Книга
← К списку книгЗагрузка разделов…
активнаАктивные записи участвуют в каталоге и синках. Неактивная книга скрыта, но не удалена из базы.
Книга
Предисловие
Современный период развития информатики и вычислительной техники характеризуется широким использованием параллельных и распределенных систем, поведение которых отличается высокой степенью сложности. Это обстоятельство выдвигает новые задачи в области моделирования и анализа корректности таких систем. Многие существующие методы и средства анализа параллельных и распределенных систем основаны на использовании помеченных систем переходов с конечным числом состояний. Однако очень часто при исследовании сложных систем приходится строить формальные модели, которые представляют собой системы переходов с бесконечным числом состояний. В этом случае многие средства верификации, производящие полный перебор пространства состояний, становятся неприменимыми.
Тем не менее, для некоторых ограниченных классов систем с бесконечным числом состояний разными авторами были разработаны достаточно эффективные методы верификации (как, например, в работах П. Абдуллы, К. Чёранса, А. Финкеля, Б. Йонссона, Ф. Моллера, Ф. Шнеблена [20, 48, 71]). В частности, оказалось, что метод проверки модели (model checking), широко используемый при автоматической верификации систем с конечным числом состояний, может быть применим для некоторых классов систем с бесконечным числом состояний и подмножеств темпоральных логик.
Примерами формальных моделей, являющихся системами переходов с бесконечным числом состояний и позволяющих описывать параллельные и распределенные системы, являются магазинные автоматы [3, 19], сети Петри [6], ВРР (Basic Parallel Processes — базовые параллельные процессы) [37], LCS (Lossy Channel Systems — системы с каналами, теряющими сообщения) [23, 24], Real-Time Automata (автоматы реального времени) [26] и др. Целью данной книги является описание свойств и методов исследования одного такого класса систем переходов — так называемых вполне структурированных систем помеченных
переходов. Это весьма широкий класс систем переходов с бесконечным числом состояний, для которого разрешимость многих свойств следует из существования совместимого с отношением переходов правильного квазипорядка на множестве состояний. При исследовании этих систем переходов основное внимание уделяется разрешимости таких классических проблем, как проблемы ограниченности, достижимости, покрытия, неизбежности, поддержки управляющего состояния, останова, эквивалентности и ряда других важных семантических свойств.
Ранее рядом авторов (А. Буаджани, О. Буркарт, X. Эспарза, Р. Майр) исследовались вопросы разрешимости задачи проверки модели для некоторых конкретных представителей класса вполне структурированных систем переходов, а именно: магазинных автоматов, сетей Петри, базовых параллельных процессов (Basic Parallel Processes), систем сложения векторов с потерями (Lossy Vector Addition Systems) и различных темпоральных логик линейного времени и ветвящегося времени [32, 29, 45, 46]. В данной монографии при исследовании этих проблем выбран подход на основе максимально возможного обобщения и главное внимание уделяется проблеме разрешимости темпоральных свойств для различных классов вполне структурированных систем помеченных переходов, в частности, для класса вполне структурированных систем переходов автоматного типа. В качестве общего средства для демонстрации неразрешимых проблем для вполне структурированных систем помеченных переходов используются счетчиковые машины.
Следует заметить, что в литературе практически не уделяется внимание системам переходов, независимых от данных (за исключением систем переходов с конечным числом состояний), которые, тем не менее, могут быть достаточно выразительным и интересным средством моделирования. В связи с этим в книге представлен специальный фрагмент алгебры процессов, позволяющий строить формальные модели (параллельных и распределенных систем), которые можно рассматривать как независимые от данных помеченные системы переходов. Примером конкретной реализации этого фрагмента является введенный нами формализм, который называется «взаимодействующие раскрашивающие процессы» (Communicating Colouring Processes). Кроме взаимодействующих раскрашивающих процессов, в качестве
примеров вполне структурированных систем переходов рассмотрены обыкновенные сети Петри и сети Петри с обнуляющими дугами, а также системы с ненадежными каналами, в частности, FIFO-канальные системы с потерями.
