CN107515824A

CN107515824A - 一种基于变量划分的构件系统符号化模型检测方法

Info

Publication number: CN107515824A
Application number: CN201710722309.5A
Authority: CN
Inventors: 张连怡; 余立新; 张晗; 李志平
Original assignee: Beijing Simulation Center
Current assignee: Beijing Simulation Center
Priority date: 2017-08-22
Filing date: 2017-08-22
Publication date: 2017-12-26

Abstract

本发明公开一种基于变量划分的构件系统符号化模型检测方法，所述方法包括：S1：基于值变化的变量建立构件系统的符号化模型；S2：生成构件系统下一状态的符号化模型；S3：在生成的符号化模型上验证系统属性，若存在反例或不动点，检测结束，反之，重复S2，本发明将系统中变量划分为值变化和值不变的变量，基于值变化的变量对系统属性进行检测，在构建迁移关系表达式时，可以用较小BDD的表示系统迁移关系，从而加快建立BDD和计算可达状态集合的速度，从而有效地减少了系统属性验证时间和内存开销，提高构件系统属性验证效率。

Description

一种基于变量划分的构件系统符号化模型检测方法

技术领域

本发明涉及构件系统符号化模型检测领域。更具体地，涉及一种基于变量划分的构件系统符号化模型检测方法。

背景技术

符号化模型检测方法是一种有效的形式化验证方法，它是通过迭代计算系统可达状态集合，对系统属性进行验证的。大多数符号化模型检测方法都是基于二元决策图(BDD)的。具体的，首先从系统初始状态集合出发，使用迁移关系表达式迭代计算系统可达状态集合，并用新生成的可达状态集合检查属性是否被违反。当系统生成不动点或者找出反例，验证算法终止。如果验证终止，没有找到反例，属性在系统上成立；否则，属性在系统上不成立。符号化验证方法应用普遍，但仍有局限。使用BDD表示系统模型与系统规模呈指数关系，验证系统时会出现状态爆炸问题。另外，BDD对变量的顺序很敏感，而找到一种合适顺序得到较小的表达式是NP问题。与符号化模型检测相关的方法是限界模型检测方法，它可以避免状态爆炸。限界模型检测方法的思想是将反例搜索的长度限定在k内。在k步长度内找到反例，则系统存在反例；没有找到反例，不能说明属性在系统上成立，这种方法是不完备的。解决方法是，找到任意两个状态之间的最长最短路径，即找到所有k的最大值k_max，然而找到k_max通常是很困难的。

符号化模型检测是通过不断迭代计算系统可达状态集合的方法来对属性进行验证的。在不断向前迭代计算系统当前可达状态集合过程中，要求构造整个系统的迁移关系表达式，这对于构件系统而言是一个难点。目前一些研究使用分离迁移关系表达式的方法计算系统可达状态集合，将表示系统整体迁移关系的表达式拆成一些子式，用迁移子式分别去计算其可达状态集合，再将计算出的结果进行组合，得到系统当前可达状态集合。这种方法可以有效的解决状态爆炸问题。由于构件系统变量较多，迁移关系复杂，该方法还是比较耗费时间和内存。

因此，需要提供一种计算复杂度低、资源需求少的构件系统符号化模型检测方法。

发明内容

本发明的一个目的在于提供一种基于变量划分的构件系统符号化模型检测方法，使用分离迁移和划分变量的方法进行构件系统符号化模型检测，降低检测计算的复杂度，提高检测效率，减少资源占用。

为达到上述目的，本发明采用下述技术方案：

本发明公开了一种基于变量划分的构件系统符号化模型检测方法，所述方法包括：

S1：基于值变化的变量建立构件系统的符号化模型；

S2：生成构件系统下一状态的符号化模型；

S3：在生成的符号化模型上验证系统属性，若存在反例或不动点，检测结束，反之，重复S2。

优选地，所述系统的符号化模型为

M＝(V,I,T)

其中，V表示系统的变量集合，I表示系统的初始条件表达式，T表示系统迁移关系。

优选地，所述系统包括n个子构件，第i个子构件的符号化模型为

M_i＝(V_i,I_i,T_i)

其中，V_i表示第i个子构件的变量集合，I_i表示第i个子构件的初始条件表达式，T_i表示第i个子构件迁移关系。

优选地，所述S1包括：

S11：遍历构件系统各个子构件的迁移关系表达式，构建子构件值变化的变量集合，进而建立子构件迁移表示二元决策图；

系统第i个子构件值变化的变量集合为

其中，i＝1，2…n，n为子构件的个数，T_i为第i个子构件的迁移关系表达式集合，V_i,j1为第i个子构件中基于第j个迁移关系表达式的值变化的变量集合；

系统第i个子构件值变化的变量的迁移关系表达式为

其中，V_i为当前状态的变量集合，V’_i1为下一可达状态的值变化的变量集合，t_i,j1为第i个子构件内部第j个基于值变化的变量集合的迁移关系表达式，V’_i,j1为下一可达状态第i个子构件中基于第j个迁移关系表达式的值变化的变量集合；

