Лекция 21. Верификация распределенных программ. Логика линейного времени PLTL... (Лекции 2014)

Основыматематическойлогики и логическогопрограммированияЛЕКТОР: В.А. ЗахаровЛекция 21.Верификация распределенныхпрограмм.Логика линейного времени PLTL.Размеченные системы переходов.Задача верификации моделейпрограмм.ВЕРИФИКАЦИЯ РАСПРЕДЕЛЕННЫХПРОГРАММЗадачаИмеется несколько компьютеров и только один принтер. Ниодин компьютер не осведомлен о существовании другихкомпьютеров. Как правильно организовать их взаимодействие,чтобы все они могли пользоваться этим принтером?$'w HHВЕРИФИКАЦИЯ РАСПРЕДЕЛЕННЫХПРОГРАММЗадачаПредполагается также, что у принтера есть единственныйоднобитовый регистр R, общедоступный для считывания изаписи. Этот регистр может находится в одном из двухсостояний — busy (принтер занят) и free (принтер свободен).$'w RHHВЕРИФИКАЦИЯ РАСПРЕДЕЛЕННЫХПРОГРАММПрежде чем писать программу (драйвер), обеспечивающуювзаимодействие каждого компьютера с принтером, нужносформулировать требования, предъявляемые к этой программе.1.

Всякий раз, когда принтер свободен и хотя бы одинкомпьютер собирается отправить данные на печать,принтер будет рано или поздно занят;2. Всякий раз, после того как принтер оказался занят, ондолжен когда-нибудь приступить к печати;3. Компьютер, завершивший печать, должен когда-нибудьосвободить принтер;4. Данные на печать всегда передает не более чем одинкомпьютер.А какие еще требования разумно предъявить к нашемудрайверу?ВЕРИФИКАЦИЯ РАСПРЕДЕЛЕННЫХПРОГРАММДля связи с принтером программист предложил снабдитькаждый компьютер одной и той же программойL1 : while R 6= free do wait od ;L2 : R = busy ;L3 : output(X,printer );L4 : R = free;Это простая и разумная программа.Но будет ли система компьютеров, снабженных этойпрограммой, вести себя в соответствии с указаннымитребованиями?ВЕРИФИКАЦИЯ РАСПРЕДЕЛЕННЫХПРОГРАММЕсли мы имеем дело с последовательной программой, тонаиболее простой способ проверки ее правильности — этотестирование.

Тестирование, вообще говоря, не гарантируеттого, что все вычисления являются правильными, но онопозволяет, по крайней мере, убедиться в том, что программаведет себя правильно на тестовых примерах.Но если мы занимаемся верификацией распределенныхпрограмм, состоящих из нескольких процессов, работающихна независимых вычислительных устройствах, то тестированиене позволяет проверить правильность поведенияраспределенной системы даже на тестовых примерах.Почему?ВЕРИФИКАЦИЯ РАСПРЕДЕЛЕННЫХПРОГРАММПредположим, что на заданных входных данных (тестовомпримере) каждый из 20 процессов распределенной системывыполняет всего лишь одно действие.

Тогда вычислениесистемы может быть физически реализовано 20! > 218способами в зависимости от той последовательности, в которойбудут завершаться выполнения этих действий. Ясно, чторассмотреть все эти выполнения практически невозможно.А вместе с тем одни те же действия, выполненные в разнойпоследовательности, могут приводить к разным результатам:«Наполнить бассейн водой» k «Прыгнуть в бассейн с вышки»Как же проверять правильность распределенных систем?ВЕРИФИКАЦИЯ РАСПРЕДЕЛЕННЫХПРОГРАММВерификацию распределенных систем нужноавтоматизировать.

Это можно сделать, например, так.1. Выбрать логический язык L, на котором можно описыватьтребования, предъявляемые к программе. Представить этитребования в виде формул ϕ1 , . . . , ϕn .2. Выбрать математическую модель M, адекватнопредставляющую все вычисления программы. Модельдолжна быть устроен так, чтобы каждое вычисление I вмодели M являлось интерпретацией языка L.3. Проверить выполнимость формул ϕ1 , . .

