計算モデル特論ichiro-satoh.jp/lectures/model/2016/temporal-logic.pdf1 Ichiro Satoh...

1

Ichiro Satoh

計算モデル特論

国立情報学研究所

佐藤一郎 E-mail: [email protected]

Ichiro Satoh

モデル検査

n  システムやプログラムの動作を表すグラフ（例：状態機械）に対して、調べたい性質（時相論理で記述）の成立するかを判定する

設計・実装

性質(仕様)

状態機械（モデル）

設計・実装の誤り

安全性，活性(safety, liveness)

モデル記述言語

• プロセス代数• C言語風言語

状態遷移系(state transition system)

2

Ichiro Satoh

モデル検査の手順

n  システム全体の状態遷移グラフを構成 n  各状態遷移グラフの積（カルテシアン積） n  到達不能状態とアークの削除

n  検証手法 n  調べたい性質を状態遷移に従って状態間を移動 n  到達した各状態で性質が成立するかを判定

n  様相論理（多くの場合、時相論理） n  検証したい性質の記述に様相論理（時相論理）

を利用することが多い

状態グラフ

グラフの探索

Ichiro Satoh

モデル検査器の例

n  SMV, NuSMV n  カーネギーメロン大学

n  IEEE Futurebus+ standardのバグ発見n  SPIN

n  ベル研究所 n  ACM Software System Award受賞

n  LTSA n  ロンドン王立大学

n  FSP言語，アニメーションn  Java PathFinder (JPF)

n  NASA n  Javaのバイトコードの検査

3

Ichiro Satoh

例題：踏切

n  列車が近づくと踏切（ゲート）をおろす

App1 App2 Exit far near on far

列車

ゲート

ゲート（raise, up, lower, down）

Ichiro Satoh

例題：列車の状態遷移

n  列車の状態遷移図

far near App1

on App2 Exit

up lower App1

raise

App2

Exit

down

Exit

Exit

App2

App2

App1

App2 App1

App1

Exit

4

Ichiro Satoh

検証

n  プログラムが満足すべき性質 n  safety : 初期状態から到達可能な状態Sで常に条件P(S)が成り立

つ (always P) n  例：踏切が開いているときは列車は通らない

n  progress : 初期状態から有限回の遷移後に条件Qが成り立つ(eventually Q) n  例：列車が近づいたら、踏切がしまる、列車が通り過ぎたら踏切

が開く

n  モデルチェッキング（モデル検査） n  プログラムの正しさの検査=

n  状態遷移グラフ（モデル）上で上記が満たされているかどうかの検査

Ichiro Satoh

様相論理

n  通常の（古典）論理体系（例：命題論理や述語論理）は真偽が明確な言明、または演繹できることが前提であり、現実世界とミスマッチ n  現実世界における可能性や必然性