构件系统子构件迁移表示二元决策图为

{(T_i1(V_i,V’_i1)^∧_k≠i(V_k'＝V_k))}_{i∈{1,...,n}}

其中，V_k'＝V_k为值不变的变量集合。

S12：遍历构件系统各个交互的迁移关系表达式，构建各个交互值变化的变量集合，建立构件系统交互迁移表示二元决策图；

系统第i个子构件交互的迁移关系表达式为

其中，V_a1为基于交互a的值变化的变量集合，交互a为第i个子构件中的所有交互，为交互a中由p_i标记的迁移关系表达式集合；

系统第i个子构件交互值变化的变量集合为

其中，V’_a1为下一可达状态交互a中值变化的交互变量集合。

所述交互迁移表示二元决策图为

其中，V_k'＝V_k为值不变的变量集合，r为系统中的交互个数，aj₁为值变化的交互集合。

优选地，所述构件系统下一状态的符号化模型为

其中，I_next为系统下一可达状态集合，I_curr为系统当前状态集合，n为系统子构件的个数，r为系统中交互的个数，V_i为当前状态的子构件变量集合，V_i1表示当前状态中子构件i中值变化的变量集合，V_i1'表示下一可达状态中子构件i中值变化的变量集合，V表示交互中值变化的变量集合，V_aj1表示当前状态中交互中值变化的变量集合，V_aj1'表示下一可达状态中交互中值变化的变量集合，T_i1(V_i,V_i1')表示子构件系统中值变化变量的迁移表达式，F_aj1(V_i,V_aj1')表示交互中值变化变量的迁移表达式。

本发明的有益效果如下：

本发明在迁移分离方法基础上，提供一种基于变量划分的构件系统符号化模型检测方法，该方法对分离迁移表达式中的变量集合进行划分，将其分为值变化和值不变的两个子集。使用该方法进行构件系统符号化模型检测时，在构建迁移关系表达式时，可以用较小BDD的表示系统迁移关系，从而加快建立BDD和计算可达状态集合的速度，从而有效地减少了系统属性验证时间和内存开销。在保证验证结果完备的同时有效的减少验证时间和内存开销。

附图说明

下面结合附图对本发明的具体实施方式作进一步详细的说明。

图1示出本发明一种基于变量划分的构件系统符号化模型检测方法的流程图。

图2示出本发明一种基于变量划分的构件系统符号化模型检测方法实施例的算法流程图

具体实施方式

为了更清楚地说明本发明，下面结合优选实施例和附图对本发明做进一步的说明。附图中相似的部件以相同的附图标记进行表示。本领域技术人员应当理解，下面所具体描述的内容是说明性的而非限制性的，不应以此限制本发明的保护范围。

符号化模型检测方法从系统初始表达式出发，不断计算下一步可达状态集合，直到发现反例或者到达不动点。系统的符号化模型可以表示为

M＝(V,I,T)

T＝T(V,V')

其中，V表示构件系统的变量集合，I表示构件系统的初始表达式，T表示构件系统迁移关系，V和V'是状态变量对，分别表示系统当前状态变量和下一状态变量。该方法的关键是从当前系统可达状态集合I_curr(V),使用向前映射函数，计算出下一步可达状态集合，下一步可达状态集合表示为

在验证过程中，检查生成的I_next(V)与属性取反表达式是否有交集。如果交集不为空则系统存在反例，验证算法结束。否则，继续计算系统可达状态集合并进行验证，直到生成系统不动点，即没有新生成的状态为止，验证算法结束。

传统的符号化模型检测方法需要构建系统的整体迁移关系表达式T(V,V')，然后，不断迭代计算系统可达状态集合I_next(V)，用其进行属性验证，直到发现反例或者生成系统不动点，验证算法结束。构建整体迁移关系表达式T(V,V')，并用其迭代计算系统可达状态集合，是非常耗费内存和验证时间的。

对于基于迁移分离的符号化模型检测方法，整体迁移关系表达式是由n个迁移子表达式析取而成的，整体迁移关系表达式表示为

其中，T_i(V,V')为第i个子构件的迁移子式。

对于用析取方式表示系统整体迁移关系表达式，下一步系统可达状态集合计算公式为

因为析取公式对量词是可分配的，所以，上式重写为：

分离迁移关系表达式的方法在得到迁移子式的BDD之后，并不将其合成一个整体，而是在计算I_next(V)时，将它们分别与I_curr(V)计算下一步可达状态，再将求得的结果合成一个整体，进行属性验证。从上式可以看出使用迁移分离方法可以有效的解决构建整体迁移式表达式困难和验证内存开销等问题。

