2. Model Checking. Вериф. парал. и распределенных программных систем. Карпов (2010) (1185529), страница 46
Текст из файла (страница 46)
Д Ес Се ~в а Отвяроамтя сесйспм укяшм юязтми му пмзаззрялыяяэ ястят й'Ю верки !е отюшая в ней а выяости нечто з рас- истеяется энгра !улет иеопмния >Едет мчно :чиое яся в з вы,'йпг), НОЕ истеаний гслоюсть :рипююв яами [41]. илов кено сьма мси- фикации свойств рассмотрены в [11], где этому вопросу посвящен целый раздел монографии.
Классифнкацив свойств на свойства достижимости, безопасности н живости позволяет выбрать наиболее подходящий метод проверки этих авойств. В частности. лля доказательств свойств безопасноаш не нужно учитывать справедливкть вычмслений — свойство безопасности выполняется, если все вычисления, как справедливые, так и не справедливые, удовлетворяют этому свойству. С другой стороны, доказательства свойств живости необходимо выпалить только дяя справедливых вычислений. Во многих рабагвх была рассмотрена проблема выражения этих типов свойств в различных логиках [см., например, [1 35]).
Пример с подборам темпоральной формулы, отрюкнощей свойство причинной зависимости событий, приведен в лекциях К. Савенкова, прочитанных в МГУ [195]. Метод введения исторических переменных, которые используютса рля спецификации свойств прошлого, а также приведенные в разделе й2 примеры заимствованы из [!Ц. Множества практических рекомендаций и примеров спецификации и верификации аистем с операторами прошлого дано в [123]. Полакительный ответ на стармй вопрос о том, является ли темпоральнав логика а модальностами прошлого экспонеициально более экономной, даи в [99]. В литературе предложено множеапю различных типов справедливости и методов ее обеспечения при вернфиющии параллельных систем [53], [94], [103]. 6.10. Задачи к главе 6 4.1.
Постройте СТ1 формулы, опнаывакицие следукпцие свойства шхинча. ских систем: а) прн функционировании системы свойство р ншюгда не вылолнмгся между б и г; б) если постоянно запртпивать, то в будущеы войдешь в критическую секцию; в) существует путь, на котором р выполняетая до тех пор, пока в будущем на всех продолжениях вычислений будет есепш выполняться, сигнал 9. 4.2. Для слелукицнх свойств живости написать формальное определение: Если долго сяюратьгл, то е конце каинов тыучзиися, Если лиа)т еызеаи, ол обыатеаьяо лрм)ет рано няя лоздла.
Сеелюфор е канис капков переключится ил зглеяый В конце кокцое я ижончуупзлмрси нмгп Если нажать на кнопку лифта, то он е конце концов приедет. Солнце будет еыглядмеать неопредетнно часто. 6З. Рассмотрим систему управления лифтом, сбслужжзающим !Ц этажей, от 0 до лГ-1. Пусть йюг(1) — атомарный предикат, обозначающий, что двери лифта иа 1-м вгике открыты, Г(й(!) обазначтт, что яифт йаходится иа 1-м маке, гец(!) обозначает, что на 1-м этаке наката и горит кнопка вызов, !поте(!) обозначает, что в лифте наката и горит кнопка посьтки лифта на эщж !. Эгтишнте следующие требования к снсземе управления лифгом! (а) Леерь на этаже никогда не будет открыта если лифт нд наксднтсл на этом этаэсе, (5) Запрос с любого этажа будет когда-нибудь обсеужен.
ч, чщ) Лифт еозерамкмтся иа этапе Р неопределенно часто. (г) Лафе не деиммлюд если не бьмо необслулсенного вызова . Какие нз зэих свойств являются саойствэмн безопасности, а какие — саойсгаамн жиаоети2 блй Диче структура Крнпяе Аг = (Е, 80, Е, АР, Е), где: (гэ г! г2 гб л4 гэ) Еэ=(лэ) лр (Рц) ((гэ,е!),(гс,л2), (л2,лз),(гз лэ), (л2 44) (з! лэ) (л4 зз) (45 44)1 Ем((зс (Р ц)) (41 ( )) (зз (ц))*(зз (Р)) (з4 (Ф)) (гз (Р))) .
а) Проверьте выполнение СП:формулы АС(р ч ц) . б) Введию Условие спРавелливостн Р ((зз,гз),(гз)), т. е. любой спРаэедлнвый путь на этой струк!ура Кринке должен проходить через'состояниа лз или зз, а таске чеРез состоЯние гз бесконечное число Раз. Определите множес!во "стзраеедмиемл" (бз(г) состояний.
Проверьте выполнение формулы АС(р ч д) на "справедливо!~ (гтг) структуре Кринке. П Вэ прг Рго зэ ! Пр! 7.' Вэ ньп ког пра мат ком Рго! арх! Два кап! пер! эьм пер! име ссс! пре! ние глдвд 7 звери ~а дм гювэ, Примеры верификации В этой главе техника щрифнкацин демонстрируется на нескольких примерах простых протоколов, Анализируемые протоколы специфнцируются на языке Ргоес), явяяющемса входным языком описания асинхронных моделей паям та верификации Зр!и.
Приведенные здесь примеры не совсем тривиальны, оин требуют нескольких десятков строк спецификации алгорипаов на языке Ргоще1а. 7.1. Протокол передачи данных МЧ.СЛ убйаЬ спра- В этом разделе приведен пример программы на языке Ргоше!а, заимствованный нз руководства по этому юыку. Программа описывает простой протокол, который передает данные между двумя пользователями л и В в обоих направлениях. Фактически зто протокол, описанный йг.С.(.упсЬ, который схематически предспшлен в гя.
