JP2001525569A - システムの動作を検証する方法 - Google Patents

Abstract

(57)【要約】 本発明は、メッセージのセットにより同期されたオートマトンのシステムを用いた研究の下でシステムをモデリングすることと、オートマトンの状態とオートマトン内での移動の発生とオートマトン間での同期メッセージの生成とに関連する未知数を有する１次式のシステムを前記モデリングから導き出すこととにある方法に関する。これらの未知数は、原則的に０または１の値を有し、かつ、これらの未知数の各々は、方程式系の未知数が受ける追加の線形制約条件を用いて検証すべき特性を定義することにおいて、次に、前記追加の制約条件を受ける方程式系に、線形計画法による解決方法を適用することにおいて、Ｔ個の連続的段階の間の動作段階に関連し、これにより、解を表示することにより前記特性が検証されること、または、解が存在しないことを表示することにより前記特性が検証されないことを証明することを可能にする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】

本発明は、システム検証の分野に関する。

【０００２】

【従来の技術】

本発明を適用することができるシステムの種類は、非常に多様であり得る。こ
れらのシステムは、詳細には、順次的または並列的データ処理ソフトウェア、通
信プロトコル、指揮統制組織、分布システム、電子部品などを有する。概して、
本発明は、通信オートマトンの形式でモデル化できる動作を有する任意の物理的
システムに適用可能である。

【０００３】 “モデル”によって、自らの動作をパラメータ表示することを可能にするシス
テムの抽出が意味される。目下の例においては、システムの、オートマトン形式
への転換である。もちろん、この転換は、採用された検証方法に関する柔軟性を
可能にする一方で、システムの特性をできるだけ多く維持する必要がある。

【０００４】 “オートマトン”という用語は、自らの動作が説明されることを可能にする状
態および移動（transition）（すなわち、ラベル付けされたポイントおよびアー
クから）から形成された、システムの一部のパラメータ表示を意味する。オート
マトンについては、図式を用いて、文章で、データ処理形式でなど、種々の形式
で説明することができる。通信オートマトンは、メッセージ送信形式、同期化な
どで、他のオートマトンと情報を交換できるオートマトンである。

【０００５】 本発明においては、検証は、パスを示すことにより、または、パスが存在しな
いことを規定することにより、オートマトンにより表されるシステムの特性が真
または偽であることを論証することからなる。前記パスは、モデルの全体的な状
態の連続（明らかに可能な連続）である。目下の例において、これは、モデルを
構成する各々のオートマトンの状態に関する順序づけられた（ordered）シーケ ンスとなる。

【０００６】 前記検証は、概して、システムそれ自体においてではなく、モデル上において
実行されることを特筆しておく。この点において、前記検証は、完成した製品と
より直接的に関連しているテストとは異なっている。テストは、実際の動作シス
テム（例えば、実行すべきソフトウェア）にその性質を学ばせる、すなわち、そ
の動作を最大限に網羅するように試みることからなっている。多くの検証ワーク
ショップは、実際のシステムが、モデルまたは定義すべきその仕様から自動的に
生成されることを可能にしている。比較的多数のモデリングおよび検証支援ツー
ルが存在する（例えば、A. A. Loureiro et al.: "Fdt tools for protocol dev
elopment" in FORTE'92, 1992 を参照のこと）。

【０００７】 検証の分野においては、３つの形式の方法が最もしばしば採用される。

【０００８】 １．シミュレーション。大部分の既存のツールは、シミュレーションを可能に
している。これは、適切なパスを検索するために、多少とも洗練された方略にし
たがって次から次へとモデルの状態を経験することに相当する。この方法は、（
抽出がパスの概念を備えている場合に）システムの任意の抽出レベルにおいて用
いることができ、かつ、使用の際に非常に柔軟性を持ち得るという利点を有して
いる。この方法は、２つの欠点をも有している。すなわち、この方法は、システ
ムの状態数の組み合わせの急増な増加に遭遇し（深く検索するほどに、パスの数
が多くなる）、かつ、何も証明しない（深度ｎにおいて何のパスも見つからない
ことは、深度ｎ＋１において何も存在しないことの証明にはならない）。

【０００９】 ２．“モデル検査”（A. Kerbrat: "Methodes symboliques pour la verifica
tion de processus communicants: etude et mise en oeuvre" ["Symbolic meth
ods for verifying communicating processes: design and implementation"],
PhD thesis, University Joseph Fourier, Grenoble, 1994 または K. L. McMil
lan: "Symbolic Model Checking", Kluwer Academic Publishers, 1993 を参照 のこと）。“モデル検査”方法は、オートマトン形式でのシステムのモデリング
を必要とする。このようなモデリングのオートマトンは融合して、各々の状態が
モデルの全体的状態に対応している単一オートマトンとなる。したがって、全体
的オートマトン上の一時的論理（temporal logic）に記載される特性を検証する
ことが可能である。この方法の利点は、非常に多数の形式の要求を条件指定する
ことを可能にする一時的ソフトウェアの豊富さにある。さらに、この方法は、シ
ミュレーションを容易にする。しかしながら、この方法は、巨大サイズの全体的
オートマトンを非常に迅速に生成することに関する限界を有しており、したがっ
て、この巨大サイズの全体的オートマトンについては、オートマトンのサイズを
減少させるための多くの技術（全体的オートマトンの符号化技術の利用、より弱
い特性を備えた全体的オートマトンのモデルの構成など）にもかかわらず、一般
には構成することができない。

【００１０】 ３．定理による証明（J.-R. Abrial: "The B-book", Cambridge University P
ress, 1995 または B. Chetali: "Formal verification of concurrent program
s: How to specify UNITY using the Larch Prover", Technical report, INRIA
, France, 1995 を参照のこと）。ここでは、モデルは、自らの基本特性を示す 論理式のセットからなっている。検証すべき新たな特性が論理式の形式で与えら
れているので、証明は、新たな論理式がモデルの論理式と推論規則とから得られ
ることを可能にする連続的段階からなることになる。この方法は、真の形式的証
明を生じさせるという利点を有している。しかしながら、目下の所、適切な推論
方略が存在せず、かつ、コンピュータは、ほとんど常に、証明のうち簡単な段階
を解決し、困難な部分については人間の論理学者に任せるのみにまで低下する。