如图1所示，本发明公开了一种基于变量划分的构件系统符号化模型检测方法。本方法在迁移分离的方法基础之上，进一步对构件系统M＝(V,I,T)的各个迁移子式T_i(V,V')的变量进行分析，将迁移中变量划分成值变化和值不变的两个集合。假设迁移子式T_i(V,V')中的变量集合为V，V＝V₁∪V₂。其中，V₁表示在该迁移中值变化的变量集合，而V₂是在这次迁移中值不变的变量集合。在该迁移上，对更新系统变量部分记成T_i1(V,V')。因此,迁移子式表示为已知上述迁移子式表示，在使用向前映射计算过程中，下列等式关系成立：

因此，下一步系统可达状态集合计算公式为

从上式可以看出使用变量划分方法进行构件系统符号化模型检测时，只需要对迁移上值变化的变量进行处理，有效地减少构建迁移表达式BDD和验证属性时的时间和内存开销。

具体的，所述方法包括：

S1：基于值变化的变量建立构件系统的符号化模型。所述S1包括：

S11：构件系统是由n个子构件通过交互连接而成的，子构件表示为M_i＝(V_i,I_i,T_i)。

遍历构件系统各个子构件的迁移关系表达式，已知子构件内部迁移表达式t_ij∈T_i，在该迁移上构建子构件值变化的变量集合，进而建立子构件迁移表示二元决策图。

系统第i个子构件值变化的变量集合为

其中，i＝1，2…n，n为子构件的个数，T_i为第i个子构件的迁移关系表达式集合，V_i,j1为第i个子构件中基于第j个迁移关系表达式的值变化的变量集合，值不变的变量集合为V_i2＝V_i-V_i1。

系统第i个子构件值变化的变量的迁移关系表达式为

其中，V_i为当前状态的变量集合，V_i'₁为下一可达状态的值变化的变量集合，t_i,j1为第i个子构件内部第j个基于值变化的变量集合的迁移关系表达式，V_i'_,j1为下一可达状态第i个子构件中基于第j个迁移关系表达式的值变化的变量集合；

构件系统子构件迁移表示二元决策图为

{(T_i1(V_i,V_i'₁)^∧_k≠i(V_k'＝V_k))}_{i∈{1,...,n}}

其中，V_k'＝V_k为值不变的变量集合。

S12：整个构件系统是由一组交互γ连接而成的。遍历构件系统各个交互的迁移关系表达式，构建各个交互值变化的变量集合，建立构件系统交互迁移表示二元决策图。

交互a∈γ是由来自不同子构件的接口组成的，p_i∈a是第i个子构件中的接口。在第i个子构件中，由p_i标记的迁移集合用表示，其中，t_i,j是第j个由p_i标记的迁移。在该迁移上，值会被更新的变量集合用V_i,j1表示，对应的迁移部分用t_i,j1表示。因此，对于交互a，系统第i个子构件交互的迁移关系表达式为

其中，V_a1为基于交互a的值变化的变量集合，交互a为第i个子构件中的所有交互，为交互a中由p_i标记的迁移关系表达式集合。

已知第i个构件上值变化的变量集合表示为各个交互值变化的变量集合为

而值不变的迁移表达式为

所述交互迁移表示二元决策图为

S2：生成构件系统下一可达状态的符号化模型，由值变化的迁移表达式{T_i1}_i∈{1,n}和生成各自的可达状态集合，合并得到的。所述构件系统下一状态的符号化模型为

其中，V表示所有变量集合，V_i1表示在构件i中迁移上值发生变化的变量集合，V_aj1表示在交互a_j中值发生变化的变量集合，T_i1表示子构件系统中值变化部分的迁移表达式，F_aj1表示交互中值变化部分的迁移表达式。

在实际算法中，计算每次下一步可达状态集合都是从新生成的状态集合出发，利用变量划分的计算公式，通过计算值变化的迁移表达式{T_i1}_i∈{1,n}和{F_aj1}_j∈{1,|r|}生成各自的可达状态集合，合并得到下一步可达状态集合。只需要对迁移上值变化的变量进行处理，可以有效地减少计算可达状态集合的时间和内存开销。

本发明中可对构件系统无死锁性质进行验证。这里，无死锁性质被定义为当前系统总是有可以执行的迁移，即所有迁移的守卫条件表达式取或运算后，在系统运行过程中总是使能的。如果使能条件不能满足，则系统当前没有可执行的路径，系统死锁。

