JPS61150547A - プロトコルの論理検証方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 （産業上の利用分野） 本発明は、通信プロトコルの仕様を入力し、それに含ま
れる内部矛盾を仕様誤りとして検出するとともに仕様誤
りを訂正するためのデー夕を出力するプロトコルの論理
検証方式に関する。

（従来の技術） プロトコルとは、交換機、端末等の複数の各種通信装置
あるいは装置内の複数の論理モジュール間の通信規約を
いう、近年の情報通信システムの高度化・多様化に伴い
プロトコル仕様は大規模化・複雑化してきた。又、大規
模ソフトウェアの生産にあたって、プログラムをいくつ
かのモジュールに分割して作成し、これを組合せて全体
として所期の動作を達成するよう構成することが多い。

この場合、モジュール間のプロトコルに論理的矛盾が無
いように設計する必要がある。このように、いくつかの
装置、あるいはプロセスが各々連絡をとり合って動作し
全体として所定の目的を達成するようなシステムの設計
がますます重要となっている。

このようなシステムの設計法を確立するためには、プロ
トコル仕様の要求仕様を明確に記述し、かつ論理的矛盾
がないことを事前に検証できることが必要である。プロ
トコル仕様への非形式的要求を分析して形式的に要求仕
様を記述することにより、曖昧性を削除できるので、プ
ロトコル仕様を明確化するとともに自動的検証が可能と
なる。

プロトコル仕様段階でエラーを発見できれば、ソフトウ
ェアの開発保守段階から仕様設計段階へのフィードバッ
クをなくすことができるので、ソフトウェアの生産性を
向上させることができる。

従来、一般的に複数のプロセスをもつプロトコルに対し
、システム状態を各プロセスの状態とプロセス間の各チ
ャネルの状態で定義し、初期状態から到達可能なシステ
ム状態を全て列挙すること、あるいは、検証項目を検出
するために必要な部分集合を列挙する方式が数多く報告
されている。（例えば、Ｃ，Ｈ，Ｗｅｓｔ　：　“Ｇｅ
ｎｅｒａｌ　ｔｅｃｈｎｉｑｕｅｆｏｒ　ｃｏ＋ｓｍｕ
ｎｉｃａｔｉｏｎｓ　ｐｒｏｔｏｃｏｌ　ｖａｌｉｄａ
ｔｉｏｎ”ＩＢＭＪ、Ｒｅｓ、Ｄｅｖｅｌ、、Ｊｕｌｙ
　１９７８）これに対し、前述のシステム状態を列挙す
る方法と異なり、各プロセスの状態でメツセージが送信
・受信可能であるための条件に従い、各プロセスの状態
遷移を木状に展開する方式が最近報告された。（例えば
、Ｄ、Ｂｒａｎｄ　ａｎｄ　Ｐ、Ｚａｆｉｒｏｐｕｌｏ
　：　Ｏｎｃｏｍｍｕｎｉｃａｔｉｎｇ　ｆｉｎｉｔｅ
−ｓｔａｔｅ　ｍａｃｈｉｎｅ、　”　ＩＢＭ　Ｒｅｓ
。

Ｒｅｐ、ＲＺ１０５３，１９８１） 本願は後者のプロセス単位で検証する方式に係るので、
この従来技術を第１図、第２図を用いて説明する。第１
図は、検証しようとするプロトコルの一例であって、プ
ロセス１．２および３からなる通信システムのプロトコ
ル仕様を図示したものである。ここで、通信システムと
は、例えば、プロセスｌおよび３が端末装置、プロセス
３が交換機であるシステムであってもよいし、また、プ
ロセス１，２．３がともにＣＰＵ内にあってもよい、す
なわち、他の機能と信号の送受信（送信または受信だけ
であってもよい）を行う処理単位をプロセスと呼ぶ、互
いに信号の授受を行う複数のプロセスを総称して通信シ
ステムと呼ぶ、第１図ハフロセス数３の場合のプロトコ
ルの一例である。

第１図において、丸印はプロセスの状態、矢印は状態遷
移、矢印上のラベル−Ｘ及び＋Ｘはそれぞれ信号Ｘの送
信及び受信を表す、各プロセスの初期状態はｌとする。

従って、プロセス１はｌを初期状態として、プロセス２
に対し信号ｌを送信すれば状態２に遷移し、プロセス３
から信号３を受信すれば状態３に遷移する等、動作して
いることがわかる。こように、各プロセスの動作は比較
的容易に理解できるが、プロセスｌ　、　２　、３（７
）相互間に論理矛盾があるか否かを判定することは容易
でない。

