Specifica formale. Verifica formale (Prima parte) 03: Logica temporale lineare 1 / 26

Transcript

1 Specifica formale La correttezza di un programma è relativa a una determinata specifica: la verifica formale è connessa alle specifiche Linguaggi di specifica Automi LTL (Linear Temporal Logic): una specifica LTL si può tradurre in un automa CTL (Computational Tree Logic) Verifica formale (Prima parte) 03: Logica temporale lineare 1 / 26

2 Logica Temporale Lineare (LTL) Logica temporale e verifica di proprietà dei programmi (dispense) La logica classica è statica: rappresenta stati. Logiche Modali: descrivono relazioni tra stati. Una logica modale estende la logica classica mediante: uno o più operatori modali (sintassi) assunzioni sulle proprietà degli operatori modali (semantica e apparato deduttivo) Verifica formale (Prima parte) 03: Logica temporale lineare 2 / 26

3 Operatori modali Modalità: in che modo una proposizione è vera? È vera solo contingentemente, è necessariamente vera, è possibile che sia vera? Modalità aletiche: contingenza: necessità: possibilità: piove piove piove Contingenza, necessità, possibilità sono concetti intensionali (non vero-funzionali): (piove piove) Ma, anche se piove è vero, non è vero piove Quali sono le proprietà di e? (Necessità logica, necessità fisica,...) (p q) p q? p p? p p? Verifica formale (Prima parte) 03: Logica temporale lineare 3 / 26

4 Semantica dei mondi possibili (semantica di Kripke) p,q p p,r p,q q,r p: in tutti i mondi visibili è vero p r: esiste un mondo visibile in cui r è falso r: esiste un mondo visibile tale che in tutti i mondi per esso visibili è vero r A vero in un mondo w sse w (se w vede w allora A vero in w ) ha un significato universale A vero in un mondo w sse w tale che (w vede w e A vero in w ) ha un significato esistenziale Verifica formale (Prima parte) 03: Logica temporale lineare 4 / 26

5 Semantica degli operatori modali Secondo la semantica di Kripke, alcune proprietà degli operatori modali valgono sempre: A A (A B) A B (A B) ( A B) A se A è classicamente valida Altre proprietà dipendono dall interpretazione degli operatori. Ad esempio: Interpretazione epistemica p: l agente conosce p (K p) p: p è compatibile con le conoscenze dell agente (l agente non conosce la negazione di p: K p) Insieme dei mondi accessibili : stati di cose compatibili con quello che l agente conosce. Conoscenza = opinione vera: p p Capacità introspettiva dell agente: p p (so di sapere) p p (so di non sapere) Verifica formale (Prima parte) 03: Logica temporale lineare 5 / 26

6 Interpretazione temporale Logica temporale lineare: il tempo è una sequenza lineare di stati: la relazione di accessibilità è transitiva e connessa ( s, t(srt s = t trs)), cioè è un ordine lineare L insieme degli stati è isomorfo a IN : always p: : eventually p: Quindi: p p p p p sarà sempre vero p sarà vero almeno una volta in futuro perché il tempo è infinito nel futuro perché il futuro è transitivo: se p sarà sempre vero, allora sarà sempre vero che sarà sempre vero Ma non sempre, ad esempio: p p Verifica formale (Prima parte) 03: Logica temporale lineare 6 / 26

7 Operatori temporali del futuro (dove il futuro include il presente) Oltre a e : Always A: A sarà sempre vero nel futuro (stato attuale incluso) Eventually A: A sarà vero in qualche stato futuro (oppure nello stato attuale) La struttura lineare della sequenza di stati consente di introdurre altri operatori: Next A: A A è vero nello stato successivo a quello attuale Until A U B: B sarà vero in futuro e A vale da adesso al momento in cui sarà vero B (escludendo tale stato) Release A R B: il duale di U, A R B ( A U B) (D ora in poi Until e Release ve li risparmio!) Esempi A: Verifica formale (Prima parte) 03: Logica temporale lineare 7 / 26

8 Operatori temporali del futuro (dove il futuro include il presente) Oltre a e : Always A: A sarà sempre vero nel futuro (stato attuale incluso) Eventually A: A sarà vero in qualche stato futuro (oppure nello stato attuale) La struttura lineare della sequenza di stati consente di introdurre altri operatori: Next A: A A è vero nello stato successivo a quello attuale Until A U B: B sarà vero in futuro e A vale da adesso al momento in cui sarà vero B (escludendo tale stato) Release A R B: il duale di U, A R B ( A U B) (D ora in poi Until e Release ve li risparmio!) Esempi A: A vale infinitamente spesso A: Verifica formale (Prima parte) 03: Logica temporale lineare 7 / 26