Наше внимание к исследованию свойств класса вполне структурированных систем переходов было привлечено работами основоположников этого направления, среди которых в первую очередь хотелось бы отметить наших французских коллег: П. Абдуллу, А. Финкеля и Ф. Шнеблена. Мы особенно признательны Филиппу Шнеблену (Ph. Schnoebelen), который оказал нам существенную помощь на начальном этапе наших исследований в этой области.
Мы благодарим всех участников семинара «Моделирование и анализ информационных систем» и, в частности, Ирину Александровну Ломазову за полезное обсуждение и постоянный интерес к нашей работе, а также наших коллег из Ярославского государственного университета им. П.Г. Демидова, чью поддержку мы постоянно ощущали.
Мы благодарим Ольгу Леонидовну Бандман и Валерия Александровича Непомнящего за труд по прочтению рукописи книги и внимание к нашей работе. И наконец, наша особая благодарность — Николаю Вячеславовичу Шилову за скрупулезный анализ всего содержания книги и всех наших результатов, к некоторым из них он имеет самое непосредственное отношение как соавтор! Его многочисленные замечания и предложения позволили избежать целого ряда неточностей и шероховатостей в формулировках и доказательствах теорем, а также в некоторых случаях помогли в выборе терминологии, так как данная область науки только еще формируется.
Мы с большим удовольствием приводим здесь присланные нам отзывы на рукопись книги, которые, как нам кажется, очень хорошо дополняют наше предисловие.
Главный научный сотрудник Института вычислительной математики и математической геофизики СО РАН О. Л. Бандман:
«Для решения больших задач в настоящее время широко используются многопроцессорные суперкомпьютеры, кластеры и распределенные системы. При этом наблюдается отставание методологии и средств параллельного программирования
от уровня современной вычислительной техники. Преодоление этого отставания связано как с приобретением практического опыта в параллельном программировании, так и с решением ряда теоретических проблем, среди которых не последнюю роль играет исследование поведенческих свойств параллельных процессов. Поэтому поиск математических моделей параллельных процессов, которые бы послужили хорошей практической основой для создания средств проверки параллельных алгоритмов и программ на поведенческую корректность, следует считать весьма актуальной проблемой. К сожалению, несмотря на многочисленность существующих моделей и теоретических результатов по их исследованию, решению этой проблемы в литературе уделяется недостаточно внимания. Поэтому любые новые результаты, расширяющие наши знания о поведенческих свойствах параллельных систем и их алгоритмической разрешимости, являются теоретически ценными.
Монография содержит оригинальные результаты, полученные авторами при исследовании свойств параллельных и распределенных систем с бесконечным числом состояний, представляющих собой вполне структурированные системы помеченных переходов. Авторами предложен и последовательно изложен новый подход к исследованию разрешимости темпоральных и семантических свойств, основанный на свойстве структурированности систем переходов, которое состоит в совместимости с отношением переходов правильного квазипорядка на множестве состояний. Построены и приведены доказательства разрешимости (или неразрешимости) ряда свойств, общих для всего класса вполне структурированных систем переходов, а также для выделенных его подклассов.
Отдельно подробно рассмотрен класс счетчиковых машин Минского, поскольку ряд проблем неразрешимости сводится к соответствующим проблемам для этого класса систем. Особое внимание уделено темпоральным свойствам вполне структурированных систем переходов и методам проверки моделей.
Несмотря на строгий математический стиль, необходимость которого диктуется содержанием, книга написана хорошим и ясным языком. Она может быть полезна студентам, аспирантам и преподавателям по компьютерным наукам, а также разработчикам математического обеспечения в распределенных системах».
Заведующий лабораторией теоретического программирования Института систем информатики им. А. И. Ершова СО РАН, В. А. Непомнящий;
старший научный сотрудник Института систем информатики им. А. П. Ершова СО РАН,
Н. В. Шилов:
«Развитие теории верификации программ — важное направление научных исследований современного программирования. Теория верификации программ включает в себя два направления: теорию тестирования программ и теорию формальной верификации. В свою очередь, теория формальной верификации программ имеет два основных «русла» исследований: дедуктивную верификацию и верификацию на моделях.