前述したプロトコル検証の従来技術とは、一つの信号の
送信及び受信による実行可能な状態遷移を初期状態から
実行することにより各プロセスの状態遷移を本状に展開
し、その過程で論理矛盾、すなわち仕様誤りを検出して
いた。第１図のプロトコル例に、この従来技術を適用し
た結果を第２図に示す、この第２図は各プロセスの状態
遷移を展開したものであるので状態遷移展開図と呼ぶ。

また、システム状態はプロセスの状態にその状態に到達
するために必ず到達しているはずの他のプロセスの状態
を付けることで把握している。このプロセス対応の状態
対を各状態のＬ値とよぶ。

以降、第１図のプロトコル例に対する状態遷移展開図の
描き方及び各状態のＬ値の計算法を説明する。先ず、各
プロセスの初期状態はｌであるので、各プロセスに対し
■を描き、１のＬ値をそれぞれ（１，１，１）と初期設
定する０例えば、プロセス１の状態１のＬ値（１，１，
１）において、第１要素はプロセス１は自身のプロセス
の状態が１であることを示し、第２，３要′素はプロセ
スｌはプロセス２．３の状態がそれぞれ１．１であるこ
とを知っていることを示している。この時点で実行可能
な送信遷移はプロセスｌの−ｌ、プロセス２の−３であ
る。プロセスｌの送信遷移−１の実行に対し、ラベル−
１のついた矢印と■を描く、−１の送信によりプロセス
ｌはプロセス２，３の状態の変化を知らないのでプロセ
スｌの状態２のＬ値を（２，１，１）とする、第１要素
２はプロセスｌ自身の状態が２であることを示している
。プロセスｌの送信遷移−１に対応してプロセス２の受
信遷移＋１を実行する。この実行に対し、ラベル＋１の
ついた矢印と■を描く、＋１の受信によりプロセス２は
プロセス１の状態が２であることを知ることができる。

しかし、３の状態の変化を知らないので、プロセス２の
状態２のＬ値を（２，２，１）とする、第２要素２はプ
ロセス２自身の状態が２であることを示している。

プロセス２の送信遷移−３の実行に対し、ラベル−３の
ついた矢印と■を描く、−３の送信によりプロセス２は
プロセス１．３の状態の変化を知らないのでプロセス２
の状態３のＬ値を（１，３，１）とする、又、この送信
−３の実行により、プロセス２の状態３でプロセスｌの
状態を１と認識しているので、プロセスｌの送信遷移−
１の実行が可能であり、プロセス２には信号ｌの受信遷
移＋１があるべきと判定できる。このため、ラベル＋ｌ
にの矢印を描こうとする。しかし、第１図のプロトコル
例ではプロセス２の状態３で受信遷移＋１が定義されて
いないため、未定義実行可能遷移と判定する。これを表
現するために、便宜上、ラベル＋１の点線矢印を描く、
プロセス２の送信遷移−３に対応してプロセス１の受信
遷移＋３を実行する。この実行に対し、ラベル＋３のつ
いた矢印と■を描く、＋３の受信によりプロセスｌはプ
ロセス２の状態が３であることを知ることができる。し
かし、プロセス３の状態の変化を知らないので、プロセ
ス１の状態３のＬ値を（３，３，１）とする。第１要素
３はプロセスｌ自身の状態が１であることを示している
。又、このときプロセスｌの状態ｌから２への送信遷移
が既に存在するので、プロセスｌの状態２で信号３の受
信が可能であることがわかる。このため、ラベル＋３の
矢印を描こうとする。しかし、第１図のプロトコル例で
はプロセス１の状態２で受信遷移＋３が定義されていな
いため、上述と同様未定義実行可能遷移と判定し、便宜
上、ラベル＋３の点線矢印を描く、この時点で、実行可
能な送信遷移はプロセス１の−２，−５及びプロセス２
の−４である。プロセスｌの送信遷移−５の実行に対し
ラベル−５のついた矢印と■を描く。この状態４のＬ値
を（４，１，１）とする、プロセス１の送信遷移−５に
対応してプロセス３の受信遷移＋５を実行する。