. , ϕn на всехвычислениях модели M. Для проверки выполнимостиформул языка L на модели программы M должен бытьразработан эффективный алгоритм.Такой подход к проверке правильности программ назваетсяверификацией моделей программ (англ. model-checking ).ЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLПри верификации распределенных систем, как правило,требуется проверить, что в каждом вычислении системынекоторые события (выполнение того или иного действия,прием/передача сообщений и пр.) происходят в определеннойпоследовательности.Каждое событие event можно охарактеризовать булевойпеременной (0-местным предикатом) pevent , которая принимаетзначение true в том и только том случае, когда осуществляетсясобытие event.

Таким образом, в логическом языке L не нужныпредметные переменные, термы, кванторы.Однако осуществимость событий (значения булевых пременныхpevent ) изменяется со временем. Значит, в логическом языке Lдолжен быть явно учтен феномен времени.Таким образом, для описания требований, которыепредъявляются к распределенной системе, достаточновоспользоваться языком пропозициональной темпоральнойлогики линейного времени (PLTL).Исторические сведения1941АМИР ПНУЭЛИЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLСинтаксис PLTLВ PLTL наряду с булевыми логическими связками дляописания причинно-следственной зависимости событий вовремени применяются темпоральные операторыIX (neXttime) «в следующий момент времени»;IF (sometime in Future) «когда-то в будущем»;IG (Globally) «всегда в будущем»;IU (Until) «до тех пор пока»;IR (Release) «высвободить, открепить».ЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLПусть задано множество булевых переменныхAP = {p1 , p, .

. . , pn , . . . } (будем называть их атомарнымивысказываниями).Синтаксис PLTLФормула PLTL — этоpi ,(ϕ&ψ),(ϕ ∨ ψ),(ϕ → ψ),(¬ϕ),(Xϕ),(Fϕ),(Gϕ),(ϕUψ),(ϕRψ),если pi ∈ AP;если ϕ и ψ — формулы;«в следующий момент будет верно ϕ»;«когда-то в будущем будет верно ϕ»;«всегда верно ϕ»;«ϕ остается верной, пока не станет верной ψ»;«ψ может перестать быть верной только после того,как станет верной ϕ».ЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLСемантика PLTLИнтерпретация PLTL — это темпоральная модель КрипкеI = hN, ≤, ξi, гдеIN = {0, 1, 2, .

. . } — множество моментов времени;I≤ — отношение нестрогого линейного порядка на N;Iξ : N × AP → {true, false} — оценка атомарныхвысказываний на шкале времени.p = true p = false p = trueq = false q = false q = truep = true p = falseq = false q = false0 y?1 ? -2 y?3 ? -4 y?- y - y &666%r r rЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLСемантика PLTLИнтерпретация I = hN, ≤, ξi — это вычислительная трассапрограммы, и в этой трассеIN = {0, 1, 2, .

. . } — это последовательность состоянийвычисления, линейно упорядоченная отношениемпереходов ≤;Iоценка ξ : N × AP → {true, false} указывает, какиесобытия происходят в те или иные моменты времени.Формулы PLTL — это утверждения о том, в какойпоследовательности должны происходить события по ходувычислений программ.Чтобы оценивать, в какой мере вычислительная трасса(интерпретация) удовлетворяет заданному требованию(формуле PLTL), определим отношение выполнимости формулPLTL в темпоральных интерпретациях.ЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLСемантика PLTLПусть I = hN, ≤, ξi — темпоральная интерпретация(вычислительная трасса), n ∈ N — момент времени (состояниевычисления), ϕ — формула PLTL.Тогда отношение выполнимости I , n |= ϕ формулы ϕ в моментвремени n в интерпретации I определяется так.1.

Если ϕ = p, p ∈ AP (т. е. ϕ — атомарное высказывание), тоI , n |= ϕ ⇐⇒ ξ(p) = true.rrrξ(p) = true- yn- yn+1- yn+2- y- y-r r rЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLСемантика PLTL2. Если ϕ = ϕ1 &ϕ2 , тоI , n |= ϕ ⇐⇒ I , n |= ϕ1 и I , n |= ϕ2 .rrrI , n |= ϕ1I , n |= ϕ2- yn- yn+1- y- y- y-r r rn+2Для формул вида ϕ1 ∨ ϕ2 , ϕ1 → ϕ2 , ¬ϕ1 отношениевыполнимости в темпоральной модели определяется точно также, как в классической логике предикатов.ЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLСемантика PLTL3. Если ϕ = Xψ, тоI , n |= ϕ ⇐⇒ I , n + 1 |= ψ.rrr- ynI , n + 1 |= ψ- yn+1- y- y- y-r r rn+24.