Представленная монография посвящена теории верификации свойств на классе моделей программ, который получил название вполне структурированных систем переходов (well-structured transition systems). Среди основоположников исследования этого важного класса моделей программ прежде всего необходимо упомянуть имена следующих французских ученых: П. Абдуллы, А. Финкеля и Ф. Шнеблена.
Рецензируемая книга — это первая работа монографического характера на русском языке, посвященная теории вполне структурированных систем переходов. Она дает полное представление о работах зарубежных авторов по этой теории, а также содержит собственные результаты авторов данной монографии, полученные в период 2001-2004 гг., и состоит из следующих трех глав:
Вполне структурированные системы переходов.
Счетчиковые машины.
Темпоральные свойства систем переходов.
Первая глава посвящена в основном обзору теории и примеров вполне структурированных систем переходов, а также описанию методов анализа базовых свойств таких систем. Вторая глава наряду с известными результатами содержит собственные результаты авторов по моделированию универсальных вычислительных устройств (машин Минского). В третьей главе излагаются результаты по проверке временных (темпоральных)
свойств вполне структурированных систем переходов, которые были прежде получены и опубликованы авторами книги.
Монография характеризуется замкнутостью изложения материала, доступного для освоения читателю с базовой подготовкой по дискретной математике. Фактически читателю достаточно иметь представление о множествах, пропозициональной логике, конечных автоматах и машинах Тьюринга.
Материал книги включает в себя:
все необходимые определения;
логически правильно расставленные теоремы и утверждения, снабженные корректными доказательствами;
список всей необходимой учебной и монографической литературы на русском языке, к которой можно обратиться, если возникли трудности при работе со вспомогательным материалом;
список основных зарубежных публикаций в журналах и трудах конференций, относящихся к теории вполне структурированных систем переходов.
Следует отметить, что данная монография не имеет аналогов в отечественной литературе, а представленный в ней материал может служить основой специального учебного курса для студентов и аспирантов, специализирующихся по теоретической информатике и ее приложениям к верификации программ».
Авторы благодарят Российский фонд фундаментальных исследований за финансовую поддержку проведения исследований, положенных в основу этой книги (грант №03-01-00804), и поддержку ее публикации (грант №05-07095008).
Введение
В настоящее время большое внимание уделяется моделированию и анализу корректности параллельных и распределенных систем, каковыми являются, например, вычислительные машины и комплексы с параллельной и распределенной архитектурой, параллельные программы, протоколы передачи данных, модели технологических и бизнес-процессов. Под корректностью понимается полное соответствие системы задачам, для которых она создается. Корректность определяется абстрактным образом в соответствии с формальной спецификацией, описывающей желаемое поведение системы. Процесс проверки, соответствует ли поведение системы требованиям, заданным в спецификации, называется верификацией.
Обычно в качестве формальных моделей параллельных и распределенных систем выступают помеченные системы переходов, представляющие собой средство технически простое, но очень удобное и достаточно общее для моделирования параллельного поведения.
Многочисленные методы и средства анализа параллельных и распределенных систем основаны на использовании помеченных систем переходов с конечным числом состояний. Однако существует большое количество примеров формальных моделей, которые могут быть рассмотрены как системы переходов с бесконечным числом состояний. В этом случае многие средства верификации, производящие полный перебор пространства состояний, становятся неприменимыми, так как по своей природе не способны анализировать системы, у которых число состояний бесконечно.
Для того чтобы преодолеть этот недостаток, были разработаны методы, применимые, по крайней мере, для некоторых ограниченных классов систем с бесконечным числом состояний. Можно упомянуть здесь работы, например, П. Абдуллы, К. Чёранса, А. Финкеля, Б. Йонссона, Ф. Моллера, Ф. Шне- блена [20, 48, 71]. Более того, оказалось, что метод проверки
модели, широко используемый при автоматической верификации систем с конечным числом состояний, может быть применен для некоторых классов систем с бесконечным числом состояний и подмножеств темпоральных логик [44, 46, 32, 45, 29].