n  様相論理 n  「～でなければならない」「～でありうる」「～べきである」といった

可能性や必然性に関わる論理体系 n  必然性演算子□：「～は必然的である」ことを、 n  可能性演算子◇：「～は可能である」ことを表す

5

Ichiro Satoh

様相論理式（命題）

φ ::= P | ¬φ | φ∧φ

| φ∨φ

| □φ φは必然的

| ◇φ φは可能である

P: 原子論理式

命題論理

拡張部分

Ichiro Satoh

様相論理

n  必然性と可能性の論理 n  確実性：～でなければならない　～かもしれない

n  時相論理 n  時間：いつでも～である～であるときがある　　　

n  知識と信念の論理 n  信念：～を知っている～を信じている

n  位置論理 n  場所：どこでも～である　　あるところで～である

◇P ☐P

6

Ichiro Satoh

時相論理

n  時相論理とは n  状態の遷移や時間の経過の観点よりシステムの性質を記述す

るための論理体系

n  代表的形式 n  線形時間時相論理

n  LTL（Linear Time Temporal Logic) n  分岐時間時相論理

n  CTL（Computation Tree Logic） n  動的論理

n  プロセス論理 n  µ計算（µ-cａｌｃｕｌｕｓ）

Ichiro Satoh

可能世界意味論

n  様相論理に意味を与える構造

n  現実世界は無数の可能世界のなかの一つであり、世界によって論理式の解釈は違ってもよい

n  真なる命題とは、現実世界において真となる命題

n  可能な命題とは、少なくとも一つの可能世界において真となる命題

n  必然的な命題とは、全ての可能世界で真となる命題

n  不可能な命題とは、全ての可能世界で偽となる命題

n  偶然的な命題とは、それが真となる可能世界も、偽となる可能世界も存在する命題

7

Ichiro Satoh


n  □α　…　どこでもαである

n  ◇α　…　どこかではαである

α

α

α

α

α α

場所1

場所2 場所3

場所n 現在の場所

￢ α

￢ α

￢ α

￢ α

α ￢ α

場所1

場所2 場所3

場所n 現在の場所

Ichiro Satoh


☐P ある可能世界wにおいて「☐P」とは、wから到達可能な可能世界のすべてにおいても「P」が真であるとき

◇P ある可能世界wにおいて「◇P」とは、wから到達可能な

可能世界のうち少なくとも一つで「P」が真であるとき

P:F

可能世界w P:T

P:T

P:T

P:FP:T

P:T

P:T

P:F

可能世界w P:T

P:T

P:F

P:FP:T

P:F

P:F

8

Ichiro Satoh

状態グラフ (クリプキ構造) n  状態集合: S

n  S = {s1, s2, s3, s4} n  初期状態集合: I ⊆S

n  I = {s1} n  遷移関係: R ⊆S×S (注．必ず次状態が存在するものとす

る) n  R = {(s1, s2), (s2, s3), (s2, s4), (s3, s3), (s3, s4), (s4, s4)}

n  原子命題の割当: L: S ↦ 2A n  原子命題の集合 A = {p, q}

s1 s2 s3 s4

q p,q p q

K = 〈S, R, L〉

Ichiro Satoh


n  □P　…　いつでもPである

n  ◇P　…　いつかはPである

P P P P P P

時刻1 時刻3 時刻n

現在の時刻

￢ P ￢ P ￢ P P ￢ P ￢ P

時刻1 時刻3 時刻n

現在の時刻

9

Ichiro Satoh

Kripke 構造（structure）

n  M＝〈W，R，V〉 n  W≠φ

n  w∈W　…　可能世界（possible world），世界 n  R ⊆ W2　

n  W上の到達関係（accessibility relation）

Ichiro Satoh

Kripke 構造

M＝〈W，R，V〉 W≠φ

w∈W　…　世界（world） R ⊆ W2　

W上の到達関係（accessibility relation） wRw’　…　w’ は w から到達可能

V ： P × W →｛T，F｝

P ：すべての命題変数からなる集合真理値割当（truth value assignment）

w w’ R

13

Ichiro Satoh

モデルチェッキング

n  部分的な性質の判定でも、その判定コストは大きい

n  解決策：モデルチェッキング n  有限状態システムを検証 n  対象となるシステムはソフトウェアに限らない(ハードウェア向き) n  状態空間を網羅的に探索 n  時相論理に対応し、リアクティブ・並列システムを判定可能 n  部分的な性質を満足するか否かを判定 n  自動処理可能(効率的なアルゴリズム) n  検証できなかったときは反例を構成