9 Operatori temporali del futuro (dove il futuro include il presente) Oltre a e : Always A: A sarà sempre vero nel futuro (stato attuale incluso) Eventually A: A sarà vero in qualche stato futuro (oppure nello stato attuale) La struttura lineare della sequenza di stati consente di introdurre altri operatori: Next A: A A è vero nello stato successivo a quello attuale Until A U B: B sarà vero in futuro e A vale da adesso al momento in cui sarà vero B (escludendo tale stato) Release A R B: il duale di U, A R B ( A U B) (D ora in poi Until e Release ve li risparmio!) Esempi A: A vale infinitamente spesso A: da un certo punto in poi, A sarà sempre vera Verifica formale (Prima parte) 03: Logica temporale lineare 7 / 26

10 LTL proposizionale: sintassi Dato un insieme P di lettere proposizionali: 1 e sono formule; 2 se p P allora p è una formula; 3 se A è una formula allora A, A, A, A sono formule; 4 se A e B sono formule, allora A B, A B, A B, A U B, A R B sono formule. Nota: in alcuni testi (tra cui quello di Katoen) gli operatori, e vengono denotati, rispettivamente, da X, G e F. Verifica formale (Prima parte) 03: Logica temporale lineare 8 / 26

11 LTL: semantica Interpretazione: sequenza infinita di interpretazioni classiche (stati). Rappresentiamo un interpretazione proposizionale classica mediante un insieme di atomi: l insieme degli atomi veri nell interpretazione. Se IN è l insieme dei numeri naturali, ordinati secondo l abituale relazione <, allora: Un interpretazione temporale M del linguaggio P è una funzione che associa a ogni k IN un sottoinsieme di P: M : IN 2 P Ogni k IN rappresenta uno stato. 0 è lo stato iniziale. Verità di un formula in uno stato di un interpretazione M: M k = A Verità di un formula in un interpretazione: M = A sse M 0 = A Verifica formale (Prima parte) 03: Logica temporale lineare 9 / 26

12 LTL: Semantica (II) M k = e M k = ; M k = p sse p M(k); M k = A sse M k = A; M k = A B sse M k = A e M k = B; M k = A B sse M k = A oppure M k = B; M k = A B sse M k = A oppure M k = B; Quindi se A è una formula proposizionale classica, M k = A se e solo se M(k) = A Verifica formale (Prima parte) 03: Logica temporale lineare 10 / 26

13 LTL: Semantica (III) M k = A sse M k+1 = A M k = A sse per ogni i k M i = A A A s 0 s 1 s k s k+1 s k+2 A A A A A s 0 s 1 s k s k+1 s k+2 s k+3 M k = A sse esiste i k tale che M i = A A A s 0 s 1 s k s k+1 s i Verifica formale (Prima parte) 03: Logica temporale lineare 11 / 26

14 Verità e validità Una formula A è vera in un interpretazione M (e M è un modello di A) sse A è vera nel suo stato iniziale: M = A sse M 0 = A Se S è un insieme di formule e M un interpretazione: M k = S sse M k = A per ogni formula A S; M è un modello di S (M = S) sse M = A per ogni formula A S. Una formula A è valida ( = A) sse per ogni interpretazione M e ogni k IN, M k = A. Proprietà della validità: una formula A è valida sse per ogni interpretazione M, M 0 = A. (la verità in ogni interpretazione e la verità in ogni stato di ogni interpretazione coincidono) Verifica formale (Prima parte) 03: Logica temporale lineare 12 / 26

15 Conseguenza logica, equivalenza logica e falsità di una formula in uno stato Se S è un insieme di formule e A una formula, A è una conseguenza logica di S (e S implica logicamente A) S = A sse per ogni interpretazione M e k IN: se M k = S allora M k = A. Due formule A e B sono logicamente equivalenti (A B) se per ogni interpretazione M e stato k IN, M k = A se e solo se M k = B. Quando una formula è falsa in uno stato? M k = A sse M k+1 = A M k = A sse esiste i k tale che M i = A M k = A sse per ogni i k, M i = A Verifica formale (Prima parte) 03: Logica temporale lineare 13 / 26

16 Proprietà degli operatori temporali e sono duali: A A A A Il Next ( ) è duale di se stesso A A Poiché è riflessiva e transitiva: Proprietà del Next Proprietà di Always: Proprietà di Eventually: = A A = A A = A A = A A = A A A A = (A B) ( A B) = (A B) ( A B) = A (A A) A A A A A A A Verifica formale (Prima parte) 03: Logica temporale lineare 14 / 26

17 Esempio di dimostrazione semantica A = A A Tesi: per ogni M e k, se M k = A allora M k = A A Assumiamo per assurdo che esistano M e k tali che: M k = A, cioè 1) per ogni j k: M j = A M k = A A. I casi sono due: 2a) o M k = A 2b) oppure M k = A = Verifica formale (Prima parte) 03: Logica temporale lineare 15 / 26