この実行に対し、ラベル＋５のついた矢印と■を描く、
この状８２のＬ値を（４，１，２）とする、ここで、プ
ロセス３の−６が実行可能となる。この実行に対し、ラ
ベル−６のついた矢印と■を描く。

この状態ｌのＬ値を（４，１，１）とする、プロセス３
の送信遷移−６に対応してプロセスｌの受信遷移＋６を
実行する。この実行に対し、ラベル＋６のついた矢印と
＠を描く、この状態４のＬ値を（４，１，１）とする、
このとき、プロセス１，２．３のそれぞれの状態４，２
．１ではチャネル上に信号が残っていす、実行可能な送
信遷移及び受信遷移が存在しない、この状態をデッドロ
ックと判定する。送信遷移−６を実行しなければ受信遷
移＋６は実行できない０以上の説明のような状態遷移の
展開を行うと、プロセスｌの状７９１からの送信遷移＋
６が実行可能でない（実行されることがない）ことがわ
かる、これを実行不能状態遷移と判定する。なお、説明
の便宜上、展開されたときの状態名、信号名はプロトコ
ル例のそれと同じものを使っているが、２度以上現れる
状態名、信号名を区別するため、ＩＩ　、　ＩＩ以下に
、最初に現れたとき０．２度目に現れたときｌ、・・・
とっける０以上の規則に従って、第１図のプロトコル例
を展開したものを第２図に示している。

次に、展開の停止法を上の例を用いて説明する、プロセ
スｌの２．１で表されている状態２のＬ値は（２，２，
１）であり、２．４で表される状態２のＬ値は（２，２
，１）であるため、２．１と２．４の間の−２，１及び
÷４．２で表された状態遷移−２，÷４が２．４以降反
復される。従って、２．４で停止される。同様の理由で
、プロセス１の２．８，４．１．４．３，４．５，４．
７゜４．８プロセス２の３．４及び３．８で停止される
。プロセス１の３．４はプロセス２の３．４からの送信
すれた信号４のみ受信可能だが、プロセス２の３．４は
既に停止されているので、プロセスｌの３．４は停止さ
れる。同様の理由で、プロセス２の２．４は停止される
。プロセス３の１．１は、プロセスｌの４．１、プロセ
ス２の２．０、プロス３の１．１でデッドロックとなる
ため停止される。同様の理由で、プロセス３の１．２，
１．３，１．４，１．５は停止される。

（発明が解決しようとする問題点） 上述した従来の技術によっては、プロセス対応の状態遷
移系列を全て列挙していること及び展開を停止する条件
がゆるいことの２つの理由のため、プロトコルが大規模
化、複雑化した場合、展開された状態数や状態遷移数が
膨大となり処理量すなわち処理時間の増大となり実質的
に検証が困難となっていた。また、ハードウェア化の点
から展開図を記録するための膨大なメモリが必要となり
、今だハードウェアの実現をみていない、又、従来技術
では未定義実行可能遷移、定義済実行不能遷移、デッド
ロックの３項のみを検証項目としていたが、物理的にチ
ャネル容量、バッファ容量が制限されているのでオー／
Ｓフローを新たな検証項目として追加している。

（問題点を解決するための手段） 本発明は、上述した従来技術の欠点に鑑みなされたもの
で、処理量の少ないプロトコル検証方式を提供すること
を目的とし、その特徴は、オーバフローを含めた仕様誤
りを検出するのに支障ない範囲で展開すべき状態数及び
状態遷移数を削減し、必要最小限の展開で検査すること
にある。

（作用） 本発明によっては、プロセス単位で状態の遷移を行いな
がら、到達した遷移状態が以前に出現した遷移状態と同
じであるときは、その以降の状態遷移の展開は、以前に
出現した遷移状態以降の状態遷移の展開と同一とみなし
て、展開動作を停止することにより、展開されるべき状
態数及び状態遷移数を削減しつつ、この展開過程で未定
義実行可能遷移、定義済実行不能遷移、デッドロックお
よびオーバフローを検出する。

（実施例） 本実施例が検証の対象とするプロトコルは、従来技術と
同様第１図に示したプロトコルの例とする。

ここで、プロトコル仕様と仮定および説明のための用語
について整理しておく０本実施例では検証対象とするプ
ロトコルの仕様は、以下に示す４項組Ｐ＝　（Ｑ＋　Ｏ
ｌ　　、Ｍ、５ｕｃｃ）で表される。但し、Ｑ＝（Ｑｌ
　　、””　−ＱＮ　）−０＝　（０＋　　、””−Ｏ
Ｎ　）。

