写给学生看的系统分析与验证笔记（十三）——线性时序逻辑(Linear temporal logic,LTL)

---

线性时序逻辑提供了一种非常直观但是在数学上又很精确的表示方法来描述LT性质，70年代后期，Pnueli提出将线性时序逻辑应用于验证复杂计算机系统。

LTL的语法(syntax)

LTL定义为:
$$\text{φ::= true | a | }{\phi }_1\wedge {\phi }_2\text{ | }\neg \phi \text{ | }◯\phi \text{ | }{\phi }_{1}U{\phi }_2$$

LTL公式的基本成分是原子命题，上式中的a∈AP，上面出现了两个新的符号，$◯$的含义是next，U表示until。

LTL的解释都是在一条无限轨迹中给出的

• a表示a在当前时刻成立，在轨迹表现为在第一个位置成立
• $◯a$表示a在下一个时刻成立，在轨迹表现为第二个位置成立
• $aUb$表示直到b成立前，a一直成立
• $◊a=\text{True U a}$，表示的是a最终(eventually)能够成立，在轨迹上表现为，在某一个时刻的时候a成立
• $\square a$表示a总是(always)成立，即在全部的时刻都成立，在轨迹上表现为每个位置都成立，$\square a=\neg ◊\neg a$

LTL公式的一些例子

• 互斥问题，两个进程不能同时进入临界区：$\square (\neg cri{t}_1\vee \neg cri{t}_2)$
• 无饥饿，两个进程可以无限经常次访问临界区：$(\square ◊w_1\Rightarrow \square ◊c_1)\wedge (\square ◊w_2\Rightarrow \square ◊c_2)$
• 火车轨道通行问题：$\square (train\_is\_near\to gate\_is\_close)$
• 进程通信：$\square (request\to ◊response)$

无限经常次可以表示为$\square ◊\phi$

---

用上了LTL公式后，我们可以非常方便地使用公式来表示LT性质

例如我们可以用它来表示两进程互斥问题中的公平性：

• 无条件的公平性：$\square ◊cri{t}_i$
• 强公平性：$\square ◊wai{t}_i\to \square ◊cri{t}_i$
• 弱公平性：$◊\square wai{t}_i\to \square ◊cri{t}_i$

也可以用它来表示一些其他属性：

• 可达性
  • 简单可达性： $◊\psi$
  • 带条件的可达性： $\varphi U\psi$
• 安全性中的不变性：$\square \varphi$
• 活性：$\square (\varphi \Rightarrow ◊\psi )$

LTL的语义(semantics)

LTL在无限字上的语义

设$\sigma =A_0{A}_1{A}_2...\in (2^{AP}{)}^{\omega }$，LTL在无限字上的语义可以表示为：

• $\sigma \models true$
• $\sigma \models a$当且仅当 $A_0\models a，即a\in A_0$
• $\sigma \models {\phi }_1\wedge {\phi }_2$当且仅当 $\sigma \models {\phi }_1$ and $\sigma \models {\phi }_2$
• $\sigma \models \neg \phi$ 当且仅当 $\sigma ⊭\phi$
• $\sigma \models ◯\phi$ 当且仅当 $suffix(\sigma ,1)=A_1{A}_2{A}_3...\models \phi$
• $\sigma \models {\phi }_{1}U{\phi }_2$ 当且仅当 存在$j\ge 0$使得$suffix(\sigma ,j)=A_j{A}_{j+1}{A}_{j+2}...\models {\phi }_2$且$suffix(\sigma ,i)=A_i{A}_{i+1}{A}_{i+2}...\models {\phi }_1$，$0\le i<1$
• $\sigma \models ◊\phi$ 当且仅当 存在$j\ge 0$使得$A_j{A}_{j+1}{A}_{j+2}...\models \phi$
• $\sigma \models \square \phi$ 当且仅当 对所有$j\ge 0$使得$A_j{A}_{j+1}{A}_{j+2}...\models \phi$
• $\sigma \models \square ◊\phi$ 当且仅当 有无限多的$j\ge 0$使得$A_j{A}_{j+1}{A}_{j+2}...\models \phi$
• $\sigma \models \square ◊\phi$ 当且仅当 对几乎所有的(almost all)$j\ge 0$使得$A_j{A}_{j+1}{A}_{j+2}...\models \phi$(这里的almost all就是表示从某一个时间点开始总是满足φ，个人觉得这个表达很有意思，因为后面无限时间满足相对于前面有限的不满足来说的确是几乎所有)