【００１１】 ペトリ（Petri）ネットワークの分野においては、従来技術において、システ ムを検証するために線形計画法（linear programming）を使用した最適化方法を
用いることが既知である。しかしながら、線形計画法は、非常に制約を受けるモ
デルにおいてのみ用いられ、したがって、このモデルについては、実際のシステ
ムをモデリングするために（J. Esparza et al.: "A polynomial-time algorith
m to decide liveness of bounded free choice nets", Theoretical Computer
Science, 102: 185-205, 1992 を参照のこと）、または、研究されたモデルの不
変量のセット（特に、Fourier-Motzkinアルゴリズム）を生成するために用いる ことはできない。前記不変量のセットは、洞察力を持たずに構成され、かつ、急
速に巨大なサイズのものとなる。

【００１２】 より最近では、通信オートマトンモデルに対して整数計画法を直接的に用いる
ことが研究されている（J. C. Corbett: "Automated Formal Analysis Methods
for Concurrent and Real-Time Software", PhD thesis, Department of Comput
er Science, University of Massachusetts, USA, 1992 を参照のこと）。しか しながら、整数計画法を用いることは、十分なアルゴリズムを供給せず、かつ、
最も重大なことには、モデル上における証明を実行することができない。この研
究チームは、要求システムの表現度のパワーを徹底的に調査し、かつ、これが一
時的論理に非常に近いという結論を導き出した。

【００１３】 検証の分野における線形計画法に関する他の利用は、J. L. Lambertにより説 明されている（"Presentation du projet validation de protocoles par progr
ammation lineaire" ["Description of the protocol validation by linear pr
ogramming project"], Technical Report 27, Greyc, University of Caen, 199
4）。この方法は、解析することができるシステムの動作条件に対して制限を構 成する、メッセージの順序づけという概念を全く必要としない。

【００１４】

【発明が解決しようとする課題】

本発明の目的は、研究されたシステムの特性を可能でありかつシステムのサイ
ズを劇的に増加させない複雑さを有する方法を処理することにより、検証技術の
質を高めることである。

【００１５】

【課題を解決するための手段】

したがって、本発明は、メッセージのセットにより同期されたオートマトンの
システムによりモデリングされたシステムの動作を検証する方法を提案し、該方
法は、 − システムを、ｎ＝１〜Ｎという番号をつけられたＮ個のサブシステムに分
解すること； − 各々のサブシステムｎ（１≦ｎ≦Ｎ）を該サブシステムｎの状態ｅ_n ⁱのセ
ットＥ_nから構成されたそれぞれのオートマトンの形式で記述するパラメータに 、セットＥ_nの状態組の間における移動ａ_n ^jのセットＡ_nを供給すること； という動作を備え、前記セットＡ_nの各々の移動ａ_n ^jは、記述されたサブシステ ムが移動ａ_n ^jにしたがって状態を変化させる場合に部分集合Ｍ_n ^jの各々のメッセ
ージが生じるという事実を転換するための同期メッセージのセットの部分集合Ｍ _n ^j と関連しており、前記方法は、 − １≦ｔ≦Ｔ，１≦ｎ≦Ｎに対して、一方では、

【数４】

【数５】 という形式の流れ式（flow equation）を有し、また、他方では、

【数６】 という形式の同期式（synchronization equation）を有する１次式のシステムを
構成すること（ここで、Ｔは、システムの動作に関する多数の連続的段階を示し
、Ｂ_n ⁱは、セットＡ_nの移動ａ_n ^jがセットＥ_nの状態ｅ_n ⁱから始まるような指数ｊ
のセットを示し、Ｃ_n ⁱは、セットＡ_nの移動ａ_n ^jがセットＥ_nの状態ｅ_n ⁱに至るよ
うな指数ｊのセットを示し、Ｍ_nは、セットＡ_nの移動にそれぞれ関連したメッセ
ージの部分集合Ｍ_n ^jの和集合を示し、Ｄ_n ^kは、セットＭ_nのメッセージｍ^kがセッ
トＡ_nの移動ａ_n ^jに関連した部分集合Ｍ_n ^jに属するような指数ｊのセットを示し 、変数ｅ_n ⁱ（ｔ）（０≦ｔ≦Ｔ）は、セットＥ_nの状態ｅ_n ⁱと段階ｔとに関連し た線形系（linear system）の未知数であり、変数ａ_n ^j（ｔ）（１≦ｔ≦Ｔ）は 、セットＡ_nの移動ａ_n ^jと段階ｔとに関連した線形系の未知数であり、変数ｍ^k（
ｔ）（１≦ｔ≦Ｔ）は、同期メッセージのセットのメッセージｍ^kと段階ｔとに 関連した線形系の未知数である）； − 検証すべきシステムの特性を、線形系の未知数に課せられた追加の線形制
約条件（linear constraint）の形式で定義すること； − 線形計画法による解法を、追加の制約条件を受ける線形系に適用すること
； − 前記特性がシステムにより検証されるかどうかを判断するために、線形計
画法の結果を解析すること； という動作を備える。