Ｍ”　１１　＋　””　＊　ＭＮＮ　）　＋　５ｉｕｃ
ｃはＱＨＸ（ＭｌｊＵＭｊ；　）　→Ｑ１　の関数であ
る。ここで、Ｎはプロセス数、Ｑｌはプロセスｉの状態
集合、Ｏｉ　　はプロセスｉの初期状態、Ｍｉｊはプロ
セスｉからｊにチャネル（ｉ　、　ｊ）を通して送信す
る信号の集合、５ｕｃｃ　（Ｓ；　　、　ｘ）　＝　ｔ
；　　はＸが送信信号であれば、状ｍ　ｓ　’＋　　で
Ｘを送信すると状態ｔ）　になることを表す、又、Ｘが
受信信号であれば、状＄３．でＸを受信すると状態ｔ１
　　になることを表す、すなわち、５ｕＣＣは状態遷移
である。検証対象とするプロトコルに対し、以下の仮定
を設ける。

■プロセス間のメツセージ伝送に要する時間は有限な非
負数値とする。

■プロセス内の状態遷移は決定的であり、それに要する
時間は零とする。

■プロセス相互間で送受されるメツセージの受信順序は
送信順序と同じである。

プロトコルＰのグローバル状態（上述したシステム状態
と同意義でありＧで表す）は、次に示す２項線Ｇ＝　（
Ｓ　、Ｃ）とする、但し、Ｓ　＝（Ｓ　ｉ　ｔ　””　
＋　ｓＮ）　ｔ　Ｃ＝　（ｅｌｌ　ｌ””ＣＮＮ　）で
ある、Ｓ；　　はプロセスｉの状態、Ｃ４ｊはプロセス
ｉからｊへのチャネル上の信号系列を表す、従って、前
述の各プロセスＳ１　　のＬ値（Ｓｔ、・・・。

５Ｎ）はＳに対応し、各初期状態Ｏｊ　　から５１　　
までの状態遷移系列はＣに対応する。つまり、各プロセ
スが独立にグローバル状態を把握している。

Ｇ　ｌ−Ｇ’は信号１つの送信あるいは受信によるグロ
ーバル状態の変化を表す、Ｇｏｌ、！−Ｇは初期グロー
バル状態Ｇ、から幾つかの状態遷移の実行によりグロー
バル状態Ｇに到達可能であることを表す。Ｃ＝（Ｓ、Ｃ
）が到達可能であり、Ｓｔの状態に送信遷移Ｘが定義さ
れていればＸは実行可能という、Ｇ＝（Ｓ、Ｃ）が到達
可能であり、Ｓｔの状態に受信遷移Ｘが定義されていて
、更に、その状態を含むプロセスへのＣ上のチャネルの
先頭に信号Ｘがあれば、Ｘは実行可能という、Ｇ＝（Ｓ
、Ｃ）が到達可能であり、Ｃ上に信号が初期状態または
以前の遷移によって信号が処理されたために、全くなけ
れば、Ｇは安定グローバル状態であるという。