Проверка модели (model checking) — один из подходов к решению проблемы верификации [35]. В качестве языков спецификации для выражения свойств систем при этом подходе используются темпоральные логики. Задача проверки модели состоит в определении выполнимости для системы, заданной формальным образом (в виде формальной модели), свойства, записанного формулой темпоральной логики.
Исследования систем переходов с бесконечным числом состояний были мотивированы теорией формальных языков и грамматик [58, 19, 3]. Во-первых, в этой теории бесконечные языки описываются конечными грамматиками, а во-вторых, некоторые проблемы для языков, например, проблема эквивалентности регулярных языков, являются разрешимыми. Следовательно, не все проблемы систем переходов с бесконечным числом состояний неразрешимы. По аналогии с теорией формальных языков были введены новые формализмы для описания бесконечных систем переходов.
Классическим примером является магазинный автомат. В теории формальных языков он используется для описания контекстно свободных языков. Но этот автомат может быть также рассмотрен как модель системы переходов с бесконечным числом состояний. Каждое управляющее состояние (множество которых конечно) вместе с содержимым стека (магазина) описывает состояние системы переходов. Поскольку размер стека не ограничен, то может быть бесконечно много различных состояний системы. Состояние меняется, когда автомат принимает терминальный символ. Однако это можно интерпретировать как совершение действия системой и переход ее в другое состояние.
Примерами других формальных моделей (систем переходов с бесконечным числом состояний), позволяющих описывать параллельные и распределенные системы, являются сети Петри [6], базовые параллельные процессы (ВРР — Basic Parallel Processes) [37], системы с каналами, теряющими сообщения (LCS — Lossy Channel Systems) [23, 24], автоматы реального времени (Real-Time Automata) [26] и др.
Указанные формализмы, как и многие другие, могут быть рассмотрены как вполне структурированные системы помеченных переходов [20, 48].
Вполне структурированные системы помеченных переходов — это весьма широкий класс систем переходов с бесконечным числом состояний, для которых разрешимость многих свойств следует из существования совместимого с отношением переходов правильного квазипорядка на множестве состояний.
Описание свойств и методов исследования этого класса систем переходов и является целью настоящей монографии. Основное внимание уделяется разрешимости таких проблем, как проблемы ограниченности, достижимости, покрытия, неизбежности, поддержки управляющего состояния, останова, эквивалентности и ряда других важных семантических свойств. Важность этих задач при анализе свойств систем с бесконечным числом состояний можно продемонстрировать на примере проблем ограниченности и эквивалентности. Одним из первых вопросов при верификации потенциально бесконечных систем является вопрос, действительно ли поведение той или иной системы порождает бесконечное число состояний. Если ответ отрицательный, то могут быть применимы методы, которые используются для верификации конечных систем. Если же множество состояний действительно бесконечно, остается работать лишь с ограниченной, «видимой» частью поведения системы с применением различных комбинаций методов и техник анализа. Для двух формальных моделей, отличающихся размером спецификации, также представляет интерес вопрос о разрешимости проблемы совпадения (эквивалентности) множеств состояний систем переходов, которые они порождают. И в случае положительного ответа существовала бы возможность замены исследуемой сложной модели на более простую (в смысле объема спецификации).
В качестве общего средства для демонстрации неразрешимых проблем для вполне структурированных систем переходов рассматриваются «слабые» счетчиковые машины. Абстрактная счетчиковая машина — довольно простой и удобный объект для исследования неразрешимых семантических и темпоральных свойств систем переходов. Большое количество формализмов, порождающих вполне структурированные системы переходов, с легкостью могут задавать поведение «слабых» счетчиковых
машин. Но в то же время такие проблемы, как ограниченность и достижимость, для некоторых классов машин являются неразрешимыми. Поэтому все неразрешимые проблемы для того или иного класса «слабых» счетчиковых машин автоматически распространяются на вполне структурированные системы переходов (формальные модели), способные отображать поведение этих машин.