Ichiro Satoh

モデルチェッキング

n  2000年前後にソフトウェア検証手法として流行った n  オリジナルは1980年代初めに登場（Clarke & Emerson’82など） n  モデルが時相論理式を満たすかどうかを自動的に検査 n  アルゴリズムはグラフ上の不動点計算を応用 n  ハードウェア(論理回路)の検証では日常的に使われている

n  BDD方式 n  セキュリティ・プロトコルの検査で注目された n  コンピュータ性能によりソフトウェアへの応用も始まった。

15

Ichiro Satoh

線形時相論理の可能世界意味論

n  πi |= □α　…　πi移行は常にαである

n  ◇α　…　いつかはαである

n ○α　…　次の時点はαである

α α α α ￢ α α 時刻i 時刻πi+1 時刻πi+2 時刻πi+3 時刻πi+4 時刻πi-1

現在の時刻

￢ α ￢ α ￢ α α ￢ α ￢ α 時刻i 時刻πi+1 時刻πi+2 時刻πi+3 時刻πi+4 時刻πi-1

現在の時刻

￢α α ￢α ￢α ￢ α ￢α 時刻i 時刻πi+1 時刻πi+2 時刻πi+3 時刻πi+4 時刻πi-1

現在の時刻

Ichiro Satoh

線形時相論理の可能世界意味論

○ f

◇ f

□ f

f Until g

p p

f

f

f f f f

g f∧￢g f∧￢g f∧￢g

f

￢f ￢f ￢f

17

Ichiro Satoh

Promela記述言語

n  基本概念 n  プロセス n  共有メモリ(大域変数) n  メッセージ送受信(チャネル)

n  C的syntax

Ichiro Satoh

例題1 (共有メモリ) n  bool done1 = false;

bool done2 = false; int x = 0; proctype incrementer1(){ int t; t = x; x = t + 1; done1 = true; } proctype incrementer2() { /* ほぼ同様 */ } init { run incrementer1(); run incrementer2(); done1 && done2 --> assert(x == 2); }

18

Ichiro Satoh

構文

n  E --> F n  条件Eが成り立つのを待ってFを実行 n  done1 && done2 --> assert(x == 2);

n  実はあらゆる式はその式の「実行可能条件」なる条件を待つ n  論理式の「実行可能条件」はその論理式 n  代入式の「実行可能条件」はtrue

n  実は --> と ; は全く同じ意味

Ichiro Satoh

構文

n  proctype A(…) { … }: n  プロセスの雛形を定義

n  run A(…): n  プロセスAを生成して実行

n  mtype = { id1, id2, … }; n  メッセージタグの種類を宣言（プログラム中に一度) n  本質的には各idiに一意な定数を割り当てている

n  chan id = [N] of { T1, T2, … }; n  メッセージをためるqueue n  各要素の型は(T1, T2, …) n  このチャネルはN個まで要素を溜めることが出来る n  FIFO (チャネルに入った順に出てくる)

19

Ichiro Satoh

構文

n  E!F : EにFを送信 n  実行可能条件: Eが満杯でない

n  E?tag(x, y, …) : Eの先頭からメッセージtag(?, ?, …)を取り出し，変数x, y, …を取り出された値にbindする n  実行可能条件: Eの先頭のメッセージが上記パターンに合致する

n  注: 実はパターンの構文はもっと一般的 n  foo(1, x, 3) など n  mtypeは単なる特殊なデータ型．tagのないメッセージも許され

る

Ichiro Satoh

構文

n  if :: G1 --> E; E; …; E :: G2 --> E; E; …; E … fi

n  意味 n  Giのうちどれかが実行可能になるまで待つ n  実行可能なものを非決定的にひとつ選択し，実行

n  do :: G1 --> E; E; …; E :: G2 --> E; E; …; E … od

n  if文とほとんど同じ．繰り返すところだけが違う

20

Ichiro Satoh

例題2（メッセージ）

n  mtype = { read, reply }; chan pq = [1] of { mtype }; chan qp = [1] of { mtype, byte }; proctype P() { byte v; pq!read; qp?reply(v) --> printf("v = %d\n", v); } proctype Q() { byte x = 20; pq?read --> qp!reply(x) } init { run P(); run Q(); }