【００１６】 この方法は、上述した３つの従来技術による方法と共通した点を、ほとんど有
していない。“モデル検査”のように、この方法は、通信オートマトンの形式で
のモデリングに基づいているが、比較はそこで止まっている。要求システムは、
一時的論理よりもパス概念に近いが、一時的論理と同種類の表現度のものである
。すなわち、目下の例においては、要求は、通常は、状態や移動やメッセージの
送受信のアクセス可能性に関する質問に基づいている。“モデル検査”と比較し
ての基本的な違いは、前記方法が、モデルの全てのオートマトンから生じた全体
的なオートマトンを用いずに、モデルのオートマトン上において直接的に動作す
ることである。さらに、線形計画法により与えられる証明は、自明に間違ってい
る式を生じさせ得る式の合計に対応する。さらに、前記方法は、要求を検証する
パスを終了させ得る。しかしながら、このパスは、シミュレーションまたはモデ
ル検査とは違い、これらの状態を経験せずに直接的に構成される。線形計画法に
より提案される解は、必ずしも整数値のパスではない。したがって、非整数（no
n-integer）解の数を最小にし、かつ、適切な追加の線形制約条件を導入するこ とにより、これらの解が生じた場合にはこれらを解釈して消去することを可能に
するオートマトンのモデルを構成することが必要である。

【００１７】

【発明の実施の形態】

本発明に関する他の特徴および利点は、本発明の非制限的な実施形態に関する
以下の説明において明らかとなり、この説明は、添付図面を参照して与えられる
。

【００１８】 オートマトンは、検証の分野において日常的に用いられる。オートマトンは、
システムの動作に関する自らの転換に関して表現が豊かであること、および、ユ
ーザーが学習しかつ操作するのに容易であること、という両方の利点を有してい
る。この方法により用いられるオートマトンの形式は、からり従来的なものであ
る。すなわち、本発明は、本質的に、オートマトンによるこのモデリングを利用
することにある。システムの全ての要素は、オートマトンの形式で記述されてい
る。これらの要素、すなわち、サブシステムは、動作状態を表すオートマトンを
有するシステムに属する装置であってもよい。これらの要素は、交換された指示
または命令、データ、伝送チャンネル（待ち行列、スタックなど）のような、等
しくソフトウェアの類のものであってもよい。

【００１９】 研究されたシステムがＮ個のサブシステムに分割されるので、これらのサブシ
ステムｎ（１≦ｎ≦Ｎ）の各々は、オートマトンの状態と移動とを定義するパラ
メータの補助によるオートマトンＳ_nの形式で記述される。 これらのパラメータは、 − オートマトンＳ_nの状態に関する数Ｉ（ｎ）（オートマトンＳ_nのＩ（ｎ）
状態のセットは、Ｅ_n＝｛ｅ_n ⁱ，１≦ｉ≦Ｉ（ｎ）｝と示される）と、 − オートマトンＳ_nの移動に関する数ｊ（ｎ）（オートマトンＳ_nのＪ（ｎ）
移動のセットは、Ａ_n＝｛ａ_n ^j，１≦ｊ≦Ｊ（ｎ）｝と示される）と、 − 各々の移動に対して、状態ｅ_n ⁱ（この状態から移動が生じる）と、状態ｅ _n ⁱ （この状態へ移動が至る）とに関する識別と を具備する。言い換えれば、移行ａ_n ^jによって、オートマトンＳ_nにより表され たサブシステムが状態ｅ_n ⁱから状態ｅ_n ^i'へ変更される。

【００２０】 これらのパラメータは、セットＥ_n（１≦ｊ≦Ｊ（ｎ））の各々の状態ｅ_n ⁱに 対して、２つのセットＢ_n ⁱ，Ｃ_n ⁱが決定されることを可能にする。セットＢ_n ⁱは
、１≦ｊ≦Ｊ（ｎ）でありかつ移動ａ_n ^jが状態ｅ_n ⁱから始まるような指数ｊのセ
ットを示す。セットＣ_n ⁱは、１≦ｊ≦Ｊ（ｎ）でありかつ移動ａ_n ^jが到着状態ｅ _n ⁱ を生じさせるような指数ｊのセットである。

【００２１】 コンピュータは、本発明の方法により要求された計算を実行するために用いら
れる。このコンピュータには、通常は、移動ａ_n ^jを表すアークにより接続された
状態ｅ_n ⁱを表すノードを描くことによる簡単な方法で、オートマトンの構成を定
義する上記のパラメータをユーザーが供給することを可能にするグラフィカルイ
ンタフェースが装備されている。セットＢ_n ⁱ，Ｃ_n ⁱについては、状態および移動
が導入された場合に形成することができる。

【００２２】 これらのセットとユーザーにより与えられた整数Ｔとから、コンピュータは、

【数７】 の流れ式を構成する。数Ｔは、システムの動作に関する多数の連続的段階を表し
、このシステムに対し、動作は検証の主題である。

【００２３】 これらの流れ式の表現は、１≦ｔ≦Ｔ，１≦ｎ≦Ｎ、および１≦ｉ≦Ｉ（ｎ）
に対して、以下の通りである：

【数８】 これらの式（１ｆ），（２ｆ）において、変数ｅ_n ⁱ（ｔ），ａ_n ^j（ｔ）は、原則
的に、２進値（ゼロまたは１）である。ｅ_n ⁱ（ｔ）＝１（０≦ｔ≦Ｔ）である場
合に、オートマトンＳ_nにより記述されるサブシステムｎは、段階ｔの終わりと 段階ｔ＋１の始まりとにおいて、ｅ_n ⁱの状態にある。そうでない場合には、ｅ_n ⁱ （ｔ）＝０である。ａ_n ^j（ｔ）＝１（１≦ｔ≦Ｔ）である場合に、オートマトン
Ｓ_nにより記述されるサブシステムｎは、段階ｔにおいて、移動ａ_n ^jにしたがっ て状態を変化させる。そうでない場合には、ａ_n ^j（ｔ）＝０である。