以上の準備に基づいて本発明が検出するプロトコル仕様
の誤りは以下の通りである。

■未定義実行の可能遷移：プロトコル仕様で定義されて
いないが、実行可能な状態遷移。

■定義法実行不能遷移：プロトコル仕様で定義されてい
るにもかかわらず実行可能でない状態・遷移。

■デッドロック：全てのプロセスの状態遷移が実行可能
でなく、チャネル上に全く信号のない安定グローバル状
態。

［株］オーバフロー二個々のチャネルに残っている信号
の総数が所定のチャネル容量および受信バッファ容量を
越える状態。

第３図は、本発明の一実施例を示すブロック図である。

第３図で、ｌは外部から与えられるプロトコル仕様を蓄
積するメモリ、２は検証処理に使用する各種の変数の初
期値を設定する初期設定ブロック、３は展開された状態
において実行可能な送信遷移を抽出するブロック、４は
送信遷移の実行により新たに状態及び送信遷移を展開図
に追加し、その状態のＬ値を計算するとともにこの状態
で展開が停止できるか否かを判定するブロック、５は４
の送信遷移に対応する受信遷移の実行により新たに状態
及び受信遷移を展開図に追加し、その状態のＬ値を計算
するとともにこの状態で展開が停止できるか否かを判定
するブロック、６は送信遷移の遷移先の状態で実行可能
な受信遷移系列を遷移先の状態に移し、新たな状態及び
受信遷移を展開図に追加し、それらの状態のＬ値を計算
するとともにこの状態で展開が停止できるか否かを判定
するブロック、７は５，６の処理中に未定義実行可能遷
移を検出するブロック、８は安定グローバル状態で実行
可能な送信遷移がないものを検出するブロック、９は展
開完了後、プロトコル仕様に定義されているのに展開図
には１度もでてこない状態遷移を検出するブロック、１
１はオーバフローを検出するブロックである。１０は検
証結果である展開図等及び各種の変数を蓄積するメモリ
である。

第４図はプロトコル仕様をメモリｌに蓄積する場合の一
蓄積形式を示す、また、第５図は展開図および仕様誤り
を表形式でメモリｌＯに蓄積する場合の一蓄積形式を示
す。

第６図は第１図のプロトコル例を第３図の実施例に適用
した結果得られた展開図を示す、以下、第１〜６図の例
を用いて、第３図の実施例の動作を説明するがプロトコ
ル仕様は第４図の形式で既にメモリｌに蓄えられている
ものとする。第３図のブロック図では、最初に初期設定
ブロック２が動作する。初期設定ブロック２はメモリｌ
にアクセスし、プロトコル仕様に含まれる各プロセスの
初期状態を入力して初期状態及びそれらのＬ値による展
開図を作る。第６図では各プロセスごとに状態１．０と
Ｌ値（１，０１，０１，０）を設定する。又。

初期状態からなる安定グローバル状態を安定グローバル
状態集合Ｖに入れる。第６図ではＶ　＝　（（１，０１
，０１，０））　となる、以降、ブロック３゜４．５を
反復し処理を行なう、ブロー２り４．５において、ブロ
ック６をよぶ、ブロック３，４，５゜６の状態遷移の展
開中に未定義実行可能遷移及びデッドロックを検出する
。ブロック７はブロック５．６からよばれ、ブロック８
はブロック３からよばれる。展開が完了したのちブロッ
ク９に制御が移り定義済実行不能遷移を検出する。

先ず、各プロセスの初期状態で実行可能な送信遷移をブ
ロックｌにアクセスして抽出する。第１図のプロトコル
例では、プロセスｌの送信遷移−１とプロセス２の送信
遷移−３が抽出される。そのうち、−１が選択されたと
する０次にブロック４に移行する。ここでは、プロセス
ｌの状Ｓ２．Ｏと送信遷移−１が展開される。又、２．
０のＬ値を（２，０１，０１，０）と計算する。

プロセスｉの送信遷移による展開で新たに加わった状態
のＬ値の計算法は次の通りである。送信遷移先の状態を
３１１送信遷移先の状態をｔ；　とする、ＳのＬ値を（
ｆ；ｏ、　＊＊＊　、　３　Ｂ　　、　ｈａｍ　５Ｎ）
とする、すると、ｔｌ　　のＬ値は（Ｓ　Ｏｓ　””　
ｔｆ　　＊　””　Ｓ　Ｎ　）と計算される。プロセス
ｉがｔｌ　　に到達した時点では他のプロセスの必ず到
達しておかなくてはならない状態はかわらないからであ
る。

次にブロック５に移行する。ここでは、まずプロセスｌ
の送信遷移＝１を受信可能な受信遷移を求める。

実行可能な受信遷移の求め方は次の通りである。

展開状態図においてプロセスにの状態ｓＫでプロセスｉ
が状態ｔ１　　で送信信号Ｘを受信することができるた
めの必要十分条件は次の（１）〜（３）である。

（１）プロセスｉから受信したプロセスにの最後の信号
はプロセスにへ送信したプロセスｉの最後の信号と同じ
である。

（２）送信遷移−Ｘの遷移後の状態をｔ１′とする。

状態ｔ、＋のＬ値で表わされる第１要素の状態と状態Ｓ
ＫのＬ値で表わされる第１要素の状態は一方から他方へ
到達可能な関係にある。但し、Ｌ値の第に要素の状態に
ついては除外する。

