设满意那么返回“是”，不满意那么返回“否”及其错误路径或反例。
时态规律主要有线性时态规律LTL(Linear TemporalLogic)和计算树规律CTL(Computation Tree Logic)。
2.1 线性时态规律对一个系统进展检测，重要的是对系统状态正确性要求的形式化，其中一个根本维度是时间，同时需要知道检验结果与时间维度的关系。
利用模型检测方法验证网络可靠性的方法(八)
利用模型检测方法验证网络可靠性的方法引言：随着互联网的快速发展和普及，网络已经成为现代社会中不可或缺的一部分。
然而，由于网络的复杂性和不确定性，网络的可靠性一直是一个重要而具有挑战性的问题。
为了保证网络的可靠性，需要采取有效的方法进行验证和测试。
其中，利用模型检测方法可以提供一种强大的工具来评估和验证网络的可靠性。
第一部分：模型检测方法简介什么是模型检测方法模型检测是一种形式化验证技术，它通过构建网络行为的数学或逻辑模型，使用计算机科学的方法进行分析和验证。
它可以对系统的功能和性质进行验证，例如正确性、安全性和可靠性。
模型检测方法的优势与传统的测试方法相比，模型检测具有以下优势：- 完全性：模型检测方法可以遍历系统的所有状态，因此可以发现潜在的问题和错误。
- 自动化：模型检测可以通过计算机自动进行，减少了人工测试所需的时间和资源。
- 客观性：模型检测是一种形式化的验证方法，不受个人主观因素的影响。
- 可扩展性：模型检测可以应用于不同规模和复杂度的系统。
第二部分：使用模型检测方法验证网络可靠性的步骤确定验证目标在进行网络可靠性验证之前，需要明确验证的目标和需求。
例如，可以验证网络的容错性、可恢复性和性能等方面。
构建网络模型在进行网络模型构建时，需要考虑网络的拓扑结构、协议和设备等因素。
可以使用状态迁移图、Petri网等形式化工具对网络进行描述。
指定属性在进行模型检测之前，需要明确要验证的属性或性质。
例如，网络的可靠性、冗余性和安全性等方面。
运行模型检测工具选择合适的模型检测工具，并运行模型检测算法。
常用的模型检测工具包括SPIN、NuSMV等。
分析和解释结果根据模型检测工具的输出结果，进行结果的分析和解释。
如果存在问题或错误，需要对网络进行进一步的调整和改进。
第三部分：模型检测方法的应用案例银行电子交易系统的可靠性验证在银行电子交易系统中，可靠性至关重要。
利用模型检测方法，可以对系统的并发性、数据一致性和故障恢复能力进行验证，以提高系统的可靠性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
浅谈SPIN模型检测的发展及工作原理
摘要：spin模型检测主要是用来检测分布式软件系统的，目前被普遍用于庞大而复杂的软件系统验证上。
本文主要介绍了spin 模型检测的发展历程、主要特点、基本结构和工作原理。
关键词：spin；特点；模型检测；工作原理
中图分类号：tp311.52 文献标识码：a 文章编号：1674-7712 （2013） 08-0000-01
一、spin的简介
（一）spin的发展历程
spin是一种用来分析和验证并发系统，在逻辑是否一致的辅助验证器，它主要是针对软件检测，而不是验证硬件是否能高效运行。
spin从1980年bell实验室推出的仅对安全性进行验证的pan验证系统开始着手研究；1983年更名为trace，这代表spin的验证方法有了转变，从过去的使用的进程代数变成使用自动机理论；在1989年终于推出能进行协议验证的第一个版本；1994年又推出了基于partial-order reduction基础上的静态归纳技术strem；1995年通过内嵌算法进一步加强了spin的功能；1997年发现软件验证新思想，在某些程度上，降低对内存的需求；1993年spin3.3采用statement merging技术，在降低内存需求的同时大大缩短了验证的时间；2000年引用property-base slicing技术到自动模型的抽取中；2001年spin4.0中采用能对嵌入的c语言代码进行检测的模型抽取器；紧接着2003年spin4.1引进深度优先的搜索算法，让
spi得到突破性的发展。
（二）spin的主要特点
进程内部的具体怎么计算spin验证并不关心，它所关心的是每个进程间的消息能否准确的交互。
spin结合先进的理论验证方法，专门对大型且复杂的软件系统进行模型检测，如今spin验证被大量用在学术界和工业界。
它具有以下的特点：
