JP2846242B2 - ソフトウェア仕様の検証装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、ソフトウェア仕様の
検証装置に関し、特に、書換え型のプロダクションシス
テムによって定義された通信ソフトウェア仕様の検証を
行なうような検証装置に関する。

【０００２】

【従来の技術】近年、通信システムにおいてユーザの要
求は多様化および複雑化している。したがって、通信の
ソフトウェア発展のために、技術者は多くの時間を割か
れている。特に、ソフトウェアの仕様は、多くの時間を
割く要因である。このようなソフトウェアの仕様をルー
ル集合として定義し、プロダクションシステムで解釈実
行する方法は、ラピッドプロトタイピングに有効であ
る。このような方法が有効な理由としては、設計者の意
図が簡潔に記述されること、ルールの追加や削除によっ
て仕様の変更が容易であることなどの利点による。

【０００３】通信ソフトウェア仕様の重要な検証項目の
１つに、状態の可到達解析がある。可到達解析は、特定
の状態がある仕様によって与えられたシステムに出現す
るか否かの検査である。これによって、ある必要な状態
がそのシステムで確かに実現されること、または、ある
望ましくない状態がそのシステムで実現し得ないこと、
が確認されれば通信システムの信頼性の向上が図られ
る。

【０００４】一般に、通信システムに含まれるプロセス
の数は、同一の仕様を実現する場合であっても一意には
決められず、不特定多数とみなさざるを得ない。ここ
で、プロセスとは、たとえば通信端末や交換機などの通
信システムの構成要素に相当するエンティティ（機能）
である。プロセスの数が一意に決められないため、シス
テム全体の状態（広域状態）が可到達解析の対象として
用いられるのは適当ではない。その代わりに、可到達解
析の対象として用いられるのは、特定の個数の複数プロ
セスによって構成される準広域状態である。準広域状態
の可到達性を検査するには、初期状態から始めて、その
時点でのシステムの状態に対し適用可能なルールをすべ
て採用させる手順が繰返され、すべての可到達状態が実
際に生成されればよい。しかし、このように生成される
可到達状態の大きさは、初期状態として与えるプロセス
が増加されると単調増加する。

【０００５】通信システムのプロセス数を不特定多数と
想定すると、ある状態の可到達性がどのようなシステム
構成でも保障されるためには、プロセスの数は無限と仮
定されて解析が行なわれる必要がある。このような条件
の下で可到達状態集合が無限となるならばそもそもの解
析は不可能である。したがって、ルールの適用に無限の
繰返しが許されないような制限が設けられる必要があ
る。それによって可到達状態集合は有界となり解析の対
象となり得る。解析の対象となり得るためには、可到達
状態集合のすべての要素がルールの適用によって統一す
るために必要なプロセスが明確化される必要がある。

【０００６】そこで、このような問題を解決するため
に、“Ｒｅａｃｈａｂｉｌｉｔｙ Ａｎａｌｙｓｉｓ
ｆｏｒ ａ Ｂｅｈａｖｉｏｒ Ｄｅｓｃｒｉｐｔｉｏ
ｎ Ｉｎｄｅｐｅｎｄｅｎｔ ｏｆ ｔｈｅ Ｎｕｍｂ
ｅｒ ｏｆ Ｐｒｏｃｅｓｓ”，ＪＷＣＣ９３で以下の
ようなモデルに従う可到達解析が提案されている。

【０００７】状態遷移ルールは、時刻ｔにおいてあるイ
ベントｅｖｅｎｔが生起しかつあるＣｕｒｒｅｎｔ ｓ
ｔａｔｅ状態がシステム中に存在しているならば、時刻
（ｔ＋１）におけるシステムの状態はＣｕｒｒｅｎｔ
ｓｔａｔｅがＮｅｘｔ ｓｔａｔｅに書換えたものにな
るルールである。たとえば第（１）式および第（２）式
に示すものが状態遷移ルールである。第（１）式におい
て、プロセス状態ｓ₀，ｓ₀ に対しイベントｅｖ１が生
起して、プロセス状態ｓ₀ ，ｓ₁ が現われる。したがっ
て、第（１）式においては、Ｃｕｒｒｅｎｔ ｓｔａｔ
ｅがｓ₀ ，ｓ₀であり、イベントＥｖｅｎｔがｅｖ１で
あり、Ｎｅｘｔ ｓｔａｔｅがｓ₀ ，ｓ ₁ である。第
（２）式においても同様であり、プロセス状態ｓ₁ ，ｓ
₁ に対してイベントｅｖ２が生起し、プロセス状態
ｓ₀ ，ｓ₂ が現われる。この第（２）式においては、Ｃ
ｕｒｒｅｎｔ ｓｔａｔｅがｓ₁ ，ｓ₁ であり、イベン
トＥｖｅｎｔがｅｖ２であり、Ｎｅｘｔ ｓｔａｔｅが
ｓ₀ ，ｓ₂ である。

【０００８】ここでの状態遷移ルールにおける特徴的な
制約は、個々のプロセスの状態は、他のプロセスから独
立なものとして定義されなければならないことである。
このようにして、与えられた仕様について、システムを
構成するプロセス数と可到達集合の大きさの関係がこの
ようなモデルによって明らかにされていた。そして、無
限のプロセスの存在が仮定されるシステムの可到達性は
有限のプロセスのそれに置換えられていた。

【０００９】

【数１】

【００１０】

【発明が解決しようとする課題】しかしながら、上記の
ような状態遷移ルールによる可到達解析では、個々のプ
ロセスの状態は他のプロセスから独立なものとして扱わ
れていたため、プロセス間に関係がある場合の状態を定
義できず、ルール記述性が大きく制限されていた。