LTL在TS路径上的语义

假设TS = (S,Act,→,I,AP, L)并且φ是AP上的LTL公式

LTL在TS路径上的语义表示为
$\pi =S_0{S}_1{S}_2...\models \phi$
当且仅当 $trace(\pi )\models \phi$
当且仅当 $trace(\pi )\in Words(\phi )$

举例来说
现在我们有一个TS系统

这个系统的AP={a,b}，它的初始状态有两个分别为$s_1$和$s_3$

假设存在一条路径，从初始状态$s_1$开始，到$s_2$再到$s_3$无限循环，$\pi =s_1{s}_2{s}_3{s}_3{s}_3...$，这条路径的迹为 t r a c e ( π ) = { a } ∅ { a , b } ω trace(\pi)=\{a\}\varnothing\{a,b\}^{\omega} trace(π)={a}∅{a,b}ω

我们可以得出

• $\pi \models a$，但是$\pi ⊭b$，我们看到迹的第一个命题为$L(s_1)=a$，所以它能满足a，但是不满足b
• $\pi \models ◯(\neg a\wedge \neg b)$，这里有个符号next，我们看到迹的第二个命题为$L(s_2)=\varnothing$，又因为AP={a,b}，所以也就是$(\neg a\wedge \neg b)$
• $\pi \models ◯◯(a\wedge b)$，因为迹的第三个命题是 L ( s 3 ) = { a , b } L(s_{3})=\{a,b\} L(s3​)={a,b}
• $\pi \models (\neg b)U(a\wedge b)$，因为$s_1,s_2\models \neg b$，并且$s_3\models a\wedge b$
• $\pi \models (\neg b)U\square (a\wedge b)$，因为到了状态$s_3$之后将会一直处于$s_3$状态，所以可以在$(a\wedge b)$前面加上符号always

LTL在TS状态上的语义

LTL在TS状态上的语义表示为
$s\models \phi$
当且仅当 对与所有的$\pi \in Paths(s)$，$trace(\pi )\models \phi$
当且仅当 $s\models Words(\phi )$
当且仅当 $Traces(s)\subseteq Words(\phi )$

LTL在TS上的语义

LTL在TS上的语义表示为
$TS\models \phi$
当且仅当 $Traces(TS)\subseteq Word(\phi )$

举例来说，现在有一个TS系统

我们可以得出

• $TS\models \square a$，因为这里每个状态中a都成立
• $TS\models \square (\neg b\Rightarrow \square (a\wedge \neg b))$，$\neg b$只有在$s_3$中成立，$s_3$的之后的状态均是$s_3$，使得$(a\wedge \neg b)$成立，所以式子满足
• $TS⊭◯(a\wedge b)$，看到$s_3$是一个初始状态，它的下一个状态还是$s_3$，但是$s_3$不满足$a\wedge b$
• $TS⊭bU(a\wedge \neg b)$，我们看到$s_1{s}_2{s}_1{s}_2...$这条无限的路径，可以看到虽然b一直成立，但是不存在使得$(a\wedge \neg b)$成立的状态

LTL在迹上的语义

LTL公式在迹上的语义可以表示为在AP上的无限字

又因为LT属性表示的是TS系统上应该显示的轨迹，是无限字的集合，所以我们可以用LTL公式来表示LT属性
W o r d ( ϕ ) = { σ ∈ ( 2 A P ) ω ∣ σ ⊨ ϕ } Word(\phi)=\{\sigma∈(2^{AP})^{\omega}|\sigma\vDash\phi\} Word(ϕ)={σ∈(2AP)ω∣σ⊨ϕ}

关于否定的语义

对于路径来说，如果$\pi \models \varphi$当且仅当$\pi ⊭\neg \varphi$，因为
$$Words(\neg \varphi )=(2^{AP}{)}^{\omega }\setminus Words(\varphi )$$

但是要注意$TS⊭\varphi$与$TS\models \neg \varphi$是不等价的

---

LTL等价的定义

如果两个LTL公式是等价的，用公式表示为${\varphi }_1\equiv {\varphi }_2$，当且仅当
$$Word({\varphi }_1)\equiv Word({\varphi }_2)$$