【００２４】 オートマトンＳ＝｛Ｓ_n，１≦ｎ≦Ｎ｝のシステムは、Ｎ個のサブシステムの 相互作用を転換するメッセージのセットＭ＝｛ｍ^k，１≦ｋ≦Ｋ｝により同期さ れる。セットＭのメッセージｍ^kは、オートマトンＳ_nがセットＡ_nの移動をもた らす場合に、オートマトンＳ_nにより表されるサブシステムにより受信または送 信される。したがって、同期メッセージｍ^kは、移動ａ_n ^jを伴い、これにより、 これらの移動の発生を、オートマトンＳ_nを用いてモデリングすることができる 。ユーザーに対して、これは、オートマトンＳ_nの移動のセットＡ_nの各々の移動
ａ_n ^jを、同期メッセージのセットＭの部分集合Ｍ_n ^jと関連づけることからなる。
この関連づけは、オートマトンＳ_nにより記述されるサブシステムが移動ａ_n ^jに したがって状態を変化させる場合に、部分集合Ｍ_n ^jの各々のメッセージが生じる
ことを示す。オートマトンＳ_nの移動ａ_n ^jが通過されると、Ｍ_n' ^j'∩Ｍ_n ^j≠φ と
なるような１つ以上の移動ａ_n' ^j'を有する他の任意のオートマトンＳ_n'は、これ
らの移動ａ_n' ^j'の１つを達成する。

【００２５】 この関連づけは、コンピュータのグラフィカルインタフェースが、オートマト
ンの状態と移動とに関するグラフィカル表示をユーザーに供給する場合に定義す
るのに容易である。すなわち、付随するメッセージｍ^kを備えた移動を表す各々 のアークにラベル付けことで十分である。次に、コンピュータは、適切な部分集
合Ｍ_n ^jを定義することができる。さらに、コンピュータは、各々のオートマトン
Ｓ_nに対して、セットＡ_nの移動とそれぞれ関連づけられたメッセージの部分集合
Ｍ_n ^jの和集合Ｍ_nを、すなわち、

【数９】 を定義する。セットＭ_nのメッセージの数は、μ（ｎ）と示される。結局、セッ トＭ_nの各々のメッセージｍ^kに対して、１≦ｊ≦Ｊ（ｎ）でありかつメッセージ
ｍ^kが、移動ａ_n ^jに関連した部分集合Ｍ_n ^jに属するような指数ｊのセットＤ_n ^kが 定義される（すなわち、Ｄ_n ^k＝｛ｊ／ｍ^k∈Ｍ_n ^j｝）。

【００２６】 移動ａ_n ^jの中には、セットＭのメッセージが全く付随できないものもある（Ｍ _n ^j ＝φ）。これらの移動は、大抵は、同一の出発状態および到着状態を有してお
り、メッセージがない場合には当該のサブシステムは状態を変化させないという
事実を転換する。以後、本明細書において、各々のオートマトンの各々の状態に
対して、この種の移動（アークεと称される）が存在し、かつ、ε_nは、オート マトンＳ_nに関連したＩ（ｎ）アークεの指数のセットを示すものとする。すな わちε_n＝｛ｊ∈［１，Ｊ（ｎ）］／Ｍ_n ^j＝φ｝である。しかしながら、この仮 定は、ある特定の場合にのみ対応するものであり、本発明はこの場合に限定され
るものではない。

【００２７】 同期関係により定義されたセットＤ_n ^kから、コンピュータは、

【数１０】 の同期式を構成し、この式の表現は、１≦ｔ≦Ｔ，１≦ｎ≦Ｎ、およびｍ^k∈Ｍ_n に対して、以下の通りである：

【数１１】 ここで、ｍ^k（ｔ）は、理論上は２進数（ゼロまたは１）である変数である。ｍ^k （ｔ）＝１である場合には、メッセージｍ^kは、段階ｔの間に来る。そうでなけ れば、ｍ^k（ｔ）＝０である。

【００２８】 前記流れ式および同期式（１ｆ），（２ｆ），（３ｓ）は、未知数を構成する
変数ｅ_n ⁱ（ｔ），ａ_n ^j（ｔ），ｍ^k（ｔ）を有する線形系を形成する。本発明に よれば、この線形系は、該線形系の未知数に課せられた追加の線形制約条件の形
式で定義されたシステムの特性を検証するために、線形計画法による方法により
解かれる。この解は、未知数ｅ_n ⁱ（ｔ），ａ_n ^j（ｔ），ｍ^k（ｔ）が、必ずしも 整数であるとは限らないが正またはゼロの値を有していると仮定している。

【００２９】 線形計画法による方法は、組み合わせの最適化における基準である。これらの
方法は、その効率性および応用範囲の故に、産業において広く用いられている（
例えば、Williams: "Model Building in Mathematical Programming", Wiley, 3 ^rd edition, 1993; Chvatal:"Linear Programming", editions Freeman, 1983;
または、R. Saigal: "Linear Programming: A Modern Integrated Analysis", e
ditions Kluwer, 1996 を参照のこと）。

【００３０】 現在では、ＣＰＬＥＸやＯＳＬソフトウェアのようなソフトウェアは、数百万
の制約条件と無数の変数からなるシステムを妥当な時間で処理することができる
。既存のアルゴリズムの複雑さは、シンプレックス式であろうと内部ポイント式
であろうと、（２倍の大きさの問題点が、２〜４倍の長さで生じることを意味し
ている）問題点の大きさに関しては、一次アルゴリズムと二次アルゴリズムとの
間におけるものである。しかしながら、実際に多くの最適化の要領を用いること
が可能である場合には、計算時間に関して相当な節約を得ることができる。

【００３１】 線形計画法は、所定の一次式により定義される基準を最大にする線形制約条件
のセットに従属する明確な解法を見つける方法を組み合わせる。この種の問題を
表現する従来の方法は、以下の通りである。すなわち、以下の式のようなサイズ
ｐの列ベクトルが求められる：

【数１２】 ここで、Ａは、ｍ行ｐ列のマトリクスであり、ｃは、サイズｐの行ベクトルであ
り、かつ、ｂは、サイズｍの列ベクトルである。不等式を組み込むことと、ｘの
正符号に関してある一定の制約条件を除くことなどにより、この問題を変更する
ことが可能である。しかしながら、この式のセットの直線性については、効率的
なアルゴリズムを用いることができること、および、結果を解釈することを可能
にすることの両方のために、維持する必要がある。完全性（integrity）の制約 条件（これは、整数計画法に対応している）は、同じ理由のために禁じられてい
る。