【００１１】それゆえに、この発明の主たる目的は、プ
ロセス間に関係づけが定義された場合であっても、可到
達解析を行なうことができるようなソフトウェア仕様の
検証装置を提供することである。

【００１２】

【課題を解決するための手段】請求項１に係る発明は、
ｎ個の機能手段の各々の状態が変数を含む状態記述手段
によって互いに関連づけがなされており、ｎ個の機能手
段の状態の遷移規則がプロダクションルールとして与え
られるソフトウェア仕様において、ｎ個の機能手段のう
ち任意のｍ個の機能手段によって形成される特定状態
が、ソフトウェア仕様で決定されるシステムに現れるか
否かを検証するソフトウェア仕様の検証装置であって、
ｍの値およびｍ個の機能手段の特定状態を与える状態付
与手段と、ｎ個の機能手段からなるシステムに現れる、
任意のｍ個の機能手段によって形成される状態の集合を
算出する集合算出手段と、ｎの値を増加させた場合に、
ｍ個の機能手段によって形成される状態の集合の増大が
上限に達したことを判定する上限判定手段と、上限判定
手段によって上限に達したことが判定されたｍ個の機能
手段によって形成される状態の集合の中に状態付与手段
によって与えられたｍ個の機能手段の特定状態が含まれ
るか否かを判定し、その判定結果に応じて、ｍ個の機能
手段の特定状態が前記仕様で与えられるシステムに現れ
るか否かを判定する状態判定手段とを備えて構成され
る。

【００１３】請求項２の発明では、請求項１の上限判定
手段がｎをｎ＝３^ｉで表わして、ｉの初期値を３^ｉ０＞
ｍを満たすｉに設定する設定手段と、ｎ＝３^ｉ個の機能
手段からなるシステムに現れるｍ個の機能手段による状
態の第１の集合を求める第１の集合演算手段と、ｉを１
だけ増加させたｉ←ｉ＋１に対応したｎ＝３^ｉ個の機能
手段からなるシステムに現れるｍ個の機能手段による状
態の第２の集合を求める第２の集合演算手段と、第１の
演算手段によって求められた第１の集合と、第２の集合
演算手段によって求められた第２の集合が等しいか否か
を判定する一致判定手段と、一致判定手段によって第１
の集合と第２の集合とが等しくなるまで第１および第２
の集合演算手段と一致判定手段とを動作させる制御手段
を備えて構成される。

【００１４】

【００１５】

【作用】請求項１の発明に係るソフトウェア仕様の検証
装置は、ｍの値およびｍ個の機能手段の特定状態を与
え、ｎ個の機能手段からなるシステムに現れる任意のｍ
個の機能手段によって形成される状態の集合を算出し、
ｎの値を増加させた場合にｍ個の機能手段によって形成
される状態の集合の増大が上限に達したことを判定し
て、判定されたｍ個の機能手段によって形成される状態
の集合の中に与えられたｍ個の機能手段の特定状態が含
まれるか否かを判定し、その判定結果に応じてｍ個の機
能手段の特定状態が前記仕様で与えられるシステムに現
れるか否かを判定する。

【００１６】

【００１７】

【００１８】

【実施例】まず、この発明の一実施例によるソフトウェ
ア仕様の検証方法を説明するために、原理について説明
する。

【００１９】はじめに、状態遷移ルールによる仕様記述
について説明する。前述したラピッドプロトタイピング
に有効なプロダクションシステムではプロダクションル
ールが必要である。このプロダクションルールの形式や
意味付けには様々な種類が考えられる。この発明に関す
るプロダクションルールとしては、複数のプロセス間に
わたる状態遷移規則が変数を含む書換え型のプロダクシ
ョンルール（以下、状態遷移ルールと呼ぶ）として与え
られる。

【００２０】このような方式は、通信サービス用仕様記
述言語ＳＴＲで採用されている方式である。したがっ
て、記述の対象となる通信システムは、複数のプロセス
が状態遷移を伴いながら協調して動作する協調分散シス
テムである。ここで、プロセスは、前述したように通信
端末や交換機などの通信システムの構成要素に相当する
エンティティ（機能）である。

【００２１】各プロセスの状態は、第（３）式で示され
るような状態記述要素と呼ばれる識別子によって与えら
れる。第（３）式においてＰｒｏｃｅｓｓ＿ｖａｒｉａ
ｂｌｅｓは、１個以上の変数の並びで、各変数の値は任
意のプロセス識別子をとる。２個以上の変数を持つ状態
記述要素は、その状態が複数のプロセスにわたって定義
されるものである。

【００２２】通信システムの状態は、変数が拘束された
システムに含まれるすべての状態記述要素の集合として
定義される。以下、このような状態記述要素の集合を広
域状態と呼ぶ。

【００２３】通信システムの仕様は、第（４）式のよう
な状態遷移ルールの集合として定義される。第（４）式
において、Ｃｕｒｒｅｎｔ＿ｓｔａｔｅ，Ｎｅｘｔ＿ｓ
ｔａｔｅは、状態記述要素の集合である。イベントｅｖ
ｅｎｔは、第（５）式のように表わされる。

【００２４】第（４）式に示されるような状態遷移ルー
ルは、時刻ｔにおいてあるイベントｅｖｅｎｔが生起し
かつＣｕｒｒｅｎｔ＿ｓｔａｔｅがシステム中に存在し
ているならば、時刻（ｔ＋１）におけるシステムの状態
はＣｕｒｒｅｎｔ＿ｓｔａｔｅをＮｅｘｔ＿ｓｔａｔｅ
に書換えたものになる、ことを意味する。ただし、１つ
のルール中に書かれた同じ名前の変数は、同一のプロセ
スを参照しなければならず、異なる変数は異なるプロセ
スを参照しなければならない。また、ルールはすべての
プロセスに対して、等しく適用可能である。