Абстрактные счетчиковые машины строятся с помощью различных ослаблений, например, недетерминизма переходов и отношения потери значений счетчиков, на основе счетчиковых машин Минского, которые являются равномощными универсальным машинам Тьюринга. Отсюда неразрешимость исследуемой проблемы устанавливается методом сведения неразрешимой проблемы машины Минского к данной проблеме. Необходимо отметить, что, если исследуемое для конкретной модели свойство является неразрешимым для класса систем переходов, к которому принадлежит модель, это еще не означает бесполезность проверки его выполнимости. Поскольку доказательство неразрешимости некоторого свойства проводится на одном «плохом» примере для всего класса систем переходов в целом, то в конкретном случае, в конкретной модели с учетом ее особенностей проверка свойства может привести к положительному (или отрицательному) результату, т. е. проверка свойства может быть осуществлена.
Ранее в ряде публикаций таких авторов, как А. Буаджани, О. Буркарт, X. Эспарза, Р. Майр, из которых, например, можно выделить [32, 29, 45, 46], исследовались вопросы разрешимости задачи проверки модели для некоторых конкретных представителей класса вполне структурированных систем переходов, а именно: магазинных автоматов, сетей Петри, ВРР, систем сложения векторов с потерями (LVAS) и различных темпоральных логик линейного времени и ветвящегося времени. В данной же монографии мы исходим из позиции обобщения и акцентируем внимание на проблеме разрешимости темпоральных свойств для различных классов вполне структурированных систем помеченных переходов, в частности, для класса вполне структурированных систем переходов автоматного типа, которые из-за своей специфической структуры можно также отнести и к классу систем переходов, независимых от данных.
В литературе практически не уделяется внимание системам переходов, независимых от данных (за исключением систем переходов с конечным числом состояний). Тем не менее, системы, принадлежащие к этому классу, могут быть достаточно выразительными и нетривиальными. Для демонстрации этого факта в данной монографии представлен специальный фрагмент алгебры процессов, построенный на основе таких хорошо известных алгебр процессов, как CCS (Calculus of Communicating Systems — исчисление взаимодействующих систем) Милнера [69] и SCP (Communicating Sequential Processes — взаимодействующие последовательные процессы) Хоара [57], позволяющий строить формальные модели (параллельных и распределенных систем), которые могут быть рассмотрены как независимые от данных помеченные системы переходов, а точнее, как вполне структурированные системы переходов автоматного типа.
В качестве примера конкретной реализации этого фрагмента представлен формализм, который называется «взаимодействующие раскрашивающие процессы» (ССР — Communicating Colouring Processes), позволяющий строить модели распределенных систем, где поведение каждого компонента описывается последовательным процессом и между ними организовано взаимодействие, направленное на обмен и передачу пакетов информации. Формализм ССР принимает во внимание факт передачи данных, а также позволяет отслеживать перемещение данных различного типа между компонентами системы. Но переход из одного состояния в другое не зависит от оперируемых данных, а определяется только управляющими состояниями.
Кроме взаимодействующих раскрашивающих процессов, в качестве примеров вполне структурированных систем переходов рассмотрены обыкновенные сети Петри и сети Петри с обнуляющими дугами, а также системы с ненадежными каналами, в частности, FIFO-канальные системы с потерями. Эти формализмы позволяют продемонстрировать ряд абстрактных свойств на конкретных примерах.
Монография организована следующим образом.
В первой главе приводятся предварительные сведения, на которые мы будем опираться в дальнейшем. Здесь определяются понятия мультимножества и правильных квазипорядков. Затем рассматриваются различные классы вполне структурированных
систем переходов; для них описываются методы анализа разрешимых семантических свойств. В конце главы приводятся примеры формальных моделей параллельных и распределенных систем, порождающих вполне структурированные системы переходов рассматриваемых классов. Глава составлена в основном с использованием материалов из литературных источников [13] и [48].