（３）状態ｔ１　　のＬ値の第に要素である状態から状
態ＳＫへ到達可能である。

プロセスｌの送信遷移−１に対応する受信遷移＋１はプ
ロセス２の状態１．０で実行可能である。

理由を示す、上述の条件のうち（１）についてはそのよ
うな信号がないので条件を満たす、（２）についてはプ
ロセスｌの状態２．０のＬ値（２−０１，０１，０）と
プロセス２の状態１．０のＬ値（１，θ１．０１．０）
をみて＠１，３要素は条件を満たす、（３）については
その第２要素は条件を満たす、そして、プロセス２の状
態２．０と受信遷移＋１．０が展開される。又、２０の
Ｌ値を（２，０２，０１，０）と計算する。プロセスに
の受信遷移による展開で新たに加わった状態のＬ値の計
算法は次の通りである。受信遷移に対応するプロセスｉ
の送信遷移の遷移先の状態のＬ値を（Ｓｌ、・・・、ｓ
Ｎ）とする、受信遷移の遷移先の状’ｆｌＢＬ値を（ｔ
ｌ、・・・−ｔＮ）とする６以上の準備の元、受信遷移
の遷移後の状態のＬ値の第ｉ要素は、２つの状８　Ｓ　
；　　＊　ｔｉ　　のうち状態遷移のより進んだものと
する０例えば、プロセスｌの２．０のＬｆｔｌの第１要
素２．０はプロセス２の１．０のＬ値の第１要素１．０
よりも進んでいるのでプロセス２の２．０のＬ値のＩ８
１要素は２．０となっている。

送信遷移−１と受信遷移＋１による展開終了後ｖ＝　（
（１，０１，０１，０）、（２，０２，Ｏｔ、ｏ））と
し、再びブロック３に戻る０次に、送信遷移−３を選択
したとする０次にブロック４に移行する。ここでは、プ
ロセス２の状態３．０と送信遷移−３が展開される。又
、３．０のＬ値を（１，０３，０１，０）とする、この
とき、ブロック６がよばれる。プロセス２の送信遷移−
３，０による受信遷移＋１．０の伝播、つまり状態３．
０で今１．０が実行可能となる。ところがメモリ１に蓄
積されているプロトコル仕様をアクセスして、定義され
ていることがわかり、ブロック７で未定義実行可能遷移
と検出される。第６図では太い点線で示す、その後、ブ
ロック５に移行する。

−３，０に対応する受信遷移＋３がプロセス１の状態１
．０で実行可能であることを求め、新たに状態３．０と
受信遷移÷３．０が展開される。また、３．０のＬ値が
（３，０３，０１，０）と計算される。このＬ値は安定
グローバル状態集合に新たに登録されＶ＝　（（１，０
１，０１，０）、（２，０２，０１，０）、（３，０３
，０１，０））とする、このとき、送信遷移−１，０に
よる受信遷移÷３．０の伝播が可能であるため、ブロッ
ク６に移行する。しかし、プロトコル仕様ではプロセス
１の２．０で受信遷移＋３．０が実行可能でないため、
ブロック７で未定義実行０■能遷移と判定する。

以上の処理を反復すると第６図のようになる。

冗長な状態遷移系列の展開を防ぐため、安定グローバル
状態集合Ｖを利用して次のような処理を行っている。６
図においてＶ＝　（・・・、（３，０３，０１，０）（
３，１３，１１，０）・・・）とする。３．０及び３．
１に木をつけている。これは２つの安定グローバル状態
が等しいことを表している。従って、プロセス１．２の
３．０と３ｔｌは等しい状態と考えてよく、３．０と３
．１からの状態遷移の展開で一致するものがあればどち
らかを省略して冗長的な展開を避けている。これをアサ
イクリック展開と呼ぶ０例えば、３．１から実行可能な
受信遷移のうち細い点線で示したものは３．０から実行
可能な受信遷移＋４．０と一致するので省略している。

この関係を→で示している。

最後に、展開の停止法について説明する。従来技術では
次の停止条件を与えている０次の条件（１）〜（３）を
満たすプロセスｉの状態ｔ１　　か出現したときタイプ
Ｏで停止する。