【００２５】図１は、状態遷移ルールの実行の様子を示
す図である。特に、図１（ａ）は、時刻ｔにおける広域
状態を示した図であり、図１（ｂ）は、時刻（ｔ＋１）
における広域状態を示した図であり、図１（ｃ）は、図
１（ａ）および図１（ｂ）による状態遷移ルールの記述
を示した図である。

【００２６】図１を参照して、図１（ａ）に示す広域状
態１は、｛ｓ０（ａ），ｓ０（ｂ），ｓ０（ｃ），ｓ２
（ｄ，ｅ），ｓ２（ｅ，ｄ）｝である。ここで、プロセ
スａに対してイベントｅｖ（ａ，ｂ）が生起した場合、
広域状態１の部分集合およびｅｖ（ａ，ｂ）とユニフィ
ケーション可能なＣｕｒｒｅｎｔ＿ｓｔａｔｅおよびＥ
ｖｅｎｔを持つルールが選択される。このルールは、図
１（ｃ）に示すようなルールである。すなわち、変数拘
束Ａ＝ａ，Ｂ＝ｂが得られて、Ｎｅｘｔ＿ｓｔａｔｅと
して｛ｓ１（ａ，ｂ），ｓ１（ｂ，ａ）｝が導かれる。
そして、第（６）式に示すような広域状態遷移が実行さ
れる。その結果、広域状態１は、広域状態３となる。こ
のような広域状態１から広域状態３への状態遷移は、第
（６）式によって表わされている。第（６）式のｓ０
（ａ），ｓ０（ｂ）が、Ｃｕｒｒｅｎｔ＿ｓｔａｔｅで
あり、第（６）式のｓ１（ａ，ｂ），ｓ１（ｂ，ａ）が
Ｎｅｘｔ＿ｓｔａｔｅである。

【００２７】

【数２】

【００２８】なお、図１に示した状態遷移ルールでは、
１つのプロセスが１つの状態記述要素に属しているが、
１つのプロセスが複数の状態記述要素に属することも可
能である。この場合、状態記述要素の書換えは、ルール
に一致した状態記述要素に対してのみ行なわれる。

【００２９】ルールの適用時における非決定性は排除さ
れる必要がある。このような理由のため、ルール記述に
以下のような制約条件が必要とされる。第１は、１つの
ルール中にプロセス識別子が決定不能な変数が存在して
はならないこと。第２は、複数のルールが同時に適用可
能となるようなルールの組が存在してはならないこと。
第３は、すべてプロセス識別子が同一な複数の状態記述
要素が広域状態中に存在してはならないこと。具体的に
説明すると、第１は、図１（ａ）におけるプロセスａか
らｅのように、同一のプロセス識別子が用いられていな
いことである。第２は、図１（ｃ）に示すような状態遷
移ルールに加え、Ｃｕｒｒｅｎｔ＿ｓｔａｔｅおよびＥ
ｖｅｎｔが同一であって、Ｎｅｘｔ＿ｓｔａｔｅが異な
る状態遷移ルールが存在してはならないことである。第
３は、図１（ａ）に示すような広域状態１において、た
とえば状態記述要素ｓ０（ａ）およびｓ０（ａ）が存在
しないことである。

【００３０】図２は、電話サービスにおける電話器の各
操作に対応する状態遷移ルールを示した図であり、図２
（ａ）は、サービスの状態を示した図であり、図２
（ｂ）は、図２（ａ）に対応する状態遷移ルールを示し
た図である。

【００３１】図２（ａ）の上段は、端末ａ，ｂがｉｄｌ
ｅの状態のとき、端末ａがｏｆｆｈｏｏｋされると、端
末ａはｄｉａｌ＿ｔｏｎｅ状態に遷移する。これについ
て、図２（ｂ）のルール（１）にその状態遷移ルールが
示されている。図２（ａ）の中段は、端末ａがｄｉａｌ
＿ｔｏｎｅ状態で、端末ｂに対してｄｉａｌすると、端
末ａがｒｉｎｇｂａｃｋ状態に、端末ｂがｒｉｎｇｉｎ
ｇ状態に遷移することが示されている。この中段の状態
は、図２（ｂ）のルール（２）で示されている。図２
（ａ）の下段は、端末ａがｒｉｎｇｂａｃｋ状態、端末
ｂがｒｉｎｇｉｎｇ状態で、端末ｂがｏｆｆｈｏｏｋさ
れると、端末ａ，ｂの状態がｐａｔｈに遷移することを
示している。この下段の状態は、図２（ｂ）のルール
（３）で示されている。

【００３２】図３および図４は、二者間通話の仕様を示
した図であり、図４は、図３の破線内における状態遷移
ルールにおいて、広域状態を示した図である。特に、図
４（ａ）は、時刻ｔにおける広域状態を示した図であ
り、図４（ｂ）は、時刻（ｔ＋１）の広域状態を示した
図である。

【００３３】図３の破線内の状態遷移ルールおよび図４
を参照して、時刻ｔにおける広域状態４は、｛ｄｉａｌ
＿ｔｏｎｅ（ａ），ｉｄｌｅ（ｂ），ｉｄｌｅ（ｃ），
ｐａｔｈ（ｄ，ｅ），ｐａｔｈ（ｅ，ｄ）｝である。こ
のような広域状態４において、イベントｄｉａｌ（ａ，
ｂ）が発生したとする。このときに、適用される状態遷
移ルールは、図３の破線内のルールである。したがっ
て、Ｃｕｒｒｅｎｔ＿ｓｔａｔｅとして、ｄｉａｌ＿ｔ
ｏｎｅ（Ａ），ｉｄｌｅ（Ｂ）が選ばれ、Ｅｖｅｎｔと
してｄｉａｌ（ａ，ｂ）が生起して、Ｎｅｘｔ＿ｓｔａ
ｔｅとしてのｒｉｎｇｂａｃｋ（ａ，ｂ），ｒｉｎｇｉ
ｎｇ（ｂ，ａ）にＣｕｒｒｅｎｔ＿ｓｔａｔｅが書換え
られる。これによって、図４（ｂ）に示すような時刻
（ｔ＋１）における広域状態５に広域状態４が遷移す
る。