【００３２】 線形計画法による証明の概念を説明するために、問題は、以下の方法で公式化
される。サイズｐのベクトルｘがなおも求められるが、今回は以下の通りである
：

【数１３】

【００３３】 問題（５）は、簡単なものと考えられる。その理由は、必要とされる全てのこ
とは、制約条件のセットを、さらには一次基準（linear criterion）を最適化せ
ずに満たすことであるためである。しかしながら、問題（５）は、実際には、問
題（４）と同じ問題点を有するものである。問題（５）は、Farkasの補助定理（
lemma）と称される、「デュアルシステムｙ．Ａ≧０，ｙ．ｂ＜０が１つの解を 持つ場合には、システムＡ．ｘ＝ｂ，ｘ≧０は解を持たない」という性質を有し
ている。

【００３４】 制約条件Ａのシステムが、本明細書において上述したオートマトンの、かつ、
検証すべきアクセス可能性要求の転換であると仮定すれば、ベクトルｘは未知数
ｅ_n ⁱ（ｔ），ａ_n ^j（ｔ），ｍ^k（ｔ）から構成され、Farkasの補助定理は、（ｉ ）要求を有効化するパス、すなわち、直接的問題の解であるサイズｐの列ベクト
ルｘが存在するか、または、（ii）このパスが存在しないという証明、すなわち
、双対問題の解であるサイズｐの列ベクトルｘが存在するかのいずれかであると
仮定する。したがって、コンピュータにより実行される線形計画法アルゴリズム
は、このｘを、または、ｘが存在しなければ、対応するｙを見つける。

【００３５】 追加の線形制約条件が、検証すべき特性にしたがって、ユーザーにより定義さ
れる。概して、線形制約条件は、オートマトンシステムの初期の機器構成を固定
するために与えられる。すなわち、１≦ｎ≦Ｎ，１≦ｉ≦Ｉ（ｎ）に対する変数
ｅ_n ⁱ（０）の値である。より一般的には、オートマトンＳ_nの初期状態は、

【数１４】 という形式の制約条件を受けることになる。ここで、Ｐ_nは、範囲［１，Ｉ（ｎ ）］の空ではない部分を示し、このことは、オートマトンの初期状態がセットＥ _n のある一定の部分に存在することを要求する。

【００３６】 追加の制約条件は、あるオートマトンの最終状態（ｔ＝Ｔ）と、ある一定の移
動の達成、および／または、セットＭのある一定のメッセージの送信に関連した
線形系の未知数により満たされるべき他の線形関係を包含する。幾つかの場合に
おいては、追加の制約条件を、観測者（observer）オートマトンと称される特定
のオートマトンを１つ以上モデリング処理に導入することにより、さらに定義す
ることができる。

【００３７】 本発明の状況において、前記追加の制約条件は、最適化すべき線形基準ををさ
らに包含することができる。すなわち、線形計画法については、上記の式（４）
にしたがって用いることもできる。このことは、最適化された基準の点で最適な
パスを識別することを可能にする。このような基準の例は以下の通りである： （ｉ）

【数１５】 この式の最適化は、最小の状態変化を暗示するパスの識別を可能にする。すなわ
ち、合計もまた、オートマトンＳ_nのうち幾つかに適用されるのみである。 （ii）

【数１６】 この式の最適化は、同期メッセージの最小送信を要求するパスの識別を可能にす
る。すなわち、合計もまた、メッセージｍ^kのセットＭの一部に適用されるのみ である。 （iii）

【数１７】 この式の最適化は、オートマトンＳ_nがその状態ｅ_n ⁱの１つにおける最短時間に 対して存続するパスの識別を可能にする。

【００３８】 本明細書において前述した基準において、合計に重みづけをすることができる
。

【００３９】 幾つかの場合において、線形計画法は非整数解を生じさせ、ベクトルｘの少な
くとも１つの成分は、ゼロまたは１以外の値となる。したがって、検査された特
性に関して即時的な結論（すなわち、整数解が存在せずかつ特性が検証されない
か、または、非整数解が整数解を隠しかつ特性が検証される、のいずれか）を引
き出すことは不可能である。

【００４０】 非整数解が得られれば、種々の方法を採用することができる。したがって、線
形計画法の解法を再び適用する前に線形制約条件を追加するかまたは変更するこ
とにより、要求を正確にすることができる。ユーザーは、非整数解の構成により
、この処理において案内される。例えば、解のパスが成分ｍ^k（ｔ）＝ｐ／ｑ（ ｐ，ｑは、０＜ｐ＜ｑであるような整数）包含し、かつ、検査された特性に関連
してメッセージｍ^kが“擬似的（spurious）”であると考えられれば、

【数１８】 のようなメッセージに対して制約条件を追加することが可能である。オートマト
ンの中には、分数の状態変数ｅ_n ⁱ（ｔ）を備えた疑わしい状態のものもあるか、
または、分数の移動変数ａ_n ^j（ｔ）を備えた疑わしい移動に従っているものもあ
る、ということを、ユーザーが非整数解にしたがって検出すれば、同種の制約条
件を導入することができる。この方法は、頻繁に、連続的な整数解を生じさせる
。幾つかの場合において、計算段階の数Ｔについては、幾つかの段階にわたって
反復される分数の移動が完全な移動を構成することができる非整数解を除くため
に、低下させることができる。非整数解を避けるために、最適化すべき線形基準
を用いてもよい。特性を検証するための線形系の第１解が非整数解を生じさせれ
ば、種々の線形基準を最適化する、同システムの他の解を探すことができる。こ
れらの他の解の中には、整数解であってもよくそれ故に要求された特性を証明す
るものもある。前記第１解が非整数解を生じさせなければ、種々の試みは、特性
が検証されないという診断を補助することができる。