Если ϕ = Fψ, тоI , n |= ϕ ⇐⇒ существует такое k, k ≥ 0, что I , n + k |= ψ.rrr- yn- yn+1- yn+2- yI , n + k |= ψ- yn+k-r r rЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLСемантика PLTL5. Если ϕ = Gψ, тоI , n |= ϕ ⇐⇒ для любого k, k ≥ 0, верно I , n + k |= ψ.rrrI , n |= ψ- yI , n + 1 |= ψ- ynn+1- y- yn+2I , n + k |= ψ- y-r r rn+k6. Если ϕ = χUψ, тоI , n |= ϕrrr⇐⇒I , n |= χ- ynсуществует такое k, k ≥ 0, что I , n + k |= ψ,и для любого i, 0 ≤ i < k, верно I , n + i |= χ.I , n + 1 |= χ- yn+1I,n+k −1 |= χ I,n+k |= ψ- yn+2- y- yn+k-r r rЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLСемантика PLTL7. Если ϕ = χRψ, тоI , n |= ϕ⇐⇒либо для любого k, k ≥ 0, верно I , n + k |= ψ,,rrrI , n |= ψ- ynI , n + 1 |= ψ- yn+1- yn+2- yI , n + k |= ψ- yn+k-r r rЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLСемантика PLTL7. Если ϕ = χRψ, тоI , n |= ϕ⇐⇒либо для любого k, k ≥ 0, верно I , n + k |= ψ,либо существует такое k, k ≥ 0, что I , n + k |= χ,и для любого i, 0 ≤ i ≤ k, верно I , n + i |= ψ.rrrI , n |= ψ- ynrrrI , n |= ψ- ynI , n + 1 |= ψ- yn+1I , n + 1 |= ψ- yn+1- y- yn+2I , n + k |= ψ- y-r r r-r r rn+kI,n+k |= χI,n+k −1 |= ψ I,n+k |= ψ- yn+2- y- yn+kЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLБудем называть формулу PLTL ϕI выполнимой в интерпретации I , если верно I , 0 |= ϕ(обозначается I |= ϕ);I PLTL-общезначимой , если для любой интерпретации Iверно I |= ϕ (обозначается |= ϕ).Чтобы облегчить запись формул и избавиться от лишнихскобок, условимся, чтоодноместные темпоральные операторы X, F, G обладают такимже приоритетом, как отрицание ¬,а двухместные темпоральные операторы U, R имеютнаивысший приоритет среди двухместных связок.Таким образом, записьXp1 Up2 &Fp3 → ¬p1 Rp2обозначает формулу((Xp1 )Up2 )&(Fp3 ) → (¬p1 )Rp2 .ЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLРавносильные формулыТемпоральные операторы PLTL связаны друг с другомопределенными соотношениями (равносильностями).Вот наиболее важные из соотношений равносильности.Законы двойственности.1.

|= ¬Xϕ ≡ X¬ϕ;2. |= ¬Fϕ ≡ G¬ϕ;3. |= ¬Gϕ ≡ F¬ϕ;4. |= ¬(ϕUψ) ≡ ¬ϕR¬ψ;5. |= ¬(ϕRψ) ≡ ¬ϕU¬ψ.ЛОГИКА ЛИНЕЙНОГО ВРЕМЕНИ PLTLРавносильные формулыТемпоральные операторы PLTL связаны друг с другомопределенными соотношениями (равносильностями).Вот наиболее важные из соотношений равносильности.Законы двойственности.1. |= ¬Xϕ ≡ X¬ϕ;2. |= ¬Fϕ ≡ G¬ϕ;3. |= ¬Gϕ ≡ F¬ϕ;4. |= ¬(ϕUψ) ≡ ¬ϕR¬ψ;5. |= ¬(ϕRψ) ≡ ¬ϕU¬ψ.Доказательство.