【００３４】次に、可到達判定問題について説明する。
可到達判定問題は、協調分散システムの仕様を検証する
１つの方法である。可到達判定問題は、複数のプロセス
によって構成される特定の状態が与えられたシステムに
出現するか否かの検査である。このような複数のプロセ
スの可到達解析は、あるプロセスの挙動が他のプロセス
の状態によって影響されるため、単一プロセスにおける
可到達解析に比べて遙かに複雑な問題である。

【００３５】状態遷移ルールの集合で定義された複数プ
ロセスよりなるシステムの挙動は、初期状態に各々のル
ールを適用する操作が繰返すことによって得られる状態
遷移木によって与えられる。状態遷移木の接点は、各広
域状態である。

【００３６】広域状態を対象とした可到達解析を行なう
ことは、一般の通信システムでは非現実的である。なぜ
ならば、システム中に含まれるプロセスの数は、一般に
不特定多数と考えざるを得ない。たとえば、電話交換機
における端末である。そこで、広域状態のプロセス数が
固定された部分集合として準広域状態が新たに定義さ
れ、この準広域状態の可到達解析について説明する。

【００３７】（定義１）通信システム、広域状態、準広
域状態を以下のように定義する。通信システムＴ_n は、
特定の仕様によって定義されたｎプロセスからなるシス
テムである。

【００３８】広域状態ｇ_n は、通信システムＴ_n のある
時刻における状態記述要素の集合である。したがって、
広域状態ｇ_n は、第（７）式のように表わされる。

【００３９】準広域状態ｓｇ_m は、特定のｍ個のプロセ
スによって構成される状態である。したがって、準広域
状態ｓｇ_m は、第（８）式のように表わされる。

【００４０】ただし、第（７）式および第（８）式にお
けるｕ_i は、状態記述要素を値とする変数である。

【００４１】このような準広域状態を対象とした可到達
判定問題は、定義２のように定義される。

【００４２】（定義２）可到達判定問題は、システムＴ
_n および準広域状態ｓｇ_m が与えられたとき、システム
Ｔ_n の状態遷移木中のある広域状態ｇ_n が、準広域状態
ｓｇ _m を含むか否かを判定する問題である。

【００４３】一般に、通信サービスでは、すべての端末
の初期状態は同一である。そこで、以下では、システム
Ｔ_n 内のすべてのプロセスの初期状態は同一のｓ₀ と仮
定する。

【００４４】次に、可到達状態集合のプロセス数依存性
について説明する。 （定義３）システムＴ_n において準広域状態ｓｇ_m が可
到達状態であることを _n →ｓｇ_m と表わしたとき、可到
達状態集合Ｒ_m （ｎ）は、第（９）式のように定義され
る。準広域状態ｓｇ_m に含まれるプロセスの数はｍで固
定されているが、可到達状態集合Ｒ_m （ｎ）の大きさは
ｎに依存する。以下に具体的な例を示す。

【００４５】すべてのプロセスの初期状態がｓ０であ
り、かつ第（１０）式および第（１１）式に示される状
態遷移ルールによって定義されるシステムにおいて、プ
ロセス２の準広域状態に関する可到達状態集合Ｒ
_m （ｎ）を求める。

【００４６】プロセスをａ，ｂとすると、初期広域状態
は｛ｓ０（ａ），ｓ０（ｂ）｝である。この広域状態に
適用可能なルールは、第（１０）式および第（１１）式
のうち第（１０）式のみである。よって、第（１１）式
の｛（ｓ０（ａ），ｓ１（ｂ）｝に適用可能なルールは
存在せず、第（１２）式に示された遷移木中に到達可能
なすべての状態が含まれている。したがって、第（１
２）式に示された各広域状態について２プロセスによっ
て構成される準広域状態が抽出されると、可到達状態集
合Ｒ₂ （２）は、第（１３）式のようになる。ただし、
第（１３）式において、プロセス識別子は省略されてい
る。

【００４７】一方、第（１０）式および第（１１）式で
定義されるシステムにおいて、プロセスａ，ｂ，ｃ，ｄ
によるプロセス４の準広域状態に関する可到達状態集合
Ｒ₂（４）を求める。状態遷移木は、第（１４）式から
第（１９）式で示される。第（１４）式は、初期広域状
態｛ｓ０（ａ），ｓ０（ｂ），ｓ０（ｃ），ｓ０
（ｄ）｝に対し、第（１０）式が適用された場合を示し
ている。第（１５）式は、第（１４）式で示された広域
状態に対しさらに第（１０）式のルールが適用された場
合を示している。第（１６）式は、第（１５）式で示さ
れる広域状態に対して第（１１）式による状態遷移ルー
ルが適用された場合を示している。第（１７）式は、第
（１６）式による広域状態に対して第（１０）式による
状態遷移ルールが適用された場合を示している。第（１
８）式は、第（１７）式による広域状態に対して第（１
０）式による状態遷移ルールが適用された場合を示して
いる。第（１９）式は、第（１８）式による広域状態に
対して第（１１）式による状態遷移ルールが適用された
場合を示している。

