【面向计算机的数理逻辑/软件理论基础笔记】形式化验证、模型检测、线性时态逻辑LTL

形式化验证

• 为什么需要形式化验证?
  • 因为这种证明方法可以在理论上寻找到程序中的错误，而这些错误可能不可复现、无法被测试所覆盖、或者只会发生一次等，比如1994年奔腾芯片的FDIV错误，除法运算会发生某种偏差，这个问题是在90亿次除法运算中才可能出现1次错误，或者一些其他的著名BUG：原来曾有过这么多BUG！哪个CPU最严重。我们没用办法通过简单的测试来找到这些BUG，但通过形式化的验证却可以找到哪里可能存在问题。
• 形式化验证的三个部分：
  • 用于系统建模的框架
  • 用于描述待验证性质的规范语言
  • 用来确定系统描述是否满足规范的验证方法
• 根据证明的依据对形式化验证的分类
  • 基于证明的处理中：系统描述一组公式$\Gamma$，他的规范是另一个公式$\varphi$，验证的方法就是试图找到$\Gamma ⊢\varphi$的证明。
  • 基于模型的处理中（本节笔记重点）：系统由适当逻辑的模型$\mathcal{M}$表示，规范也是另一个公式$\varphi$表示，验证方法则是由计算模型$\mathcal{M}$是否满足$\varphi$构成（写作$\mathcal{M}\models \varphi$）。
• 根据验证的完全程度对形式化验证的分类
  • 性质验证：规范描述系统的单一性质。
  • 完全验证：规范描述的系统的全部性质。

模型检测（Model Checking）

• 时态逻辑（Temporal Logic）
  • 思想：在一个模型中，公式的真与假不是静态的，而在命题逻辑或谓词逻辑中的确如此。
  • 含义：时态逻辑的模型包含若干状态，而一个公式可以在某些状态下为真，在其他状态下为假。公式可以随系统的状态演化而改变其真值。
• 模型检测：模型检测是一种自动的、基于模型的、性质验证的处理方法。
  • 模型检测也是基于时态逻辑的，在模型检测中，模型$\mathcal{M}$是迁移系统，性质$\varphi$是是时态逻辑公式，为了验证一个系统满足一个性质，需要三步操作：
    • 使用模型检测器的描述性语言对系统进行建模，得到一个模型$\mathcal{M}$
    • 使用模型检测器的规范语言对性质进行编码，禅师一个时态逻辑公式$\varphi$
    • 以$\mathcal{M}$和$\varphi$做输入，运行模型检测器

  如果模型检测器$\mathcal{M}\models \varphi$的结果为假（或者no、false），大多数模型检测器会产生导致失败的系统行为轨迹，我们称这一操作为之为逆向追踪

  • 模型检测就是对问题$\mathcal{M},s\models \varphi$是否成立计算答案的过程，此处的$\varphi$是时态逻辑的一个公式，$\mathcal{M}$是所考虑的一个适当模型，$s$是该模型的一个状态，$\models$是满足关系。

线性时态逻辑（Linear-time Temporal Logic，简写为LTL）

• 定义：一种能表达时间概念的特殊时态逻辑。它将时间轴看成一个线性的状态序列，可以无限延伸到未来。常用来精确表示模型的动态语义。
  • 计算路径（简称为路径）：模型里的状态序列。因为未来是不确定的，有无数种可能，在模型中表示有无数条路径，代表未来不同的可能，任何一条路径都可能会是一条实际的路径（每一条路径都有可能发生，但只有一条路径会真正发生）。
  • 命题原子公式：原子公式用$p,q,r,p_1,q_1,r_1...$等符号表示，这些原子代表系统可能成立的事实，比如“打印机正在打印”，“进程1220被挂起”，或者“程序计数器上的值为6”。
  • 原子集合：表示系统可能成立的全部事实，用$Atoms$表示，比如$p,q$的所有组合： A t o m s = { ∅ , { p } , { q } , { p , q } } Atoms = \{\varnothing,\{p\},\{q\},\{p,q\}\} Atoms={∅,{p},{q},{p,q}}

LTL语法

$$\varphi ::=\perp |\top |p|(\neg \varphi )|(\varphi \wedge \varphi )|(\varphi \vee \varphi )|(\varphi \to \varphi )|(X\varphi )|(F\varphi )|(G\varphi )|(\varphi U\varphi )|(\varphi W\varphi )|(\varphi R\varphi )$$

上述公式表示，如果$\varphi$是LTL公式，则$\neg \varphi ,(\varphi \wedge \varphi ),(G\varphi )\cdots$也是LTL公式，同时$\perp |\top |p$也是LTL公式。其中，$p$是取自原子集合$Atoms$的任意命题原子

• 时态连接词：

  • 一元时态连接词：
    • $X$：下一个状态。
    • $F$：某未来状态。
    • $G$：所有未来状态。
  • 二元时态连接词：
    • $U$：直到。
    • $R$：释放。
    • $W$：弱-直到。