【００４１】 ある一定のモデリング検出が同期されたオートマトンのシステム内に存在すれ
ば、非整数解を得ることもできる。非整数解の構成は、ユーザーがこのような欠
点を検出し、かつ、システムを記述するパラメータを適切の変更することにより
これらの欠点を改善するのを補助することができる。

【００４２】 前記方法について、添付図面に表された例によって以下に示す。この例は、本
発明にしたがって実行される動作をできる限り明確に示すために、意図的に非常
に簡略化されている。明らかに、線形計画法による方法のパワーは、実際にはる
かに大きなシステムを検証できることを意味する。

【００４３】 図１に概略的に示されている前記研究されたシステムは、２つの電話機Ｘ，Ｙ
を具備する遠距離通信システムであり、これらの電話機の間には、矢印Ｆにより
表される音声通信を確立することができる。検証すべき動作は、前記２つの電話
機間の呼を設定するかまたは終和させるために用いられる信号プロトコルに関連
している。第１段階は、システムを、電話機Ｘ，Ｙと、電話機Ｘから電話機Ｙへ
の伝送チャンネルと、電話機Ｙから電話機Ｘへの伝送チャンネルとにそれぞれ対
応するＮ＝４のサブシステムに分解することである。

【００４４】 簡略化のために、電話機Ｘのみが電話機Ｙへの接続の設定を要求できるが、切
断（disnonnection）については２つの電話機のいずれも要求できると仮定する 。この条件の下で、同期メッセージのセットＭが、以下の６つのメッセージから
なっている（Ｋ＝６）： − Ｙとの接続の設定を要求するために電話機Ｘにより送信されたｍ¹； − 切断を要求するために電話機Ｘにより送信されたｍ²； − 切断を要求するために電話機Ｙにより送信されたｍ³； − 電話機Ｙを電話機Ｘへ接続するために電話機Ｙにより受信されたｍ⁴； − 電話機Ｙを切断するために電話機Ｙにより受信されたｍ⁵； − 電話機Ｘを切断するために電話機Ｘにより受信されたｍ⁶。

【００４５】 電話機Ｘ，Ｙに関連した同期オートマトンＳ₁，Ｓ₂は、図２および図３に示さ
れている。これらは、各々が２つの状態（“接続された”および“切断された”
）と５つの移動とを有している。すなわち、Ｉ（１）＝Ｉ（２）＝２，Ｊ（１）
＝Ｊ（２）＝５である。これらの２つのオートマトンは、解くべき線形系に以下
の式を導入する：流れ式 ：（ｎ＝１または２）

【数１９】 同期式：

【数２０】

【００４６】 電話機Ｙから電話機Ｘへの伝送チャンネルは単純である：すなわち、この伝送
チャンネルは、切断メッセージをＹからＸへ伝えるだけである。これは、図４に
示されるように、２つの状態と４つの移動とを有している（Ｉ（３）＝２，Ｊ（
３）＝４）オートマトンＳ₃により表される。このオートマトンは、解くべき線 形系に以下の式を導入する：流れ式 ：

【数２１】 同期式：

【数２２】

【００４７】 電話機Ｘから電話機Ｙへの伝送チャンネルに関して、３つの異なる状況が図５
〜図７に示されている。

【００４８】 最初に、チャンネルが、（例えば、伝送効率の理由のために）２つのパケット
においてのみメッセージを受け入れるという、図５の状況を考慮する。２つのメ
ッセージｍ¹，ｍ²を具備するパケットを受信した後に（移動ａ₄ ¹）、チャンネル
は、対応する２つのメッセージｍ⁴，ｍ⁵を電話機Ｙへ転送する（移動ａ₄ ²）。こ
の伝送は非同期であるとしてモデリングされることが特筆される。その理由は、
オートマトンＳ₄が、アークεに沿う状態ｅ₄ ²にとどまるように認証されるため である（移動ａ₄ ⁴）。同期伝送をモデリングするためには、この移動ａ₄ ⁴をオー
トマトンの移動のセットＡから除くことで十分である。図５のオートマトンＳ₄ は、２つの状態と４つの移動とを有している（Ｉ（４）＝２，Ｊ（４）＝４）。
このオートマトンは、解くべき線形系に以下の式を導入する：流れ式 ：

【数２３】 同期式：

【数２４】

【００４９】 検証することができるシステムの最初の一連の特性は、対応するオートマトン
Ｓ_nの状態により表されるサブシステムｎに関する各々の動作状態に、所定の開 始機器構成（starting configuration）から到達することができるという事実で
あって、さらに、セットＭの各々の同期メッセージが続くことができるという事
実である。

【００５０】 前記開始機器構成は、例えば、切断された双方の電話機、および、移動中のメ
ッセージがチャンネル上に存在しないことであり、このことは、１≦ｎ≦４に対
し、ｅ_n ¹（０）＝１，ｅ_n ¹（０）＝０という、追加の線形制約条件に対応する。

【００５１】 オートマトンＳ_nの状態ｅ_n ⁱに到達することができるかどうかを検証するため に、数Ｔに対して適切な値を選択することにより、追加の制約条件ｅ_n ⁱ（Ｔ）＝
１が課せられる。線形計画法が解を供給すれば、状態ｅ_n ⁱはアクセス可能である
。そうでなければ、Ｔ段階において状態ｅ_n ⁱはアクセス不可能である。この場合
、数Ｔの値については、解の存在の可能性を探すために増加させることができる
。数Ｔが何の解も見つけられないで大きくなり過ぎてしまったと考えられれば、
モデリングが間違っているという診断に到達しかつこれを改善することか、また
は、研究されているシステムが、その状態の１つがアクセス不可能であるという
点で非機能的であると評価することが可能である。図２および図５においてオー
トマトンＳ₁〜Ｓ₄によりモデリングされているシステムは、検査されたアクセス
可能性を備えた状態が初期状態と異なるとすぐに、この特性を検証するのではな
い。すなわち、線形計画法は、何の解も提案しない。このことは、オートマトン
Ｓ₁はメッセージｍ¹，ｍ²を同時に送信することは決してないので、図５からの オートマトンＳ₄によりモデリングされるチャンネルがブロッキングを総計して いるという事実を転換する。