【００４８】第（１４）式から第（１９）式で示される
状態遷移木の接点は、各広域状態であり、各広域状態に
ついて２プロセスの組合せによる準広域状態が抽出され
た場合には、可到達状態集合Ｒ₂ （４）は、第（２０）
式のようになる。ただし、第（２０）式においてもプロ
セス識別子は省略されている。

【００４９】

【数３】

【００５０】このように、可到達解析のためには、シス
テムＴ_n のプロセスｎが幾つに仮定されるかが問題であ
る。仮に、可到達状態集合Ｒ_m （ｎ）がプロセス数ｎに
対し単調増加かつ有界であるならば、無限プロセス（ｎ
＝∞）を含むシステムを仮定しても、有限な集合Ｒ
_m （∞）が存在する。ある準広域状態が集合Ｒ_m （∞）
に含まれないならば、どのような規模のシステムにおい
てもその状態は発生し得ない。また、準広域状態がＲ_m
（∞）に含まれるならば、十分大きなプロセスｎが用意
されれば、その状態が実現される。したがって、以下
に、このような集合Ｒ _m （∞）の存在の証明、および、
これを求めることについて説明する。

【００５１】無限のプロセスを含むシステムにおける可
到達問題の解決に先立ち、可到達性に関する幾つかの性
質を説明する。

【００５２】広域状態ｇ_n ＝｛ｕ₁ ，ｕ₂ ，…，ｕ_l ｝
_n について、各ｕ_i に含まれるプロセス識別子がプロセ
ス間の関係を保存しつつ書換えられることによって得ら
れる任意の広域状態（準広域状態）は、同型の広域状態
（同型の準広域状態）と呼ばれる。

【００５３】図５は、同型の広域状態を示した図であ
る。図５（ａ）に示す広域状態６は、｛ｓ１（ｐ１，ｐ
２），ｓ２（ｐ２，ｐ１），ｓ３（ｐ３）｝である。図
５（ｂ）に示す広域状態７は、｛ｓ１（ｐ２，ｐ３），
ｓ２（ｐ３，ｐ２），ｓ３（ｐ１）｝であり、図５
（ｃ）に示す広域状態８は、｛ｓ１（ｐ１，ｐ３），ｓ
２（ｐ３，ｐ１），ｓ３（ｐ２）｝である。このよう
に、プロセス識別子がプロセス間の関係を保存するよう
に書換えられているため、広域状態６，７，８は、同型
の広域状態である。

【００５４】広域状態ｇ_n に含まれるプロセス識別子
を、同一のプロセスは同一の変数に、異なるプロセスは
異なる変数に書換えたものをＧ_n とすると、Ｇ_n は広域
状態ｇ _n と同型のすべての広域状態を代表するメタ状態
である。同様に、準広域状態ｓｇ_m に対するメタ状態は
ＳＧ_m である。

【００５５】（定理１）_n →ｓｇ_m ならば_n →ＳＧ_m で
ある。 （証明）システムＴ_n 内のすべてのプロセスの初期状態
は、同一なので、システムＴ_n の状態遷移木に含まれる
任意の広域状態ｇ_n を考えると、広域状態ｇ_nと同型な
広域状態もこの遷移木に含まれる。よって、定理１は明
らかである。

【００５６】このように、可到達性に関しては、広域状
態ｇ_n と広域状態のメタ状態Ｇ_n 、準広域状態ｓｇ_m と
準広域状態のメタ状態ＳＧ_m は等価である。よって、以
下では、広域状態ｇ_n 、準広域状態ｓｇ_m の代わりに、
それぞれのメタ状態であるＧ _n 、ＳＧ_m を広域状態、準
広域状態として用いる。

【００５７】（定理２）可到達状態集合Ｒ_m （ｎ）はｎ
に関して単調増加である。 （証明）可到達状態集合Ｒ_m （ｎ）が単調増加でないと
仮定すると、第（２１）式を満たすＮが存在する。ここ
で、システムＴ_N+1 のうちＮ個のプロセスについてのみ
ルールが適用されて得られる可到達状態集合をＲ′
_m （Ｎ＋１）とすれば、明らかに、第（２２）式が成り
立つ。第（２２）式から第（２３）式が得られるので、
この第（２３）式は第（２１）式の仮定に反する。した
がって、可到達状態集合Ｒ_m （ｎ）は、単調増加であ
る。

【００５８】

【数４】

【００５９】（定理３）可到達状態集合Ｒ_m （ｎ）はｎ
に関して有界である。 （証明）システムＴ_n における任意の準広域状態ＳＧ_m
について考えると、準広域状態ＳＧ_m に含まれる状態記
述要素の種類は有界であり、ルール記述に関する制限か
ら、同一プロセスに関する状態記述要素は高々１つしか
存在しない。よって、準広域状態ＳＧ_m の種類は有限で
ある。したがって、可到達状態集合Ｒ_m（ｎ）は有界と
なる。

【００６０】このように、定理２および定理３から、可
到達状態集合Ｒ_m （ｎ）の最大値（Ｒ_m ）_max を与え、
かつそれ以上の数ではＲ_m （ｎ）＝（Ｒ_m ）_max となる
ようなｎ＝Ｎ_max の存在が保障される。このようなＮ
_max を求めるために、可到達状態集合Ｒ_m （ｎ）とプロ
セスｎとの関係について説明する。

【００６１】（定義４）最少プロセス数Ｍｉｎ（Ｇ_n ，
ｍ）は、広域状態Ｇ_n に含まれる任意のｍ個のプロセス
からなる準広域状態ＳＧ_m ⊆Ｇ_n について、_i →ＳＧ_m
を満たす最少のｉ（ｍ≦ｉ≦ｎ）である。

【００６２】（定義５）最大連結数Ｃ_max を以下のよう
に定義する。広域状態をグラフで表現したとき、状態プ
リミティブによって連結されているプロセスの数を連結
数と呼ぶことにする。最大連結数Ｃ_max は、このとき
の、システムＴ_n の状態遷移木に含まれるすべての広域
状態Ｇ_n の連結数の最大値である。