也就是说，如果两个LTL公式是等价，那么这两个LTL公式表示的无限字的集合是相同的。

LTL公式的性质

对偶率(Duality laws)
$$\begin{gathered} \neg \square \varphi \equiv ◊\neg \varphi \\ \neg ◊\varphi \equiv \square \neg \varphi \\ \neg ◯\varphi \equiv ◯\neg \varphi \end{gathered}$$

幂等律(Idempotence laws)
$$\begin{gathered} \square \square \varphi \equiv \square \varphi \\ ◊◊\varphi \equiv ◊\varphi \\ \varphi U(\varphi U\psi )\equiv \varphi U\psi \\ (\varphi U\psi )U\psi \equiv \varphi U\psi \end{gathered}$$

吸收率(Absorption laws)
$$\begin{gathered} ◊\square ◊\varphi \equiv \square ◊\varphi \\ \square ◊\square \varphi \equiv ◊\square \varphi \end{gathered}$$

分配律(Distributive laws)
$$\begin{gathered} ◯(\varphi U\psi )\equiv (◯\varphi )U(◯\psi ) \\ ◊(\varphi \vee \psi )\equiv (◊\varphi )\vee (◊\psi ) \\ \square (\varphi \wedge \psi )\equiv \square \varphi \wedge \square \psi \end{gathered}$$

---

下面要介绍的性质非常重要
下面要介绍的性质非常重要
下面要介绍的性质非常重要

扩展率(Expansion laws)
$$\begin{gathered} \varphi U\psi \equiv \psi \vee (\varphi \wedge ◯(\varphi U\psi )) \\ ◊\varphi \equiv \varphi \vee ◯◊\varphi \\ \square \varphi \equiv \varphi \wedge ◯\square \varphi \end{gathered}$$

扩展率是非常重要的一条性质，之后的LTL模型检测都会基于此。

特别是这个第一条公式，我个人感觉其实它的意思就是基于当前项然后向后走了一步，就拿$\varphi U\psi$来说，它代表$\psi$成立前$\varphi$一直成立，首先看扩展出来的第一个$\psi$，如果当前项是$\psi$那么就代表到达了公式成立的条件，后面的也就可以不用管了，然后再看第二项$\varphi \wedge ◯(\varphi U\psi )$如果当前项是$\varphi$还没有达到公式成立的条件，那么如果公式成立，对于下一步来说肯定是满足$\varphi U\psi$的。

Weak until

前面介绍的until操作，它是一种比较强的限制，而weak until操作（或者称为unless）定义为
$$\varphi W\psi =(\varphi U\psi )\vee \square \varphi$$

也就是说$\varphi W\psi$表示为$\varphi U\psi$成立或者$\square \varphi$成立

weak until和until操作是对偶的，具体表现为：
$$\begin{gathered} \neg (\varphi U\psi )=(\varphi \wedge \neg \psi )W(\neg \varphi \wedge \neg \psi ) \\ \neg (\varphi W\psi )=(\varphi \wedge \neg \psi )U(\neg \varphi \wedge \neg \psi ) \end{gathered}$$
weak until和until两者的表达能力是相同的，两者之间可以互换
$$\varphi U\psi =(\varphi W\psi )\wedge \neg \square \neg \psi$$

(其实我略微有点疑惑为什么要把这个知识点放在这个位置)

LTL与公平性

之前我们看到了，LTL公式可以用来描述两进程互斥问题的公平性属性，现在我们将它推广到一般的公平性问题

设$\varphi$和$\psi$是命题公式：

• 无条件的公平性：$\square ◊\psi$
• 强公平性：$\square ◊\varphi \to \square ◊\psi$
• 弱公平性：$◊\square \varphi \to \square ◊\psi$

对于公平性假设fair和LTL公式$\varphi$，我们有如下结论
$$\begin{gathered} s{\models }_{fair}\varphi \\ \text{当且仅当 对于所有的π∈Paths(s),如果}\pi \models fair，那么\pi \models \varphi \\ \text{当且仅当 }s\models (fair\to \varphi ) \end{gathered}$$

其实这里想要表达的意思是，如果我们有了一套算法或者说流程可以验证TS系统是否满足LTL公式，那么我们可以用相同的流程步骤来检测在加入公平性约束的情况下，TS系统是否满足LTL公式。