（１）状８遷移展開図のプロセスｉにおいて状態ｔ１　
は状態Ｓｉ　から到達可能である。

（２）ｓ、　のＬ値はｔｉ　　（７）Ｌ値と１１　、　
Ｉｔ以下を除いて一致する。

（３）初期状態０．からＳｌ　　の状態遷移系列上の信
号の送信及び受信後のチャネルに残っている信号初期状
態ｏ１　からＳｉ　の状態遷移系列上の信号の送信及び
受信後のそれと一致する０例えば、第２図のプロセスｌ
の状態２．４は状態２．１と上述の関係があるため停止
されている。プロセス１の状態２．６は状態２．５と同
様の関係にある。

しかし、上述の停止法では冗長の状態遷移の展開を行な
うため、以降に説明する停止条件を新たに設ける０次の
条件（４）　（５）を満たすプロセスｉの状態ｔｉ　が
出現したときタイプ２で停止する。

（４）状態遷移展開図のプロセスｉにおいて状８　ｔ。

は状態Ｓ・から到達可能である。

ξ （５）ｓ；を含む安定グローバル状態とｔ、を含む安定
グローへル状態は“、″以下を除いて一致する。

例えば、第６図のプロセスｌの２．３は２．２と上述の
関係にあるため展開を停止する。２．３を含む安定グロ
ーバル状８（２，３３，３１，０）と２．２を含む安定
グローバル状態（２，２３，２１，０）は“、″以下を
除けば一致する。

ブロック３において実行可能送信遷移が全くない状態で
停止条件を満たさない状態があればブロック８に移行し
てデッドロックと判定する０例えば第６図の安定グロー
バル状態（４，１２，０１，１）及び（４，３３，２１
，２）はデッドロックと判定される。

展開が全て完了した後、メモリｌのプロトコル仕様にア
クセスし、展開図に現れなかった状態遷移をブロック９
で定義法実行不能遷移と判定する。メモリ１０には展開
図及び検証結果を出力する。

オーバフローの検出法について第１図のプロトコル例を
展開した第６図及び第７図を用いて説明する。特にプロ
セスｌから２へのチャネルＣＩ’ｌとプロセス２から１
へのチャネルＣ２Ｊのオーバフローに着目する。他のチ
ャネルのついても同様の処理を行えばよい、ＩＣ１λ１
及び１ｃ２１１はそれぞれＣＩ２及びＣ２１の信号数を
表す、プロセスｌの状態１．０及びプロセス２の状態１
．０にそれぞれｌｃ　ｎｌ＝　Ｏ及びｌｃ　２１１＝　
０をつける。ブロック３で送信遷移−１，０の展・開で
プロセス１の状態２．０にｌｃ　５ｚｌ＝　ｌ　ｔつけ
る。これは１．０のＬ値の第２要素１．０，２．０のＬ
値の第２要素１．０より、プロセス２は、信号１．０を
受信していると解釈し、チャネルｃ、７に信号が１つ残
っていることを表す、ブロック４で受信遷移＋ｉ、ｏの
展開でプロセス２の状態２．０にｌｃｚ＋ｌ＝０をつけ
る。これは１．０のＬ値の第１要素１．０，２．０のＬ
値の第１要素２．０よりプロセスｌから送信された信号
１．０をプロセス２が受信したにすぎずチャネルＣ２１
に信号の送受がなかったと解釈し、チャネルＣ２１に信
号が全くないことを表す。

プロセスｉの状態ｓ１　　につけるＩｃ、７１の計算法
は次の通りである。Ｓ　を遷移先とする状態遷移Ｘの遷
移元をｔ、とする。ｔｌ　にはｌｃＨ，ｌ＝ｍと計算さ
れているとする。Ｘがプロセスｊへの送信遷移であれば
Ｉｃ　’１，１１　＝ｍ＋１とする。ｊ以外の送信遷移
であればｌＣｉ、１１＝ｍとする。Ｘが受信遷移であれ
ば次の処理を行う、ｔｌ　　のＬ値の第ｊ要素及びＳ。

のし値の第ｊ要素を調査する。今、それぞれの状態をｔ
　　、ｓ　　とする。このときＬ４からＳ、３　　まＪ での状８ａ移系列上にプロセスｉからｊへの信号の受信
遷移を実行した、つまりチャネルＣ７ａ上の信号を受信
したとしてＩＣ１ｊｌを計算する。