【００６３】（定理４）時刻ｔにおける広域状態Ｇ
_n （ｔ）がルールの適用によって時刻（ｔ＋１）に広域
状態Ｇ_n （ｔ＋１）となったとする。ルールで参照され
るプロセスの数の最大値をＫ_max とし、最大連結数をＣ
_max とすると、ｍ≧Ｋ_max かつｍ≧Ｃ_max を満たすｍに
関して以下の性質が成り立つ。

【００６４】Ｍｉｎ（Ｇ_n （ｔ＋１），ｍ）≦３・Ｍｉ
ｎ（Ｇ_n （ｔ），ｍ） 図６は、定理４の証明に用いる図である。

【００６５】（証明）ある状態遷移ルールのＣｕｒｒｅ
ｎｔ＿ｓｔａｔｅおよびＥｖｅｎｔで参照されるプロセ
ス数をｋｃ、Ｎｅｘｔ＿ｓｔａｔｅで参照されるプロセ
ス数をｋｎとすると、ｋｃ≧ｋｎである。ここで、ｋｃ
＞ｋｎである場合は、Ｎｅｘｔ＿ｓｔａｔｅで参照され
ていないプロセス識別子を含む状態プリミティブがＣｕ
ｒｒｅｎｔ＿ｓｔａｔｅに存在することを意味する。こ
の状態プリミティブをＮｅｘｔ＿ｓｔａｔｅに加えても
状態遷移ルールの意味は保存される。したがって、以後
の証明では、すべての状態遷移ルールはｋｃ＝ｋｎ＝ｋ
となるように正規化されていると仮定する。

【００６６】図６に示すように、第（２４）式で表わさ
れた状態遷移ルールによって、広域状態Ｇ_n （ｔ）は、
広域状態Ｇ_n （ｔ＋１）に遷移する。ここで、広域状態
Ｇ_n（ｔ＋１）に含まれるｍプロセス数の準広域状態Ｓ
Ｇ_m （ｔ＋１）が可到達となる十分条件は、第（２５）
式で示される条件である。すなわち、広域状態Ｇ
_n （ｔ）において、準広域状態ＳＧ_m （ｔ＋１）のルー
ル適用前の状態ＳＧ_m （ｔ）とルール適用によって参照
される状態ＳＧ_k （ｔ）が存在することである。

【００６７】次に、図６に示されるＳＧ_k （ｔ）∪ＳＧ
_m （ｔ）がｍ以下のプロセスを含む、他の部分と連結を
持たない高々３つの部分に分割可能であることを示す。

【００６８】ＳＧ_k （ｔ）∪ＳＧ_m （ｔ）内で、連結さ
れているプロセスのみで構成される準広域状態ＳＧＣを
連結数の多い順にソートしたものをＳＧＣ_i とする。こ
の場合、ＳＧ_k （ｔ）∪ＳＧ_m （ｔ）とＳＧＣ_i との関
係においては、第（２６）式が成立する。

【００６９】そして、たとえば、図６の広域状態Ｇ
_n （ｔ）では、ＳＧＣ₁ は、連結数５であり、ＳＧＣ₂
は連結数５であり、ＳＧＣ₃ は連結数４であり、ＳＧＣ
₄ は連結数１である。このような各ＳＧＣ_i に含まれる
プロセス数をｐｎ（ＳＧＣ_i ）としたとき、定義５で定
義された最大連結数Ｃ_max は、ｍ以下なので、第（２
７）式を満たす最大のＬ′が存在する。

【００７０】たとえば具体的に説明すると、ｍは図６の
準広域状態ＳＧ_m では８なので、最大のＬ′は１であ
る。すなわち、ｐｎ（ＳＧＣ₁ ）は５であり、このｉ＝
１までは第（２７）式を満たす。次のｐｎ（ＳＧＣ₂ ）
がさらに加わると、ｐｎ（ＳＧＣ₁ ）＋ｐｎ（ＳＧ
Ｃ₂ ）＝１０となり、ｍ＝８を超えてしまう。したがっ
て、第（２７）式を満たす最大のＬ′は１である。

【００７１】このような最大のＬ′をＬ_max とすると、
第（２６）式の左辺であるＳＧ_k （ｔ）∪ＳＧ_m （ｔ）
は、第（２８）式に示すＳＧ１と第（２９）式に示すＳ
Ｇ２と第（３０）式に示すＳＧ３に分割された場合、Ｓ
Ｇ_k （ｔ）∪ＳＧ_m （ｔ）に含まれるプロセス数は２ｍ
以下なので、第（２８）式から第（３０）式に示される
ＳＧ１，ＳＧ２，ＳＧ３の各々に含まれるプロセス数は
ｍ以下となる。

【００７２】このことを具体的に説明すると、図６の場
合において、ＳＧ１＝｛ＳＧＣ₁ ｝、ＳＧ２＝｛ＳＧＣ
₂ ｝、ＳＧ３＝｛ＳＧＣ₃ ，ＳＧＣ₄ ｝である。ＳＧ１
のプロセス数は第（２７）式から決定されたように、５
であり、ｍ＝８以下となっている。ＳＧ２に含まれるプ
ロセス数は５であり、ＳＧ３に含まれるプロセス数は５
である。このように、ＳＧ１，ＳＧ２，ＳＧ３は、図６
においては、ライン９，１０，１１によって分割され
る。第（２７）式で決定されるＬ_max は、ＳＧ１，ＳＧ
２，ＳＧ３の各々に含まれるプロセス数をｍ以下にして
いる。