18 Esempio di dimostrazione semantica A = A A Tesi: per ogni M e k, se M k = A allora M k = A A Assumiamo per assurdo che esistano M e k tali che: M k = A, cioè 1) per ogni j k: M j = A M k = A A. I casi sono due: 2a) o M k = A 2b) oppure M k = A = M k+1 = A = Verifica formale (Prima parte) 03: Logica temporale lineare 15 / 26

19 Esempio di dimostrazione semantica A = A A Tesi: per ogni M e k, se M k = A allora M k = A A Assumiamo per assurdo che esistano M e k tali che: M k = A, cioè 1) per ogni j k: M j = A M k = A A. I casi sono due: 2a) o M k = A 2b) oppure M k = A = M k+1 = A = esiste n k + 1: M n = A = esiste n > k: M n = A Il caso 2a è assurdo perché Verifica formale (Prima parte) 03: Logica temporale lineare 15 / 26

20 Esempio di dimostrazione semantica A = A A Tesi: per ogni M e k, se M k = A allora M k = A A Assumiamo per assurdo che esistano M e k tali che: M k = A, cioè 1) per ogni j k: M j = A M k = A A. I casi sono due: 2a) o M k = A 2b) oppure M k = A = M k+1 = A = esiste n k + 1: M n = A = esiste n > k: M n = A Il caso 2a è assurdo perché 1 implica M k = A (k k). Anche il caso 2b è assurdo perché Verifica formale (Prima parte) 03: Logica temporale lineare 15 / 26

21 Esempio di dimostrazione semantica A = A A Tesi: per ogni M e k, se M k = A allora M k = A A Assumiamo per assurdo che esistano M e k tali che: M k = A, cioè 1) per ogni j k: M j = A M k = A A. I casi sono due: 2a) o M k = A 2b) oppure M k = A = M k+1 = A = esiste n k + 1: M n = A = esiste n > k: M n = A Il caso 2a è assurdo perché 1 implica M k = A (k k). Anche il caso 2b è assurdo perché se n > k, allora n k e 1 implica che M n = A. Quindi l ipotesi che esistano M e k tali che M k = A è assurda: la tesi è dimostrata. Verifica formale (Prima parte) 03: Logica temporale lineare 15 / 26

22 Esempio 2: l assioma di induzione A (A A) A Tesi: per ogni M e k, M k = A (A A) A, cioè: o M k = A (A A) oppure M k = A Siano M e k qualsiasi, tali che: M k = A (A A), cioè 1a) M k = A e 1b) M k = (A A), cioè per ogni j k, o M j = A oppure M j+1 = A. Dimostriamo che M k = A, cioè che per ogni n k: M n = A. Sia n qualsiasi tale che n k, cioè per qualche h IN, n = k + h. Dimostriamo che M n = A per induzione su h. Caso base: h = 0, quindi n = k. M n = A vale per 1a. Passo induttivo: h > 0. Assumiamo che M k+(h 1) = A (ipotesi induttiva) e dimostriamo che M k+h = A. Se h > 0, allora k + h 1 k, quindi, per 1b, M k+h 1 = A oppure M k+h 1+1 = A. Per l ipotesi induttiva M k+h 1 = A, quindi M k+h = A, cioè M n = A. Di conseguenza, per ogni n k, M n = A = M k = A. Verifica formale (Prima parte) 03: Logica temporale lineare 16 / 26

23 Esempio 3 Come dimostrare che una relazione di conseguenza logica non vale. (dove A è una formula qualsiasi). A = A Tesi: esistono una formula A, un interpretazione M e k IN tali che M k = A ma M k = A. Siano A = p e M tale che: M(0) = {p} e M(i) = per ogni i > 0. Dimostriamo che: M 0 = p esiste i 0 tale che M i = p. Poiché M(0) = {p}, M 0 = p, quindi, per i = 0, M i = p. M 0 = p esiste i 0 tale che M i = p esiste i 0 tale che, per ogni j i, M j = p. Per ogni i > 0, M(i) = = per ogni i > 0, M i = p. Prendendo i = 1 si ha dunque che per ogni j i, M j = p. Verifica formale (Prima parte) 03: Logica temporale lineare 17 / 26

24 Esercizi Dare dimostrazioni semantiche di delle altre proprietà riportate nella slide 14. Dimostrare inoltre che: 1 = 2 = 3 = A A 4 (A B) A B 5 A B = (A B) 6 (A B) = A B 7 (A B) A B 8 (A B) = A B 9 A B = (A B) Verifica formale (Prima parte) 03: Logica temporale lineare 18 / 26