（1）把promela作为spin的输入语言是，能较好的检验网络协议的一致性，找出系统中存在的无效循环、死锁、未定义的接收以及标记不完整等问题；（2）spin采用on-the-fly技术，可以不必搭建一个完整的状态图或kripke框架，而是由系统自动生成部分状态；（3）spin是一个完整的ltl模型检测系统，能验证基本上所有能用的线性时态的逻辑表示是否正确，还能有效地检验协议的安全性；（4）spin不仅能进行同步通信，更能采用缓冲通道实现异步通信；（5）一个采用promela描述的系统，spin既能对它实行任意的模拟，也能先生成c语言代码后，再验证系统的正确性；（6）验证过程中，如果是中小型系统，使用穷举状态空间就能进行分析，如果是大型系统，则要使用bit state hsshing的方法选择性搜索一些状态空间；（7）spin验证采用多种优化技术，例如状态向量压缩、态压缩、数据流分析、偏序归纳、状态的最小自动机编码以及切片算法等。
这些技术大大提高了spin的检测速率。
二、spin的基本结构
spin先从系统模型规格的描述开始，如果检测完不存在语法错误
的问题，才进行系统的交互模拟，一直到确定系统设计达到了事先要求的行为。
最后，spin会生成一个on-the-fly的优化验证程序，并由检测器先进行编译后采用，如果在验证中出现了违反正确性的任何一个反例，就必须退回到交互模拟状态再次进行仔细检测，找到不支持的原因。
把promela作为系统的规约语言，它只会给有关的进程行为建模并采用spin验证，不关心与进程交互没关系的其他元素。
promela 语言包括信息通道、进程和变量。
其中进程是用来记录系统的行为，而信息通道与变量则是用来描述进程执行时的环境。
是以进程作为单位，进程异步组合方式来进行建模，而对于进程的同步则需要额外进行声明。
spin检测器的基本数据结构主要包括：状态矢量、seen state set和depth-first stack。
三、spin的工作原理
spin工具是用来检测一个有限状态的系统能否达到ltl公式表示的性质的要求，譬如死锁和可达性等。
它是用这样一个建模方法：先对进程模板进行定义，给每一个进程模板制定一类进程的行为法则，这样系统可以被当作是一个或者多个进程模板的异步组合。
进程所表示的要素一般有条件语句、赋值语句、通讯语句、循环语句和非确定语句。
spin建立自动机模型一般使用on-the-fly机制，spin检测器能为每一个进程模板提供一个bochi自动机，然后利用计算自动机异步交错积来获知并发系统的整体行为，具体方法是：（1）最先通过
ltl公示描述的系统性质选取反bochi的自动机a；（2）根据计算机系统的每一个进程所转移子系统数量的乘积，计算出系统的整体行为，用来搭建bochi自动机p；（3）算出自动机a与p的乘积结果；（4）依次类推得到最后的自动机，验证它是否能接受到语言，如果接受的语言为空，就满足系统定义的属性的要求，反之则不满足。
验证具体方法是先检验有没有一个从初始状态开始可达的环路包括至少一个接受状态，用此来验证积自动机接受是不是为空.如果系统不满足条件，那么所产生的自动机组合中肯定有一个可接受回路，而正是这个回路通过动作路径方式体现反例。
spin使用深度优先算法来获取每一个积自动机。
在经过每一个自动机的途中，spin采用偏序简化技术，使状态图更简化，从而达到缓解状态空间不足的问题。
此外，spin通过具体分析，把每一个局部进程相对应的状态相应地减小。
这样把整体状态序号变成一个个局部状态序号的结合，不但能大大减小运行时间外，还能大大降低对外的开销。
四、结语
目前spin检测器能更自由开放的使用，而且大规模的用在数据通讯、安全协议验证以及最优规划等各种领域。
本文主要从发展、结构、特点和工作原理几个方面简单的阐述了spin模型检测器，为日后spin的应用奠定了良好的基础。
参考文献：
[1]王巧丽.spin模型检测的研究与应用[d].贵州大学，2006.
[2]刘俏威.spin模型检测的形式化分析机理研究及应用[d].南昌大学，2008.
[3]孙守卿.基于模型检测工具spin的安全协议分析和验证[d].兰州大学，2006.
[4]陈春玲，田国良.安全协议的spin建模与分析[j].南京航空航天大学学报，2009（05）.
[5]冯杰.基于spin的协议的形式化分析和验证[d].贵州大学，2009.
[作者简介]刘正新，潍坊职业学院教师，硕士，研究方向：计算机应用。