在验证算法过程中，如果没有新生成的状态，表示系统达到不动点，属性成立，验证算法结束；否则，检查新生成的可达状态集合与属性取反表达式是否有交集，来判断系统上是否存在反例。如果交集不为空，则系统存在反例，反例用表示，验证算法结束，否则，继续计算可达状态集合，进行属性验证。因为只需要对迁移上值变化的变量进行处理，可以有效地减少验证属性的时间和内存开销。

下面通过一个具体算例来对本发明作进一步说明，如图2所示，本实施例中，在算法中首先建立构件系统符号模型，遍历所有每个子构件i的各个迁移关系，找出迁移中值变化的变量集合V_i1和对应的迁移关系表达式T_i1，构建对应的子构件迁移表示BDD集合{(T_i1(V_i,V_i'₁)^∧_k≠i(V_k'＝V_k))}_{i∈{1,...,n}}。类似的，遍历集合中的交互a∈γ，找出所有变量集合{V_a1}_a∈r和对应的迁移表达式F_a1，构建交互迁移表达式BDD集合因为只需要对迁移上值变化的变量进行处理，可以有效地减少构建系统迁移表达式的时间和内存开销。

在生成构件系统下一状态的符号化模型时，设置变量Step,Reachable,Start,Reached。其中，Step用来记录验证步数，即每计算一次可达状态集合加1在可达状态集合计算部分。Reachable用来保存下一步计算得到的可达状态集合。Start用来保存新生成的可达状态集合，它是由新生成的状态集合减去已经生成的可达状态集合得到的。Reached用来保存所有已经生成的可达状态的集合，它是由每次计算得到的可达状态集合累加后得到的。Reachable表示下一步可达状态集合I_next(V)，其使用变量划分的可达状态集合计算公式算出。首先，用前面提出的变量划分向前映射计算公式，从满足当前可达状态集合出发，计算出各个可达状态集合；然后，将计算出的所有值析取，得到整个构件系统的可达状态集合。在实际算法1中，计算每次下一步可达状态集合Reachable都是从新生成的状态集合Start出发，利用变量划分的计算公式，通过计算值变化的迁移表达式{T_i1}_i∈{1,n}和{F_aj1}_j∈{1,|r|}生成各自的可达状态集合，合并得到下一步可达状态集合。

在对构件系统无死锁性质进行验证。在验证前先将此条件取反用err表示。在验证算法过程中，如果没有新生成的状态(Start＝false)，表示系统达到不动点，属性成立，验证算法结束；否则，检查新生成的可达状态集合Start与属性取反表达式err是否有交集，来判断系统上是否存在反例。如果交集不为空(Start∧err≠false)，则系统存在反例，反例用Ce表示(见图1)，验证算法结束，否则，继续计算可达状态集合，进行属性验证。因为只需要对迁移上值变化的变量进行处理，可以有效地减少验证属性的时间和内存开销。

显然，本发明的上述实施例仅仅是为清楚地说明本发明所作的举例，而并非是对本发明的实施方式的限定，对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动，这里无法对所有的实施方式予以穷举，凡是属于本发明的技术方案所引伸出的显而易见的变化或变动仍处于本发明的保护范围之列。

Claims

1.一种基于变量划分的构件系统符号化模型检测方法，其特征在于，所述方法包括：

S1：基于值变化的变量建立构件系统的符号化模型；

S2：生成构件系统下一状态的符号化模型；

2.根据权利要求1所述的构件系统符号化模型检测方法，其特征在于，所述系统的符号化模型为

M＝(V,I,T)

3.根据权利要求2所述的构件系统符号化模型检测方法，其特征在于，所述系统包括n个子构件，第i个子构件的符号化模型为

M_i＝(V_i,I_i,T_i)

4.根据权利要求1所述的构件系统符号化模型检测方法，其特征在于，所述S1包括：

系统第i个子构件值变化的变量集合为

系统第i个子构件值变化的变量的迁移关系表达式为

其中，V_i为当前状态的变量集合，V_i'₁为下一可达状态的值变化的变量集合，t_i,j1为第i个子构件内部第j个基于值变化的变量集合的迁移关系表达式，V′_i,j1为下一可达状态第i个子构件中基于第j个迁移关系表达式的值变化的变量集合；

构件系统子构件迁移表示二元决策图为

{(T_i1(V_i,V′_i1)∧∧_k≠i(V_k'＝V_k))}_{i∈{1,...,n}}

其中，V_k'＝V_k为值不变的变量集合。

系统第i个子构件交互的迁移关系表达式为

系统第i个子构件交互值变化的变量集合为

其中，V′_a1为下一可达状态交互a中值变化的交互变量集合。

所述交互迁移表示二元决策图为

5.根据权利要求1所述的构件系统符号化模型检测方法，其特征在于，所述构件系统下一状态的符号化模型为