Важно отметить, что в книге [13] И. А. Ломазовой для моделирования и анализа распределенных систем с объектной структурой предлагается использовать вложенные сети Петри, которые также рассматриваются как вполне структурированные системы переходов и являются интересным примером систем переходов с сильной совместимостью по возрастанию отношения квазипорядка (на множестве состояний) с отношением переходов. В нашей монографии не рассматриваются вложенные сети Петри, и авторы отсылают читателя для ознакомления с этим формализмом, являющимся расширением обыкновенных сетей Петри, к работе [13].
Вторая глава посвящена счетчиковым машинам, с помощью которых показываются неразрешимые проблемы для вполне структурированных систем переходов, способных моделировать их поведение.
В третьей главе исследуется разрешимость темпоральных свойств систем переходов. Здесь описывается метод проверки модели и приводится ряд темпоральных логик линейного времени и ветвящегося времени. Базовой темпоральной логикой полагается автоматная логика. Проводится сравнение (по выразительной силе) этой логики с другими приведенными темпоральными логиками. Затем для рассматриваемых классов вполне структурированных систем переходов устанавливаются разрешимые и неразрешимые темпоральные свойства, т. е. устанавливаются подмножества логик, в частности, подмножества автоматной логики, для которых метод проверки модели может быть применим, и неразрешимые подмножества, для которых в общем случае этот метод может оказаться бесполезным. Итогом главы является дерево разрешимости темпоральных логик.
В заключении рассматриваются некоторые вопросы вполне структурированности в общем смысле для систем непомеченных переходов.
Глава 1ВПОЛНЕ СТРУКТУРИРОВАННЫЕ СИСТЕМЫПОМЕЧЕННЫХ ПЕРЕХОДОВ
Предварительные сведения
Мультимножества. Понятие мультимножества есть обобщение понятия множества. В отличие от множества, представляющего собой набор различных элементов, в мультимножестве допускается вхождение нескольких экземпляров одного и того же элемента.
Определение 1.1.1. Пусть X — это некоторое множество. Тогда мультимножеством т над X называется функция
т: X ^N,
где N — множество целых неотрицательных чисел.
Полагаем х Е т, если т(х) > 0, и х ф т, если т(х) = 0. Для х Е X значение т(х) называют кратностью, или числом вхождений, х в т.
В том случае, когда \/х Е X: т(ж) < 1, т является обычным множеством. Мощность мультимножества определяется как
Ы = Т,хеХтС\
Мультимножество конечно, если для всех х Е X, за исключением, может быть, конечного их числа, имеем т(ж) = 0. В дальнейшем будем рассматривать только конечные мультимножества. Множество всех конечных мультимножеств над множеством X обозначим через М^Х\
Операцию вычитания до нуля для натуральных чисел определим следующим образом:
Vn, k Е N: п © к =f max(0, п — к).
Операции и отношения теории множеств естественным образом расширяются на конечные мультимножества.
Пусть тх,т2 6 М^Х\ х Е X, X’ СХ и k Е N. Полагаем
(mi + m2) (ж) = Ш1(х) + Ш2(х),
(к • тх)(х) = к • mi (ж),
(mi — m2)(x) = mi (ж) © т^^ =f max(0, mi (ж) — т2^\
(mi U m2)(x) = max(mi(x), m2(x)),
(mi П m2)(x) = min(mi^x\
mx C m2 ^x E X \ m\ (x) © m2(x),/\ a f тЦх), Vx X',
(^А^)Ц) = | 0, ^xEX';
Символ 0 обозначает пустое мультимножество, т. е. такое мультимножество тЕ М\Х\ что т(х) = 0 для всех х.
Квазиупорядоченные множества. Бинарное отношение R называется отношением частичного порядка, если оно рефлексивно (хRx), транзитивно (xRy Л yRz =^ xRz) и антисимметрично (xRy Л yRx =^ х = у).