25 Sistemi assiomatici per LTL Assiomatizzazione di LTL (proposizionale, senza U ). A un qualsiasi sistema di assiomi per la logica proposizionale classica si aggiungono gli assiomi seguenti: A1. A A A2. (A B) ( A B) A3. A (A A) A4. A A A5. (A B) ( A B) A6. (A A) (A A) e la regola di inferenza (regola di necessitazione): A A LTL con quantificatori: indecidibile (ovviamente) e non semi-decidibile. Verifica formale (Prima parte) 03: Logica temporale lineare 19 / 26

26 Verifica di sistemi con LTL: approcci basati sulla deduzione Il comportamento del sistema S è descritto da un insieme S di formule di LTL e la proprietà da verificare da una formula F : S soddisfa la specifica F se e solo se S = F Verifica formale (Prima parte) 03: Logica temporale lineare 20 / 26

27 Verifica di sistemi con LTL: approcci basati sul model checking (o model based ) Il sistema è modellato da una struttura di Kripke S (un grafo con stati iniziali, ai cui stati sono associate interpretazioni proposizionali). ogni cammino massimale in S è un interpretazione temporale ogni esecuzione del sistema corrisponde a un cammino massimale in S il sistema è modellato dall insieme delle sue esecuzioni (anziché da un insieme di formule, da un insieme di interpretazioni) Identifichiamo il modello S del sistema con l insieme delle sue esecuzioni (i cammini massimali in S), diciamo che: S = A: tutte le esecuzioni di S soddisfano A, cioè M = A per ogni M S S = A: non tutte le esecuzioni di S soddisfano A, cioè esiste M S tale che M = A Quindi il sistema soddisfa la specifica F se e solo se S = F Verifica formale (Prima parte) 03: Logica temporale lineare 21 / 26

28 Sistemi modellati da automi con vincoli di fairness I vincoli di fairness semplici si possono esprimere mediante formule della forma F. Assumiamo che il sistema sia modellato da una struttura di Kripke S con vincoli di fairness {F 1,..., F n } (dove le F i sono formule). Allora le esecuzioni del sistema sono rappresentate da tutte e solo le interpretazioni M S tali che M = F i per ogni i = 1,..., n: F i si verifica infinitamente spesso In alcuni casi, comunque, i vincoli di fairness si possono esprimere mediante formule più semplici. t2 s1 {work} t1 t2 t3 s2 {} t4 s3 {rich} Vincolo di fairness F = {s3} = rich Verifica formale (Prima parte) 03: Logica temporale lineare 22 / 26

29 Specifica delle proprietà di un sistema, esempio 1: l elastico s1 {} pull release s2 {extended} release s3 {extended, malfunction} Questo sistema ha infinite esecuzioni: tutte le sequenze infinite della forma s 1 s 2 (s 1 s 2 ) s ω 3, oltre all esecuzione (s 1s 2 ) ω. Sia M = s 1 s 2 s 1 s 2 s 3 s 3 s 3 s 3... M = extended M = extended M = extended M = extended M = extended M = extended Verifica formale (Prima parte) 03: Logica temporale lineare 23 / 26

30 Esempio 1: l elastico (II) s1 {} pull release s2 {extended} release s3 {extended, malfunction} S = extended S = ( extended extended) S = (extended extended) (s 1 s 2 s ω 3 ) S = extended ((s 1 s 2 ) ω ) S = extended (s 1 s 2 s ω 3 ) S = extended Esempio di fairness constraint: prima o poi l elastico perde elasticità ({s3} = malfunction): si esclude (s 1 s 2 ) ω Con questo vincolo il sistema soddisfa extended Verifica formale (Prima parte) 03: Logica temporale lineare 24 / 26

31 Specifica delle proprietà di un sistema, esempio 2: il semaforo s1 {yellow} s2 {red} s0 {green} Invariante: esattamente un colore alla volta ((green yellow red) (green yellow) (green red) (yellow red)) Dal giallo prima o poi si passa sempre al rosso Dopo il giallo il semaforo diventa rosso (yellow red) (yellow (yellow red)) Verifica formale (Prima parte) 03: Logica temporale lineare 25 / 26

32 Proprietà di programmi concorrenti, esempio: uso di una risorsa condivisa Due utenti, u 1 e u 2 possono utilizzare la stessa stampante, ma non contemporaneamente. request_i : u i chiede l uso della stampante (i = 1, 2) printing_i : u i sta stampando (i = 1, 2) Verifica di correttezza del sistema: le formule seguenti devono essere verificate dal modello del sistema: (printing 1 printing 2 ) (request 1 printing 1 ) (request 2 printing 2 ) (printing 1 printing 1 ) (printing 2 printing 2 ) (mutual exclusion) (responsiveness) (responsiveness) Verifica formale (Prima parte) 03: Logica temporale lineare 26 / 26