Ichiro Satoh

コマンド

n  spin 〈オプション〉〈ファイル名〉 n  オプション

n  -s メッセージ送信を表示 n  -r メッセージ受信を表示 n  -p 全ての状態変更を表示 n  -g 全ての大域変数変更を表示

n  全ての可能な状態を並べ上げ，指定した〈性質〉が成り立つことを検証 n  spin –a 〈ファイル名〉 n  pan.cをコンパイル&実行 n  エラーが起きたら，

spin –t 〈ファイル名〉でエラーに至るパスを再現

SPIN の情報 http://spinroot.com/spin/whatispin.html

21

Ichiro Satoh

性質の記述

n  assert(P) n  書かれた場所でPが成り立つこと(“always P”型)

n  progress n  accept n  LTL formula

n  Linear Temporal Logic formula

Ichiro Satoh

アルゴリズム

n  状態グラフの構成（循環グラフでもよい）

n  全状態を検査(graph 探索と同値) n  W = 初期状態集合;

C = {} while (Wが空でない) pick s in W; sに割り当てられたassertを検査 for all s’ s.t. s -> s’ if s’ ∉ C W = W + { s’}; C = C + { s’ };

n  性質を状態遷移の流れに応じて飛ばす（処理の流れを再現） n  すでに到達済みの状態にはマーカーをつけて重複を防ぐ

22

Ichiro Satoh

アルゴリズム

n  1状態のサイズ × 到達可能状態の数 n  少し大きなプロトコルでは容易に，可能メモリ量を突破する(「有限な

らよい」というのは近似ですらない)

n  どうせメモリが溢れる場合にも“best effort”をする(Supertraceアルゴリズム) n  状態遷移グラフ全体を公平にカバーする(unlike 深さ優先) n  おとずれた状態をなるべく少ないビット数(2 bit!)であらわす

Ichiro Satoh

設計

n  モデルチェッキングツールが受け付け可能な形式へのデザインの変換 n  多くの場合、単純にコンパイルする n  そうでない場合・・・

n  時間とメモリの限度がある n  不用不適切な項目を削除、抽象化が必要

23

Ichiro Satoh

設計

n  デザインが満たすべき特性を決定 n  論理形式で与えられることが多い n  時相理論(temporal logic)の使用

n  システムの動作が時間越しでどう展開するかを記述 n  完全性（completeness）

n  モデルチェッキングは、あるモデルが与えられた設計を満たしているかチェックするための手段であるが、与えられた設計がシステムが満たすべきすべての特性を満たしているかどうかを判断することは不可能である

Ichiro Satoh

検証

n  実践では人間の補助が必要 n  理想では完全な自動化 n  検証結果の分析

n  検証が否定的な結果 n  不正なシステムモデルや不正な設計 n  エラートレースが提供される

n  エラートレースの分析により、システムの修正＆モデルチェキングアルゴリズムへの再適用

n  検証が失敗して終了 n  モデルサイズがメモリに対し大きすぎる n  モデルチェッカのパラメータ変更によるモデルの調整（追加的な

抽象化）

24

Ichiro Satoh

他の手法

n  記号表現と部分集約で検証できるシステムのサイズは飛躍的にのびた

n  しかし、実際のシステムを扱うには不十分→工夫 n  Reasoning n  Abstraction n  Symmetry n  Induction

Ichiro Satoh

Reasoning　推論

n  構成推論～単純な形式 n  構成要素間で独立 n  局所性を利用して、全体の正当性を推論

n  システムが各局所特性を満たす n  局所特性の連結が、全体の設計を含める

n  構成推論～複雑な戦略 n  構成要素間で依存関係

n  一つの構成要素の特性を検証する際、他の構成要素について仮定を立てる

n  他の構成要素が不正だった場合、後でその仮定は破棄

25

Ichiro Satoh

Abstraction 抽象化

n  データパスを含むリアクティブシステムの推論 n  データパス

n  算術演算，論理演算などのデータ処理を中心に行う回路 n  リアクティブシステム

n  外部環境とインタラクティブに作用し合うことを目的とするシステム(自動販売機など)