• 时态连接词的含义：

  • 原子命题$p$表示路径$\pi$中第一个原子命题是$p$
    

  • $Xp$表示路径$\pi$中第二个原子命题是$p$
    

  • $Gp$表示路径$\pi$中每一个原子命题都是$p$
    

  • $pUq$表示对于路径$\pi :s_0\to s_1\to \cdots$中，假设原子命题$p$在且只在$s_3,s_4,s_5,s_6,s_7,s_8$状态点满足，原子命题$q$只在$s_9$状态点满足。则如果$i$的值为$0,1,2$，${\pi }^i⊭pUq$（因为这个时候的开始点没有$p$）；如果$i$的值为$3,4,5,6,7,8,9$，则${\pi }^i\models pUq$。
    

  • $pRq$
    $q$必须保持为真，直到$p$为真的时刻
    
    或者
    如果$p$为真的时刻不存在，则$q$一直为真
    

  $R$是$U$的对偶，即$\varphi R\psi$等价于$\neg (\neg \varphi U\neg \psi )$

• LTL公式范例：$(F(p\to (Gr))\vee ((\neg q)Up))$
  语法树：

  在我们书写LTL公式时，在不引起歧义的前提下，很多括号可以省略，比如$(p\to (Fq))$可以无歧义地简写为$p\to Fq$

• 语法优先级从高到低：

  • 一元时态连接词：$\neg ,X,F,G$
  • 二元时态连接词：$U,R,W$
  • $\vee ,\wedge$
  • $\to$

LTL语义

• 迁移系统： M = { S , → , L } \mathcal{M}=\{S,\to,L\} M={S,→,L}，$S$是一个状态集合；$\to$是迁移关系（这个迁移关系表示$S$上的二元关系），使得每个属于$S$的$s$中（也就是$s\in S$），有某个$s^{\prime }$满足$s\to s^{\prime }$（这个$s^{\prime }\in S$）；标记函数$L\to \mathcal{P}(Atoms)$

  • 迁移系统简称为模型 ，一个模型有状态集$S$，关系$\to$（描述的是系统如何从一个状态转向另一个状态），以及每个状态$s$伴随有原子命题的集合$L(s)$。我们用$\mathcal{P}(Atoms)$表示$Atoms$的幂集，也叫做原子描述集。
  • 幂集范例：对于状态集 S = { p , q } S = \{p,q\} S={p,q}，则他的幂集 P ( A t o m s ) = { ∅ , { p } , { q } , { p , q } } \mathcal{P}(Atoms)=\{\varnothing,\{p\},\{q\},\{p,q\}\} P(Atoms)={∅,{p},{q},{p,q}}
  • 用有向图表示一个有限迁移系统$\mathcal{M}$的所有信息，图的结点包含了在该状态下为真的所有原子命题。
    • 模型范例：$\mathcal{M}$有三个状态$s_0,s_1,s_2$，状态之间仅有的可能迁移是$s_0\to s_1,s_0\to s_2,s_1\to s_0,s_1\to s_2,s_2\to s_2$，若 L ( s 0 ) = { p , q } , L ( s 1 ) = { q , r } , L ( s 2 ) = { r } L(s_0)=\{p,q\},L(s_1)=\{q,r\},L(s_2)=\{r\} L(s0​)={p,q},L(s1​)={q,r},L(s2​)={r}，则将模型的信息浓缩到状态图中为：
      

  在上述状态图中，状态$r$是一个死锁状态，他的下一个状态永远只能是自身

• 无限路径：模型 M = { S , → , L } \mathcal{M}=\{S,\to,L\} M={S,→,L}中的一条路径是$S$中状态的无限序列$s_1,s_2,s_3,\cdots$，对每个$i⩾1$，都有$s_i\to s_{i+1}$，则我们可以将该路径写为$\pi =s_1\to s_2\to s_3\to \cdots$，我们用${\pi }^i$表示从第$i$个状态开始的后缀，比如${\pi }^3=s_3\to s_4\to \cdots$

  • 将上面的模型范例里的系统展开成一个从特定状态开始的所有计算路径的无限树为：
    

• 设 M = { S , → , L } \mathcal{M}=\{S,\to,L\} M={S,→,L}是一个模型，$\pi =s_1\to s_2\to s_3\to \cdots$是$\mathcal{M}$中地一条路径，路径$\pi$与LTL公式满足关系定义如下：

  • $\pi \models \top$
  • $\pi ⊭\perp$

    $\top$表示总为真的事实，$\perp$表示总为假的事实

  • $\pi \models p$当且仅当$p\in L(s_1)$
  • $\pi \models {\varphi }_1\wedge {\varphi }_2$当且仅当$\pi \models {\varphi }_1$且$\pi \models {\varphi }_2$
  • $\pi \models {\varphi }_1\vee {\varphi }_2$当且仅当$\pi \models {\varphi }_1$或$\pi \models {\varphi }_2$
  • $\pi \models {\varphi }_1\to {\varphi }_2$当且仅当只要$\pi \models {\varphi }_1$就有$\pi \models {\varphi }_2$
  • $\pi \models X\varphi$当且仅当${\pi }^2\models \varphi$