Если отношение только рефлексивно и транзитивно, то оно называется отношением квазипорядка, или предпорядка.
Вместо xRy обычно пишут х ©д у или просто х © у. Будем также говорить, что множество X, являющееся носителем отношения R, частично упорядочено (или квазиупорядочено), не указывая явно отношения R, если из контекста ясно, о каком упорядочении идет речь. Если х © у и у ^ х, то пишут х < у и говорят, что х строго меньше у. Очевидно, что строгий порядок есть транзитивное и иррефлексивное отношение.
Для квазипорядка х ©д у обратным называют квазипорядок х ^r у такой, что х ^r у у <д х. Аналогично пишем ж >к У ^^ У <R х- Квазипорядок Rx на множестве X называют расширением квазипорядка R2 на X, если для любых xi,X2 6 X из хх <д2 ^2 следует хх <щ хг, соответственно R2 называется сужением Rx.
Частично упорядоченное множество, в котором любые два элемента сравнимы, называется линейно упорядоченным, или цепью.
Подмножество Y квазиупорядоченного множества (X, ^) называется антицепью, если элементы Y попарно несравнимы, т. е. для любой пары элементов х ^ у из Y не выполняется ни х < у, ни у < х.
Элемент а квазиупорядоченного множества X называется минимальным элементом этого множества, если в X нет ни одного элемента х, удовлетворяющего условию х < а.
Правильный квазипорядок. Квазипорядок R на множестве X называется фундированным, или квазипорядком с условием минимальности (well-founded), если всякое непустое подмножество множества X имеет минимальный (в этом подмножестве) элемент. Это эквивалентно тому, что в X нет бесконечно строго убывающих цепей вида х^> х\> х^> ....
Квазипорядок < на множестве X называется правильным (well-quasi-ordering), если для любой бесконечной последовательности xq, х\, Х2, хз, ... элементов из X существуют индексы г < j такие, что х^ ^ Xj.
Нетрудно заметить, что:
всякое расширение правильного квазипорядка является правильным;
с другой стороны, не всякое сужение фундированного квазипорядка является фундированным.
Далее приводятся некоторые другие важные свойства правильных квазипорядков.
Утверждение 1.1.1. Квазипорядок < на множестве X является правильным в том и только том случае, когда одновременно выполняются два следующих условия:
X не содержит бесконечных строго убывающих цепей хо > xi > Х2 > ...;
всякая содержащаяся в X антицепь конечна.
Доказательство. Легко заметить, что для правильного квазипорядка выполняется условие минимальности. Действительно, если нарушается условие минимальности и существует бесконечная строго убывающая последовательность х^ > х\ > xs..., то для этой последовательности для любой пары индексов г < j не ВЫПОЛНЯеТСЯ Xi < Xj.
Аналогично, если существует бесконечная антицепь У, то из элементов У можно построить бесконечную последовательность, не удовлетворяющую условию правильности.
Докажем, что если условия 1 и 2 выполняются, то отношение < — правильный квазипорядок. Предположим противное. Пусть xo,xi,X2,... — это некоторая бесконечная последовательность элементов из X, для которой условие правильности не выполняется, но выполняются условия 1 и 2. Итак, для любых j > г не выполняется х^ ^ Xj. Тогда в силу конечности антицепей из этой последовательности можно выбрать подпоследовательность
где Д < Д < г2 < Д < ^з < • • • •
Рассмотрим теперь последовательность хц, Xi2, Жг3, Xiv Повторяя предыдущие рассуждения, из нее можно выбрать подпоследовательность
Xj > Xj , Xj > Xj , ... ,(1.2)
где г\ < з’х < г'2 < j'2 < г'3 < .... Тогда, объединяя 1.1 и 1.2, имеем
гр . ,\> гр , ,\> гр 7 гр . ,\> гр , ,\> гр 7
где г\ < j'x < кх < г'2 < j'2 < к2 < г'3 < ....