【００７３】以上のように分割されたＳＧ１，ＳＧ２，
ＳＧ３は、それぞれ定義４で定義された最少プロセス数
Ｍｉｎ（Ｇ_n （ｔ），ｍ）個の初期プロセスから可到達
可能である。このことは、第（３１）式に示されてい
る。第（３１）式および第（２５）式によって、第（３
２）式のように準広域状態ＳＧ_m （ｔ＋１）も可到達と
なる。準広域状態ＳＧ_m （ｔ＋１）に対しての最少プロ
セス数Ｍｉｎ（Ｇ_n （ｔ＋１），ｍ）との関係から、第
（３３）式に示すような最少プロセス数の関係が得られ
る。

【００７４】

【数５】

【００７５】（定理５）任意のシステムＴ_n について、
以下の性質を満たすＮが存在する。 Ｒ_m （３ⁱ ）⊂Ｒ_m （３ⁱ⁺¹ ） ｉ＜Ｎ Ｒ_m （３ⁱ ）＝Ｒ_m （３ⁱ⁺¹ ） ｉ≧Ｎ （証明）Ｒ_m （３^N ）＝Ｒ_m （３^N+1 ）のとき、Ｒ
_m （３^M ）⊃Ｒ_m （３^M+1）となるＭ＞Ｎが存在すると
仮定する。このとき、第（３４）式の条件を満足する準
広域状態ＳＧ_m が存在する。

【００７６】したがって、第（３５）式で示される３
^M+1 プロセスからなる初期広域状態から第（３６）式で
示される準広域状態ＳＧ_m を含む第（３７）式に示され
る広域状態への第（３８）式に示されるような遷移系列
が存在する。

【００７７】第（３８）式に示される遷移系列の各広域
状態に定義４で定義された最少プロセス数を適用した第
（３９）式に示される系列を考えるとする。

【００７８】ここで、第（３９）式の上段であり＊で示
した最少プロセス数Ｍｉｎはｍであり、第（３９）式の
最下段であり☆で示した最少プロセス数Ｍｉｎは３^M+1
なので、第（４０）式および第（４１）式の関係を満た
すＬ＜ｎが存在する。

【００７９】一方、定理４より、第（４２）式が成立す
る。したがって、第（４０）式および第（４２）式によ
って第（４３）式が成立する。さらに、第（４１）式お
よび第（４３）式によって第（４４）式が成立する。

【００８０】第（４４）式は、第（４５）式を満たす準
広域状態ＳＧ′_m が存在することを意味する。しかしな
がら、このことは証明の初めに仮定したＲ_m （３^N ）＝
Ｒ_m（３^N+1 ）の仮定に反している。よって、そのよう
なＭは存在しない。したがって、Ｒ_m （３^N ）＝Ｒ
_m （３^N+1 ）ならば、ｉ＞ＮについてＲ_m （３ⁱ ）＝Ｒ
_m（３ⁱ⁺¹ ）が成り立つ。

【００８１】Ｒ_m （ｎ）は、ｎに関して単調増加かつ有
界であるから、このようなＮは必ず存在する。

【００８２】

【数６】

【００８３】図７は、定理５についてのグラフである。
システムを構成するプロセス数が３倍ずつ増加されてい
くと、ある時点で可到達状態集合の大きさが変化しなく
なる。そのときの値が可到達状態集合の最大値（Ｒ_m ）
_{N max} である。また、Ｎ_max は３^N-1 と３^N との間に存
在する。これによって、プロセス数が無限の（ｎ＝∞）
によるシステムにおける可到達問題は、ｎ＝Ｎ_max によ
るシステムの可到達問題に還元される。

【００８４】図８は、この発明の一実施例によるソフト
ウェア仕様の検証方法を示すためのフローチャートであ
る。

【００８５】図８を参照して、ステップ（図面ではＳで
表わす）１において、定理４において制約を受ける準広
域状態のプロセス数ｍが入力される。このｍは、ｍ≧Ｋ
_maxかつｍ≧Ｃ_max を満たす値である。さらに、ステッ
プ１において、変数ｉが１とされる。可到達状態集合Ｒ
として、初期値としてＲ₀ がφ（空集合）とされる。

【００８６】ステップ２において、可到達状態集合Ｒ_m
（ｎ）のそのパラメータであるｎの値が大きくされて、
Ｒ_m （ｎ）の値が一定値とされる。さらにステップ２に
ついて詳しく説明する。

【００８７】ステップ２１において、Ｒ₁ がＲ_m （ｍ）
とされる。これは、ステップ１においてｉが１とされ、
ｎがｍとされたためである。

【００８８】ステップ２２において、Ｒ₁ がＲ₀ と一致
するか否か判定される。Ｒ₀ は空集合φであったため、
この空集合とステップ２１において決定されたＲ
_m （ｍ）との値が一致すればステップ２３に進み、一致
しない場合には後で説明するステップ３に進む。

【００８９】ステップ２３において、ｉの値が１加算さ
れる。さらに、ｎの値が３倍される。ステップ２４にお
いて、３倍されたｎに対する可到達状態集合Ｒ_m （ｎ）
をＲ _i とする。ステップ２５においてＲ_i とＲ_i-1 とが
一致するか否か判定される。一致した場合にはステップ
３に進み、一致しない場合にはステップ２３に戻る。こ
こでのループは、図７に示したグラフでのｎの値が３倍
ずつ変化することに伴って可到達状態集合Ｒ_m （ｎ）の
値が一定値になるか否か判定されていることと等価であ
る。