n  システムの実際のデータ値と抽象化データ値(小さな集合)間のマッピング n  抽象化したものはサイズがずっと小さくなる n  検証が単純になる

Ichiro Satoh

Symmetry　対称性

n  状態爆発問題の削減 n  縮約モデルは、時相論理式で表されたオリジナルモデルの特性

の検証を単純化するために用いられる n  対称性があるとは・・・

n  状態遷移図を保存する自明でない置換グループが存在することを意味する

n  置換グループは、システムの状態空間上の等価関係の決定と、状態空間の縮約に用いられる

26

Ichiro Satoh

Induction　帰納

n  パラメータで表わされるデザイン n  パラメータのパラメータ値に関するデザインの集合がfamily n  一群の任意のメンバーの振る舞いを表するinvariant process　の

形式を提供 n  この不変量を用いることで、一群のメンバーすべての特性を一度に

調べることができる n  この帰納的な独立変数は、不変量が適切な表現かを検証するのに

使われる

Ichiro Satoh

分岐時相論理

n  CTL式の真偽値n  状態グラフ（state graph）上の状態とそこから始まるパスを考える

s1 s2 s3 s4

s2s3

s3

s3

s4s4 s4

s4 s4 s4... ... ... ...

27

Ichiro Satoh

分岐時相論理の解釈

n  CTL式の真偽値n  CTL式が状態sで成立する( がsで真):

n  原子命題, ∨，∧，￢ (not), → ：その状態だけで真偽値が決まる

ϕ=s

s1 s2 s3 s4p qp,qq

Ichiro Satoh

分岐時相論理

Computational Tree Logic (CTL) n  シンタックス (f,g はCTL式)

n  原子命題 atomic proposition n  ¬f, f ∧ g , f ∨ g , f → g n  EXf, EFf, EGf, E(f Ug) n  AXf, AFf, AGf, A(fUg)

E: あるパスでA: すべてのパスでF: いずれG: ずっとU: ～まで

s2

s3 s4

s3 s4

s4

s4

s3 s4 s4

計算木

パス

28

Ichiro Satoh

CTL例

n  EXf n  fがある次状態で成り立つ

n  AXf n  fがすべての次状態で成り立つ

f

f f

s1 s2 s3 s4

q p,q p q

EXp EXp EXp AXp

EXq, AXqは？

Ichiro Satoh

CTL例

n  EFf n  fがあるパスでいずれ成り立つ

n  AFf n  fがすべてのパスでいずれ成り立つ

f

f

f

f

s1 s2 s3 s4 q p,q p q

EFp AFp

EFp AFp

EFp AFp

29

Ichiro Satoh

CTL例

n  EGf n  fがあるパスで常に成り立つ

n  AGf n  fがすべてのパスで常に成り立つ

f

f

f f

s1 s2 s3 s4

q p,q p q

EGp EGp

Ichiro Satoh

CTL例

n  E(f Ug) n あるパスについて，どこかでgが成り立ち，それまでfが成り立ち続けている

n  A(f Ug) n すべてのパスについて，．．．

g

f f

f f

g f

g

g

s1 s2 s3 s4 q p,q p q

E(pUq) E(pUq) E(pUq) E(pUq) A(pUq) A(pUq)

30

Ichiro Satoh

例題：踏切

n  遷移系が満たすべき性質を時相論理 (Temporal Logic)で記述

n  Safety: 今からずっと、今からずっと、○○であり続けるであり続ける n  AG (on AG (on ⇒ down) down) n  いつでも、電車がゲート上にあれば、ゲートはおりているいつで

も、電車がゲート上にあれば、ゲートはおりている n  AG AX true AG AX true n  システムがデッドロックしない

n  Liveness：将来のある時点で、 ○○ が成立する n  AG( down AG( down ⇒ AF up) AF up) n  ゲートがおりていれば、いつかはゲートがあがるゲートがおりて