7 (рис. 1.2). Мы сопроводим пример подробными комментариями, чтобы продемонстрировать на нем возможностн языка Рпкпе!а. Для лучшего понимания текста программы на рис. 7Л приведена архитектура этого протокола. Два пользователя, ( н В, передают и принимают данные по соответствукицим каналам А!л, Аопг, Вю, Вщн, взаимодействуя со своими модулями приема- передачи, которые общаются друг с другом по ненадежным канавам азов и згсл.
Программа иа языке Ргоше)а начинвется в строке 1 описанием жимтвнт перечислимого типа исусе, к которым можно обраються по именам. Этими именами будут предваряться передаваемые данные; сообщения в протоколе состоят из двух частей (см. рнс. 1.2 в гл.
)): передаваемые по сети данные предвармотся одним нз служебных аюв аск — положительное подтверждение (есмэсчзессе), ееск — отрицателыюе подтверждение, агз — ошибка в Г зев э Рис тд. Архатех>ура протопим передаче. Полученная пара данных, например, <асх, 1> лля удобства вослривтив в процжмме на Рпнпе[а может представляться нак нсх(1). Для единообразия струхтуры сообщений данные, получаемые от пользователя, предваряются слухибным свовом пвхс, передаваемые пользователю — служебным словом ассвр«. Здесь тв же сн>унция> вместо пары <ассврс, 1> при нсрсллче пользователю можно записать ассврс(и — принято сообщение «.
1 низре ( асх, пах, е*«, пвхс, ассерс )> г З р Ооеурв С зяв«(спв зп,опС,СН>щои С) 4 ( Ьутв о 1> /* перв>мизин ля» изножии х вхохннх сооснвхня / 5 >л т пвхс(о) > /* по каналу зп зикм ссооавнне х»» писаном "/ 6 7 со /* о»илзе» ояин из трек юпов соосмтннв пасх, нсх, е«т / в . ы сизо т лакцы -> 9 опс > ассврсью> 10 Снопт > асК(о> 11 12:: С>пп 2 всХ(И -> 19 опс > ассорти(1)> 14 1п т пвхх(о) 2 15 <Н>»21 > ВСХ(О| 16 17:: Си>п 2 вс«(1»- 1В сломя > пах(о) 19 ос 20 ) 21 22 )п11 29 ( сьзп дион [1) ог [ каура, хтсв » ' 24 сввп исоа [ц ог [ зйзре Ьусе )| 25 26 2> 29 29 зо З> зг зэ З» 35 36 з> Зв > В от[ ««апз запус> «и н о вают с таки эст ««апз! В р ные т> мснна типа, > о«трт, проис( двух к которо цикл и тсрнвт колета Если п ных тн нос лр> вызывв Нянина шести > Глаее Г юспри)пнооб- едеарякебным переда- 25 25 27 2Я 25 зо 21 зг зз З[ 35 35 3) втсп)ест[0) зя ) сьеп аэп [2) ое [ псуре, Ьусе )з спэп Вьп [21 оЕ [ «КУрв, Ьуее )г сьев лоос щ) сЕ [ эиуре, ьусе )г, сЬеп Всеь [21 ог [ пьурч, Ьуее )э аижцс [ пт ссаптеег[я)л, лещ, мов, всех) г ою ссаоееес[ньо, Васс, Веса, йссв) )) В строкеЗ с ключевого слова рп.ссуре задается описание типа процесса сгапзеес.
Это процесс приема-передачи, которому в качестве параметров при запуске доюкны быть переданы имена четырех конкретных каналов. Каплм ьп и ось СВЯЗЫВаЮт Зтст ПрОЦЕСс С ПОЛьзователем, каналы Снап И Сносе СВЯЗЫ- вают его с другим процессом приема-передачи. Если процесс будет запущен с такими значениями параметров: ссаплеег [ецп, ассе, асов, всех), то он будет работать, как Передатчик 1 (рис.7.1), если он будет запущен, как Сгьсзгег [Вхп, Воиь, Веса, Щсн), тО ОН будет работать, как Передатчик 2. В строке 4 открывается тело процесса сга меег и опнсывакпся две переменные типа ьусе: переменная о Лля выхолных данных ст пользователя и переменная 1 для входных данных к пользователю. Конкретные значения этого типа, предваренные коне)витями аск, сась, егг и т.
д. перечислимого типа псы:е, будут передаваться по каналам. Строка 5 — первый оператор процесса — прием от пользователя по каналу ьп сообщения, состоящего из двух частей: служебного слова пехс, предваряющего данное дэя передачи, которое помещается в переменную о. В строке 7 напивается бесконечный пнкл приема-передачи двннык. Оператор цикла ос имеет три возможные альтернативы — прием от другого процесса сообщению, предваренного одной из констант сесх, есх или егс — в точности так, квк в протоколе ьт'.С.[.упсй. Если принятое сообщение не удовлетворяет одному нз трех предопределенных типов структуры (служебное елово сасх, аск или егг, эа которым идет любое ланное типа ьусе), то происходит блокировка процесса.
Принятое данное присваивается переменной )„но разные префиксы принятого сеюбщения ° ызыажот различные реакции. как зто н представлено на рнс. 12 в гл. 1. Начиная со строки 22, описмвастся процесс [пьс, который вводит описпння вести каналов взаимодействия процессов (см. рис. 7.1): асов, вснх азгь жив, Глава 1 ю /* щ аа :2 сш 11 Ь В стрс ются прсто1 7.2.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