【００９０】このようなステップ２１からステップ２５
に示される処理の後、ステップ３において、別途入力さ
れた準広域状態ＳＧ_m が一定値となった可到達状態集合
Ｒ_iに含まれるか否か判定される。含まれる場合にはス
テップ４１に進み、含まれない場合にはステップ４２に
進む。ステップ４１は、準広域状態ＳＧ_m が可到達であ
ることを示し、ステップ４２は、準広域状態ＳＧ_m が非
可到達状態であることを示す。このようなステップ４１
およびステップ４２によるステップ４は結果的に、ステ
ップ３の判定結果に応じてｍ個のプロセスによる状態が
ｎ＝Ｎ_max で決定されるシステムに現われるか否かを判
定している。このように準広域状態ＳＧ _m が可到達であ
るか否か判定された結果、処理は終了する。

【００９１】以上のことをまとめる。本発明の一実施例
によるソフトウェア仕様の検証方法では、書換え型のプ
ロダクションルールにおける状態記述要素が、変数を含
み、複数プロセス間の関連づけをも表現可能としてい
る。このことは、従来例では行なわれていなかった。こ
れは、プロセスのそれぞれが従来では独立として扱われ
ていたため状態記述要素に変数を含む必要がなかったた
めである。仮に、従来例の状態記述要素に変数を用いた
とすると、プロセス間に関係がある場合には、たとえば
ｐａｔｈ＿ｂ（ａ），ｐａｔｈ＿ｃ（ａ）のように相手
プロセスごとに異なる識別子を定義せざるを得ない。こ
のような記述は複雑となり記載を困難化させてしまう。

【００９２】ところが、本実施例のような方法では、前
述のｐａｔｈ＿ｂ（ａ），ｐａｔｈ＿ｃ（ａ）はｐａｔ
ｈ（ａ，ｂ），ｐａｔｈ（ａ，ｃ）のようにパラメータ
内に含めて記述できる。したがって、仕様の記述力は飛
躍的に増大する。

【００９３】

【発明の効果】以上のように、この発明によれば、ｎ個
の機能手段からなるシステムに現れる任意のｍ個の機能
手段によって形成される状態の集合を算出して、ｎの値
を増加させた場合にｍ個の機能手段によって形成される
状態の集合の増大が上限に達したことを判定し、判定さ
れたｍ個の機能手段によって形成される状態の集合の中
に与えられたｍ個の機能手段の特定状態が含まれている
か否かを判定し、その判定結果に応じてｍ個の機能手段
の特定状態が仕様で与えられるシステムに現れるか否か
を判定するようにしたので、たとえば変数が複数必要と
される機能手段間の関連づけがある状態遷移規則であっ
ても、ｍ個の機能手段の特定状態がソフトウェア仕様で
決定されるシステムに現れるか否かを検証できる。

【図面の簡単な説明】

【図１】状態遷移ルールの実行の様子を示す図である。

【図２】電話サービスにおける電話器の各操作に対応す
る状態遷移ルールを示す図である。

【図３】二者間通話の仕様を示す図である。

【図４】図３に示された仕様のうちで破線で囲まれた範
囲の状態遷移ルールを説明するための図である。

【図５】同型の広域状態を示す図である。

【図６】定理５を説明するための図である。

【図７】システムを構成するプロセス数ｎと可到達状態
集合Ｒ_m （ｎ）との関係を示したグラフである。

【図８】この発明の一実施例によるソフトウェア仕様の
検証方法を示すフローチャートである。

【符号の説明】

１，３，４，５，６，７，９，１０，１１ 広域状態

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁶，ＤＢ名) G06F 9/06 G06F 9/44

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 ｎ個の機能手段の各々の状態が変数を含
   む状態記述手段によって互いに関連づけがなされてお
   り、前記ｎ個の機能手段の状態の遷移規則がプロダクシ
   ョンルールとして与えられるソフトウェア仕様におい
   て、前記ｎ個の機能手段のうち任意のｍ個の機能手段に
   よって形成される特定状態が、前記ソフトウェア仕様で
   決定されるシステムに現れるか否かを検証するソフトウ
   ェア仕様の検証装置であって、 前記ｍの値およびｍ個の機能手段の特定状態を与える状
   態付与手段と、 前記ｎ個の機能手段からなるシステムに現れる任意のｍ
   個の機能手段によって形成される状態の集合を算出する
   集合算出手段と、 前記ｎの値を増加させた場合に、前記ｍ個の機能手段に
   よって形成される状態の集合の増大が上限に達したこと
   を判定する上限判定手段と、 前記上限判定手段によって上限に達したことが判定され
   たｍ個の機能手段によって形成される状態の集合の中
   に、前記状態付与手段によって与えられたｍ個の機能手
   段の特定状態が含まれるか否かを判定し、その判定結果
   に応じて、前記ｍ個の機能手段の特定状態が、前記仕様
   で与えられるシステムに現れるか否かを判定する状態判
   定手段を備えた、ソフトウェア仕様の検証装置。
2. 【請求項２】 前記上限判定手段は、 前記ｎをｎ＝３^ｉで表わして、ｉの初期値を３^ｉ０＞ｍ
   を満たすｉ_０に設定する設定手段と、 ｎ＝３^ｉ個の機能手段からなるシステムに現れる前記ｍ
   個の機能手段による状態の第１の集合を求める第１の集
   合演算手段と、 ｉを１だけ増加させたｉ←ｉ＋１に対応したｎ＝３^ｉ個
   の機能手段からなるシステムに現れる前記ｍ個の機能手
   段による状態の第２の集合を求める第２の集合演算手段
   と、 前記第１の演算手段によって求められた第１の集合と、
   前記第２の集合演算手段によって求められた第２の集合
   が等しいか否かを判定する一致判定手段と、 前記一致判定手段によって前記第１の集合と前記第２の
   集合とが等しくなるまで前記第１および第２の集合演算
   手段と前記一致判定手段を動作させる制御手段を備え
   た、請求項１に記載のソフトウェア仕様の検証装置。