例えば、プロセス１の状８３．３のＩＣＩ２＋の計算は
−２，１がプロセス２への送信遷移のため状８２．２に
つけられたｌ　ｃ　ｉ、　１　＝２に１を加えたものと
なる。又、プロセスｌの状態２．３のｌｃｌ：ｋｌの計
算は次のとおりである。状態３．３のし値（３，３２，
１１，０）の第２要素である第２プロセスの状ＦＪ２．
１状態２．３のし値（２，３２，３１，０）の第２要素
である第２プロセスの状態２．３をとりだす、状８２．
１から２．３までにプロセスｌからの受信遷移÷１．０
と＋２．０が含まれている。従って状態３．３につけら
れたＩＣ，，１から２つとり除いて状態２．３につける
Ｉｃ　１２１＝　１とする。

チ“ネ／Ｌ／　ＣＩ２及びＣ２１の容量力く２であれｉ
ｆブロック１１で、プロセスｌの状態３．３及びプロセ
ス２の状態２．３でオーバフローと判定される。

以上の処理の正当性は展開の停止が状８遷移系列の反復
となる状態で行なわれていること及び送信を優先的に実
行することで保証される。

最後に、この状態遷移展開によるプロトコル検証がプロ
トコル設計の支援となることを図１のプロトコル例及び
図６の展開図を用いて説明する。

この検証で得られる状態遷移展開図はプロセス対応の状
態遷移系列を与えてくれる。そのため、プロトコル仕様
の誤りに導くプロセス対応の状態遷移系列をプロトコト
ル仕様設計者に提供することができる。

例えば、図６のプロセスｌの状態２．０から４．１への
状態遷移系列はデッドロックに導く、この系列はプロセ
ス３の状態１．０から１．１への状態遷移系列に対応し
ている。従って、プロトコル設計者はプロセス１とプロ
セス３のこれらの状態遷移系列のみを修正すればよい。

（発明の効果） 以上詳細に説明したように本発明による方式は従来方式
に比較すると仕様誤りの検出に支障ない範囲で冗長な状
８遷移系列を削除し、状態遷移展開図を作成する。この
ため、従来方式と比較すると、展開図に含まれる状態及
び状態遷移とともに大幅に減少する０例えば、第１図の
プロトコル例に対するそれらの値の比較を第８図に示す
、このため従来方式に比較され本発明による方式は検証
処理に必要となる処理量が大幅に減少するとともに、状
態遷移展開図等を蓄積するために必要となるメモリの容
量を大幅に削減することができるという利点がある。

【図面の簡単な説明】

第１図はプロトコルの１例を示す図、第２図は従来の状
態遷移展開図、第３図は本発明の１実施例のブロック図
、第４図はメモリｌの蓄積形式例を示す図、第５図（ａ
）は状態遷移展開図、第５図（ｂ）は未定義実行可能遷
移を示す図、第５図（Ｃ）はデッドロック及び安定状態
の出力例、第５図（ｄ）は定義済実行不可能遷移の例、
第５図（ｅ）はオーバフロー検出出力例、第６図は本発
明による状態遷移展開図、第７図はオーバフローの検証
を示す図、第８図は本発明の効果を示す図である。

Claims (1)

1. 【特許請求の範囲】 電気信号により表現されたプロトコル仕様を入力として
   、該プロトコル仕様の有する遷移情報に従って各プロセ
   スの状態を遷移しつつ該プロトコル仕様を検証するプロ
   トコルの論理検証方式において、 各プロセスごとに送信遷移と受信遷移とを対応させなが
   ら状態遷移の展開を実行し、実行中にチャネル上に信号
   が全くない状態が検出されたら該状態を安定状態として
   判定するとともに安定状態の集合を記憶するメモリの内
   容を参照しながら該安定状態が既に出現したものか新た
   に出現したものであるかを判定し、既に出現した安定状
   態でかつ２つの安定状態が異なる状態遷移系列上に存在
   する状態であれば該２つの安定状態以降の展開は互いに
   等しくなるものとして一方の安定状態についてのみ展開
   を実行することとし、既に出現した安定状態で２つの安
   定状態が同じ遷移系列上の状態であれば既に出現した安
   定状態から該安定状態までの遷移が以降反復するものと
   して該遷移系列の展開を停止し、新たに出現した安定状
   態であれば前記メモリにこれを登録しながら展開を継続
   して実行し、検証結果の展開された状態遷移と検出され
   たプロトコル仕様誤りを出力をあらわす電気信号を出力
   することを特徴とするプロトコルの論理検証方式。