【００５２】 所定の移動を実行するかまたは所定のメッセージを送信する可能性に対して、
同種の検証を実施することもできる。例えば、上記の開始機器構成からメッセー
ジｍ⁵を送信する場合には、Ｔ個の連続的段階の間にメッセージｍ⁵が１度送信さ
れることになるという事実を転換する

【数２５】 という線形制約条件が加えられる。再び、図２および図５からのオートマトンＳ ₁ 〜Ｓ₄によりモデリングされているシステムは、この特性を検証するのではない
。

【００５３】 図６の場合には、電話機Ｘから電話機Ｙへのチャンネルは、接続メッセージお
よび切断メッセージの一方または他方を搬送することができる（その理由は、例
えば、低ビットレートのチャンネルであるためである）。次に、オートマトンＳ ₄ は、２つの状態と６つの移動とを有している（Ｉ（４）＝２，Ｊ（４）＝６） 。このオートマトンは、解くべき線形系に以下の式を導入する：流れ式 ：

【数２６】 同期式：

【数２７】

【００５４】 図２〜図４および図６からのオートマトンＳ₁〜Ｓ₄によりモデリングされてい
るシステムは、上述した最初の一連の特性を検証する。

【００５５】 検証の第２段階において、状態、移動またはメッセージに関するアクセス可能
性よりも複雑な特性を検査することができる。例えば、電話機により受信された
任意のメッセージが、他の電話機により受信されたメッセージに対応するかどう
かを判断することが可能である。

【００５６】 例えば、電話機Ｘによる切断要求メッセージが電話機Ｙにより常に正確に受信
されていることを検査するために、以下の１１個の線形制約条件を加えることに
より、オートマトンのモデルにおけるある一定のパスに対して逆の特性が検証さ
れるかどうかを検査することが可能である：

【数２８】

【００５７】 図８は、図２〜図４および図６からのオートマトンＳ₁〜Ｓ₄によりモデリング
されているシステムの場合において、これらの１１個の追加の制約条件を受ける
線形系のＴ＝５段階における解を形成するパスを示している。検証された特性が
システムの異常動作を示した際に、線形計画法により得られたこの解の存在から
、モデリングされたシステムが機能不良であると推論することが可能である。ユ
ーザーは、この機能不良を解釈することができる。すなわち、図６においてモデ
リングされたＸからＹへのチャンネルは、この種の機能不良を防ぐためにメッセ
ージを区別することが必要であると思われるようなエラーを導入することができ
る。

【００５８】 図８の解は、必ずしも線形計画法により直接的に供給されない。前記１１個の
追加の制約条件を受ける線形系は、線形計画法が初期に生じさせ得る非整数解を
受け入れる。図９は、このような非整数課の１つを示す。ユーザーがこの解を得
れば、検査された特性に関して即座に結論を引き出すことはできない。逆に、ユ
ーザーは、メッセージｍ³，ｍ⁴が複写されると思われかつ動作段階の数Ｔを低下
させようとしていることに気づくことができる。したがって、Ｔ＝２に対して、
新たな解が図８の整数解を生じさせる。

【００５９】 図７の場合には、電話機Ｘから電話機Ｙへのチャンネルは、接続メッセージお
よび切断メッセージの一方または他方を搬送することができ、これら２つのメッ
セージを区別している。次に、オートマトンＳ₄は、３つの状態と７つの移動と を有している（Ｉ（４）＝３，Ｊ（４）＝７）。このオートマトンは、解くべき
線形系に以下の式を導入する：流れ式 ：

【数２９】 同期式：

【数３０】

【００６０】 図２〜図４および図７からのオートマトンＳ₁〜Ｓ₄によりモデリングされてい
るシステムは、上述した最初の一連の特性を検証する。図１０は、例えば、シス
テムが、双方の電話機が切断される機器構成からＴ＝５段階においてメッセージ
ｍ⁵を生成することが可能であることを証明する線形計画法により見つけられた 解に対応するパスを示している（以下の式のような、追加の制約条件）。

【数３１】

【００６１】 図２〜図４および図７からのオートマトンＳ₁〜Ｓ₄によりモデリングされてい
るシステムは、図２〜図４および図６からのオートマトンＳ₁〜Ｓ₄によりモデリ
ングされているシステムの機能不良を示している特性を検証する（詳細には、線
形計画法は、上述した１１個の追加の制約条件を受ける線形系の解を全く供給し
ない）。

【００６２】 第３検証段階は、システムがブロックされた状態になるかどうかを、すなわち
、チャンネルが、着信先通話が読み取り不可能であるというメッセージを搬送で
きるかどうかを考慮する。例えば、電話機Ｙが切断されているがＸからＹへのチ
ャンネルが切断要求メッセージを有することができるかどうかを判断するために
、以下の追加の制約条件が用いられる：

【数３２】

【００６３】 線形計画法は、これらの追加の制約条件を受ける線形系が、図１１に示される
整数解を有することを示す。したがって、図２〜図４および図７からのオートマ
トンＳ₁〜Ｓ₄によりモデリングされているシステムが、ブロックされた状態にな
り得る。図１１の解を解析することにより、ユーザーは、双方の電話機が同時に
切断を要求すれば問題が生じることを発見する。この種の問題を回避するために
、モデルの各々のオートマトンの変更と、セットＭへのメッセージの追加とを必
然的に伴う、確認応答メッセージを備えたプロトコルを用いることが必要である
。したがって、本発明によるこの方法については、新たなモデルに、その特性を
検査すべく適用することができる。

