TRIO è quindi finalizzato alla specifica di proprietà temporali di sistemi (non necessariamente software)

Transcript

1

2 TRIO = Sistema logico del primo ordine, multisorte, con uguaglianza. La sorte Tempo (a struttura lineare, isomorfa agli interi) è parte integrante del linguaggio TRIO è quindi finalizzato alla specifica di proprietà temporali di sistemi (non necessariamente software)

3 Esempi di proprietà temporali: La sbarra del passaggio a livello deve chiudersi PRIMA dell arrivo del treno Un messaggio di allarme deve apparire sulla console dell operatore ENTRO 10 secondi dal verificarsi di... Non deve esistere nessun ISTANTE DI TEMPO in cui la sbarra del passaggio a livello è aperta ed il treno sta attraversando i binari

4 Esempio: Data una linea di trasmissione La formula in(m) Futr(out(m), 5) esprime che la linea introduce un ritardo di 5 unità di tempo, ma non introduce rumore.

5 Alfabeto Nomi di variabili, funzioni, predicati Operatori proposizionali,,,,, Quantificatori, I simboli Futr e Past Variabili, funzioni e predicati possono essere Dipendenti dal tempo (Nell esempio, in e out sono predicati dipendenti dal tempo) Indipendenti dal tempo (Nell esempio, m è una variabile indipendente dal tempo)

6 Il linguaggio è multi-sorte: Ad ogni variabile si associa un dominio (nell esempio, m assume valori nel dominio dei messaggi) Esiste un dominio particolare: il dominio temporale Ad ogni funzione si associa un dominio ed un codominio Ad ogni predicato si associa un dominio per ognuno dei sui argomenti

7 Una interpretazione S è caratterizzata da un insieme di interpretazioni classiche (come in logica proposizionale e/o dei predicati), una per ogni instante temporale in T: S = {Si i T} Si è una funzione di valutazione. Assegna al tempo i un valore ad ogni nome di variabile, una funzione ad ogni nome di funzione, una relazione ad ogni nome di predicato.

8 Sulla base della struttura di interpretazione, si generalizza una funzione di valutazione che assegna i valori ad ogni formula TRIO Esempi: Si(Futr(out(m), 5)) = true iff Si+5(out(m)) = true Si(Past(in(m), 5)) = true iff Si-5(in(m)) = true Futr(out(m), 5) è vera negli istanti 1 e 7 Past(in(m), 5) è vera all istante 6

9 Soddisfacibilità temporale: Una formula è temporalmente soddisfacibile in una struttura di interpretazione sse esiste almeno un istante di tempo in cui la formula è vera in(m) Futr(out(m), 5) è temporalmente soddisfacibile in questa struttura di interpretazione (è vera all istante 1, è falsa all istante 10) La struttura di interpretazione è un modello per la formula

10 Validità temporale: Una formula è temporalmente valida in una struttura di interpretazione sse è vera PER OGNI istante di tempo in(m) Futr(out(m), 5) è temporalmente valida in questa struttura di interpretazione Validità: Una formula è valida sse è temporalmente valida in qualsiasi struttura di interpretazione

11 Interpretazione di in(m) Futr(out(m), 5) La formula è temporalmente valida nella struttura precedente (permette messaggi spuri) Per non avere messaggi spuri, si deve imporre: in(m) Futr(out(m), 5) Si noti la differenza tra le formule: in(m) Futr(out(m), 5) in Futr(out, 5)

12 Alw(F) =def F t (t>0 Futr(F, t)) t (t>0 Past(F, t)) Serve per asserire proprietà invarianti. Es: Alw(in(m) Futr(out(m), 5)) Una formula è tempo invariante sse per ogni struttura di interpretazione è temporalmente valida o temporalmente non soddisfacibile Le specifiche TRIO sono sempre formule tempo invarianti L operatore Alw racchiude implicitamente ogni specifica TRIO

13 Lasted, Lasts: utili per asserire la durata di un fenomeno. Lasted(F,t) é vera all istante corrente i iff F é vera nell intervallo aperto (i-v,i) con v valore corrente del termine temporale t Within: Within(F,t) é vera all istante corrente i sse F é vera in almeno un istante dell intervallo aperto (i-v, i+v) con v valore corrente del termine temporale t Until, Since: Until(F,G) é vera all istante corrente iff F é vera almeno fino alla prossima occorrenza in cui G é vera: si richiede che G valga in qualche istante futuro

14 Una lampada con pulsante che fa partire un timer accende la lampada per 10 secondi Specifica del sistema in TRIO (Alw sottinteso): TurnOn: predicato vero quando il pulsante é premuto Light: predicato vero quando la lampada é accesa

15 Prima Soluzione: TurnOn Lasts(Light,10) Un modello (a tempo continuo): Presenza di soluzioni spurie E con tempo discreto cosa succede?

16 Seconda soluzione: TurnOn Lasts(Light,10) Un modello (a tempo continuo): Si eliminano soluzioni spurie > 10 secondi E con tempo discreto cosa succede?

17 Terza soluzione: TurnOn Light Lasts(Light,10) Light t (0<t<10 Past(TurnOn Light,t)) Un modello (a tempo continuo): Si eliminano tutte le soluzioni spurie E con tempo discreto cosa succede?

18 La lampada rimane accesa o spenta finchè non arriva un nuovo segnale dal telecomando Predicati: Turn({ON, OFF}) Light

19 Turn(ON) Until(Light, Turn(OFF)) dove Until(F, G)

20 Turn(OFF) UntilW( Light, Turn(ON)) dove UntilW(F, G) =def Until(F, G) AlwF(F) (Turn(ON) Turn(OFF)) Non determinismo dello stato iniziale

21 M controlla lo stato di R: Ogni ora R deve mandare ad M un messaggio (mes) con info sul suo stato Se M non riceve il messaggio allo scadere di un ora, inizia la procedura di verifica: M invia a R il messaggio con R deve rispondere entro 5 sec con il messaggio ans seguito entro i successivi 5 sec dal messaggio m Altrimenti, M emette il segnale idle, che indica che lo stato di R è scorretto

22 Predicati dipendenti dal tempo: con, mes, ans con LastTime(mes, 3600) dove LastTime(F, t) =def t>0 Past(F, t) x (0<x<t Past( F, x)) idle ((Past(con, 5) Lastedii( ans, 5)) (Past(ans, 5) Lastedii( mes, 5))) dove Lastedii(F, t) =def x (0 x t Past(F, x))

23 Un sistema di allarme è costituito da due sensori (S1 ed S2), una sirena, una centralina di controllo La centralina di controllo attiva la sirena: Dopo 30 sec. dal ricevimento di un segnale da S1, a meno che in tale intervallo il sistema non venga disattivato Non appena riceve un segnale da S2 Una volta attivata, la sirena rimane in funzione fino a quando il sistema non viene disattivato e comunque non più di 5 min.