いれば、いつかはゲートがあがる

Ichiro Satoh

例題：列車の状態遷移

n  列車の状態遷移図

far near App1

on App2 Exit

up lower App1

raise

App2

Exit

down

Exit

Exit

App2

App2

App1

App2 App1

App1

Exit

31

Ichiro Satoh

相互排除問題

n  二つのプロセス間で共有変数を排他的にアクセス n  各プロセスは三つの状態をもつ

n  Non-critical (N) n  Trying (T) n  Critical (C)

n  排他制御するためのフラグを導入(S0またはS1) n  初期状態両プロセスともにNon-critical状態（N1 N2）、フラグはS0と

する

N1 → T1 T1 ∧ S0 → C1 ∧ S1 C1 → N1 ∧ S0

N2 → T2 T2 ∧ S0 → C2 ∧ S1 C2 → N2 ∧ S0

||

Ichiro Satoh

相互排除問題

N1N2S0

C1N2S1 T1T2S0

N1T2S0 T1N2S0

N1C2S1

T1C2S1 C1T2S1

K ╞ AG EF (N1 ∧ N2 ∧ S0) No matter where you are there is always a way to get to the initial state

32

Ichiro Satoh

相互排除問題

N1N2S0

C1N2S1 T1T2S0

N1T2S0 T1N2S0

N1C2S1

T1C2S1 C1T2S1

K ╞ AG EF (N1 ∧ N2 ∧ S0)

Ichiro Satoh

相互排除問題

N1N2S0

C1N2S1 T1T2S0

N1T2S0 T1N2S0

N1C2S1

T1C2S1 C1T2S1

K ╞ AG EF (N1 ∧ N2 ∧ S0)

33

Ichiro Satoh

相互排除問題

N1N2S0

C1N2S1 T1T2S0

N1T2S0 T1N2S0

N1C2S1

T1C2S1 C1T2S1

K ╞ AG EF (N1 ∧ N2 ∧ S0)

Ichiro Satoh

相互排除問題

N1N2S0

C1N2S1 T1T2S0

N1T2S0 T1N2S0

N1C2S1

T1C2S1 C1T2S1

K ╞ AG EF (N1 ∧ N2 ∧ S0)

34

Ichiro Satoh

相互排除問題

N1N2S0

C1N2S1 T1T2S0

N1T2S0 T1N2S0

N1C2S1

T1C2S1 C1T2S1

K ╞ AG EF (N1 ∧ N2 ∧ S0)

Ichiro Satoh

状態爆発問題

n  「モデル規模の増大にともない，探索すべき状態数が急激に増大する」という問題

状態数10の構成要素10個からなるシステム状態の総数　1010 = 100億

X

35

Ichiro Satoh

状態削減手法

n  部分順序簡約(Partial Order Reduction) n  遷移の独立性を考慮して検証する性質に無関係な状態

を判断することで計算量を削減する手法 n  例．SPIN

n  記号モデル検査 n  論理関数で状態集合や遷移関係を表し，それらの操作

によって検証を行う手法 n  例．SMV, NuSMV

Ichiro Satoh

アルゴリズムと計算可能性

n  検証命題を記述する論理体系ごとにアルゴリズムが相違

n  CTL論理：n  効率的なアルゴリズムが存効率的なアルゴリズムが存在

n  LTL論理：n  特定の実行系列に関する非常に複雑な命題を記述できるが、式

のサイズに関して指数関数的にコストが上がるアルゴリズム

36

Ichiro Satoh

アルゴリズムと計算可能性

n  PSPACE-complete n  問題のサイズに対して多項式オーダのメモリを使用して解ける問題の

中で最も難しい問題のクラスに属するということである

n  CTL* n  分岐時間と線形時間の操作を組み合わせた論理 n  LTLとアルゴリズム的複雑さが等しい

計算モデル特論ichiro-satoh.jp/lectures/model/2016/temporal-logic.pdf1 Ichiro Satoh...

Documents

Transcript of 計算モデル特論ichiro-satoh.jp/lectures/model/2016/temporal-logic.pdf1 Ichiro Satoh...