【図面の簡単な説明】

【図１】 本発明を適用することができるシステムのサンプル例に関するブ
ロック図である。

【図２】 図１のシステムの要素を表すオートマトンの図である。

【図３】 図２と同様の図である。

【図４】 図２と同様の図である。

【図５】 図２と同様の図である。

【図６】 図５からのオートマトンの変形例を示す図である。

【図７】 図６と同様の図である。

【図８】 本発明の方法がオートマトンのシステムにおいて示すことができ
るパスを示す図である。

【図９】 図８と同様の図である。

【図１０】 図８と同様の図である。

【図１１】 図８と同様の図である。

【符号の説明】

ａ_n ^j 移動 ｅ_n ⁱ 状態 ｍ^k メッセージ Ｓ_n オートマトン Ｘ，Ｙ 電話機

───────────────────────────────────────────────────── フロントページの続き (72)発明者 サミュエル・ドゥラシェリー フランス・Ｆ−14000・カーン・リュ・フ レネル・４ (72)発明者 クリストフ・ブロウル フランス・Ｆ−61220・ブリオウズ・ラ・ フォス（番地なし) (72)発明者 サミュエル・ドゥヴルダー フランス・Ｆ−14280・サン−コンテス・ リュ・ドゥ・ラ・フォリー・39・アパルト マン・２ (72)発明者 ジャン−リュク・ランベール フランス・Ｆ−14860・アンフレヴィル・ リュ・オジェル・14 Ｆターム(参考） 5B042 GA01 GA09 HH10 HH41 5B076 DE03 DF01 DF06 EC02 EC06 EC10 5K019 AA07 AA08 BA26 CA04

Claims (4)

【特許請求の範囲】
1. 【請求項１】 メッセージ（Ｍ）のセットにより同期されたオートマトンの
   システム（Ｓ）によりモデリングされたシステムの動作を検証する方法であって
   、 前記方法は、 − システムを、ｎ＝１〜Ｎという番号をつけられたＮ個のサブシステムに分
   解すること； − 各々のサブシステムｎ（１≦ｎ≦Ｎ）を該サブシステムｎの状態ｅ_n ⁱのセ
   ットＥ_nから構成されたそれぞれのオートマトン（Ｓ_n）の形式で記述するパラメ
   ータに、セットＥ_nの状態組の間における移動ａ_n ^jのセットＡ_nを供給すること；
   という動作を備え、 前記セットＡ_nの各々の移動ａ_n ^jは、記述されたサブシステムが移動ａ_n ^jにし たがって状態を変化させる場合に部分集合Ｍ_n ^jの各々のメッセージが生じるとい
   う事実を転換するための同期メッセージ（Ｍ）のセットの部分集合Ｍ_n ^jと関連し
   ており、 前記方法は、 − １≦ｔ≦Ｔ，１≦ｎ≦Ｎに対して、一方では、 【数１】 【数２】 という形式の流れ式を有し、また、他方では、 【数３】 という形式の同期式を有する１次式（１ｆ，２ｆ，３ｓ）のシステムを構成する
   こと（ここで、Ｔは、システムの動作に関する多数の連続的段階を示し、Ｂ_n ⁱは
   、セットＡ_nの移動ａ_n ^jがセットＥ_nの状態ｅ_n ⁱから始まるような指数ｊのセット
   を示し、Ｃ_n ⁱは、セットＡ_nの移動ａ_n ^jがセットＥ_nの状態ｅ_n ⁱに至るような指数
   ｊのセットを示し、Ｍ_nは、セットＡ_nの移動にそれぞれ関連したメッセージの部
   分集合Ｍ_n ^jの和集合を示し、Ｄ_n ^kは、セットＭ_nのメッセージｍ^kがセットＡ_nの 移動ａ_n ^jに関連した部分集合Ｍ_n ^jに属するような指数ｊのセットを示し、変数ｅ _n ⁱ （ｔ）（０≦ｔ≦Ｔ）は、セットＥ_nの状態ｅ_n ⁱと段階ｔとに関連した線形系 の未知数であり、変数ａ_n ^j（ｔ）（１≦ｔ≦Ｔ）は、セットＡ_nの移動ａ_n ^jと段 階ｔとに関連した線形系の未知数であり、変数ｍ^k（ｔ）（１≦ｔ≦Ｔ）は、同 期メッセージのセット（Ｍ）のメッセージｍ^kと段階ｔとに関連した線形系の未 知数である）； − 検証すべきシステムの特性を、線形系の未知数に課せられた追加の線形制
   約条件の形式で定義すること； − 線形計画法による解法を、追加の制約条件を受ける線形系に適用すること
   ； − 前記特性がシステムにより検証されるかどうかを判断するために、線形計
   画法の結果を解析すること； という動作を備えることを特徴とする方法。
2. 【請求項２】 前記特性は、追加の制約条件を受ける１次式のシステムが、
   変数（ｅ_n ⁱ（ｔ），ａ_n ^j（ｔ），ｍ^k（ｔ））の各々が値ゼロまたは値１のいず れかを有する解を持つことを線形計画法が示す場合には検証されると考えられ、
   かつ、前記特性は、追加の制約条件を受ける１次式のシステムが解を持たないこ
   とを線形計画法が示す場合には検証されないと考えられることを特徴とする請求
   項１に記載の方法。
3. 【請求項３】 追加の制約条件を受ける１次式のシステムが、変数（ｅ_n ⁱ（
   ｔ），ａ_n ^j（ｔ），ｍ^k（ｔ））のうち少なくとも１つが非整数値を有する解を 持つことを線形計画法が示せば、前記追加の制約条件は変更され、かつ、前記線
   形計画法による解法が再度適用されることを特徴とする請求項１または請求項２
   に記載の方法。
4. 【請求項４】 前記追加の線形制約条件は、線形計画法による解法により最
   適化されるべき線形基準を定義する線形系の未知数の組み合わせを具備すること
   を特徴とする請求項１から請求項３のいずれかに記載の方法。