    • $\pi \models X\varphi$表示路径从第二个状态开始满足LTL公式$\varphi$
    • $\varphi$是原子集内的某个原子命题，也是一个LTL公式，在路径中也叫做状态；$X\varphi$表示这个原子命题的下一个状态；${\pi }^2$表示从路径$\pi$上的第二个状态开始的路径

  • $\pi \models G\varphi$当且仅当对所有$i⩾1,{\pi }^i\models \varphi$
  • $\pi \models F\varphi$当且仅存在某个$i⩾1$使得$,{\pi }^i\models \varphi$
  • $\pi \models \varphi U\psi$当且仅当存在某个$i⩾1$，使得${\pi }^i\models \psi$并且对所有$j=1,\cdots ,i-1$，有${\pi }^i\models \varphi$
  • $\pi \models \varphi W\psi$当且仅当存在某个$i⩾1$，使得${\pi }^i\models \psi$且对所有的$j=1,\cdots ,i-1$，有${\pi }^i\models \varphi$，或者对所有$k⩾1$，有${\pi }^k\models \psi$
  • $\pi \models \varphi R\psi$当且仅当或者存在某个$i⩾1$，使得${\pi }^i\models \psi$且对所有$j=1,\cdots ,i$，有${\pi }^i\models \psi$；或者对所有$k⩾1$，有${\pi }^k\models \psi$

    $\pi \models \varphi R\psi$还可以表述为：当且仅当或者$\exists i\ge 0$使得${\pi }^i\models \varphi$且对于每个$j\le i$都有$\pi j\models \psi$，或者对于所有的$k\ge 0$都有${\pi }^k\models \psi$

• 状态满足公式：设$M=(S,\to ,L)$是一个模型，$s\in S,\varphi$是一个LTL公式，若对从$s$出发的每条路$\pi$都有$\pi \models \varphi$，则称状态$s$满足$\varphi$，记作$M,s\models \varphi$，或$s\models \varphi$

• 范例：

对于上面的Kripke结构，有如下结论：

• $s_0\models (p\wedge q),\neg r,Xr$
  $s_0$这个状态满足三个条件：
  • $(p\wedge q):$$s_0$状态上有原子命题$p$和$q$
  • $\neg r:$$s_0$状态上没有原子命题$r$
  • $Xr:$$s_0$状态的下一个结点有原子命题$r$
• $s_0⊭X(q\wedge r)$
  $s_0$的下一个状态不一定满足包含原子命题$q$和$r$。因为$s_0$的下一个状态如果是$s_2$的话，只包含原子命题$r$而不包含原子命题$q$，如果$s_0$的下一个状态如果是$s_1$的话才包含原子命题$q$和$r$
• $s_0\models G\neg (p\wedge r)$
  $s_0$这个状态满足未来所有状态不同时包含原子命题$p$和$r$。因为$s_0$以后可能要迁移到$s_1$、$s_2$或迁移回$s_0$，而这三个状态均不同时包含原子命题$p$和$r$，所以$s_0$这个状态满足未来所有状态不同时包含原子命题$p$和$r$
• $s_2\models Gr$
  $s_2$状态满足未来所有状态全部包含原子命题$r$
• $s\models F(\neg q\wedge r)\to FGr$
  $s$状态满足，如果未来的状态不含原子命题$q$但包含原子命题$r$，则未来全部状态都包含原子命题$r$。因为不含原子命题$q$但包含原子命题$r$的状态只有$s_2$，$s_2$的下一个状态永远只能是$s_2$，$s_2$也只包含原子命题$r$，所以未来全部状态都包含原子命题$r$

语义等价

• 定义：设$\varphi ,\psi$是 LTL 公式, 若对于所有的模型$\mathcal{M}$以及$\mathcal{M}$中的所有的路$\pi$都有$\pi \models \psi$当且仅当$\pi \models \psi$，则称$\varphi$与$\psi$是语义等价的, 记作$\varphi \equiv \psi$
• 语义等价等价刻画：设$\varphi ,\psi$是 LTL 公式，它们是语义等价的，当且仅当若对于所有的模型$\mathcal{M}$以及$\mathcal{M}$中的所有的状态$s$都有$s\models \varphi$当且仅当$s\models \psi$
• 等价性质：
  • 对偶性：
    • $G\varphi \equiv \neg F\neg \varphi$
    • $F\varphi \equiv \neg G\neg \varphi$
    • $\varphi U\psi \equiv \neg (\neg \varphi R\neg \psi )$
    • $\varphi R\psi \equiv \neg (\neg \varphi U\neg \psi )$
    • $X\varphi \equiv \neg X\neg \varphi$
  • 分配性：
    • $F(\varphi \vee \psi )\equiv F\varphi \vee F\psi$
    • $G(\varphi \wedge \psi )\equiv F\varphi \wedge F\psi$
• 连接词相互定义
  • $F\varphi \equiv \top U\varphi$
  • $G\varphi \equiv \perp R\varphi$
  • $\varphi R\psi \equiv \psi U(\varphi \wedge \psi )\vee G\psi$