Применяя аналогичные рассуждения, из данной последовательности Хо,Х1,Х2,... можно построить сколь угодно длинную строго убывающую подпоследовательность, что противоречит условию 2.□
Следствие 1.1.1.
Любой правильный квазипорядок является фундированным.
Для линейного порядка условия правильности и фундируе- мости эквивалентны.
Утверждение 1.1.2. Пусть отношение < — правильный квазипорядок на множестве X. Тогда всякая бесконечная последовательность хо, хь Х2, ... элементов из множества X содержит бесконечную монотонно возрастающую подпоследовательность Xi0 < х^х < Xi2 С ..., где го < ii < 22 < ....
Доказательство. Рассмотрим бесконечную последовательность хо, хь Х2, ... и множество
М = {г Е N | Vj > г : Xi ^ XjY
Множество М не может быть бесконечным, так как в этом случае из его элементов можно было бы выбрать бесконечную подпоследовательность, для которой не выполняется условие правильности. Тогда множество М ограничено, и, следовательно, любая подпоследовательность, начинающаяся с индекса г М, является бесконечной возрастающей подпоследовательностью. □
Определение 1.1.2. Пусть отношение < — правильный квазипорядок на множестве X. Идеалом, или верхним конусом, называется подмножество I С X такое, что для х Е I, у Е X и х < у следует, что у Е I.
Определение 1.1.3. Пусть < — правильный квазипорядок на X. Нижним конусом называется подмножество I С X такое, что для х Е I, у Е X и х у следует, что у Е I.
Идеал (верхний конус) может быть получен замыканием кверху некоторого множества. Каждый элемент х Е X порождает верхний конус ^х =f {у | у ж}. Базисом верхнего конуса I называется множество min(J) такое, что I = Uxemin(i) Тж- Следующее свойство впервые было установлено Хигманом [56].
Утверждение 1.1.3. Если отношение < — правильный квазипорядок на множестве X, то всякий верхний конус I имеет конечный базис.
Доказательство. Поскольку < — фундированный порядок, множество минимальных элементов конуса образует его базис. Этот
базис может содержать только конечное число элементов, так как в противном случае из этих минимальных элементов можно было бы построить бесконечную последовательность попарно несравнимых элементов, что противоречит правильности. □
Далее нам понадобится следующее свойство верхних конусов.
Утверждение 1.1.4. Если отношение < — правильный квазипорядок на множестве X, то любая бесконечно возрастающая по отношению вложения множеств последовательность 1^ С 1\ С 12 С ... верхних конусов стабилизируется, т. е. найдется такое k е N, что Д = Д+1 = Д+2 = ....
Доказательство. Предположим противное, что для некоторой последовательности верхних конусов условия теоремы не выполняются. Выберем из этой последовательности строго возрастающую подпоследовательность До С Д С Д С .... Тогда для каждого г > О найдется элемент х^ 6 ДДД^_Г В силу правильности среди элементов бесконечной последовательности ^i,^2, Х3... найдется пара xt < Xj при г < Д Но элемент Xi принадлежит конусу Д., и, следовательно, Xj Е IUv что противоречит условию Xj ^ Inj_v □
Определение 1.1.4. Пусть < — некоторый квазипорядок на множестве X. Отношение <п на множестве Xй векторов размерности п с элементами из X определим, полагая для х, у Е е Xй, X = (жьж2,...,хп\ у = (У1,У2, ... х ^п у в том и только том случае, когда Vi, 1 < г < п: Xi < у^.
Утверждение 1.1.5. Пусть отношение < — правильный квазипорядок на множестве X. Тогда отношение <п на множестве векторов размерности п из Xй также является правильным квазипорядком.
Доказательство. Пусть имеется некоторая бесконечная последовательность Д, х\, x2l... векторов из множества Xй. Выберем из этой последовательности бесконечную подпоследовательность так, чтобы все первые координаты векторов следовали в возрастающем порядке (относительно порядка <). Это возможно в силу утверждения 1.1.2. Далее из полученной подпоследовательности
выберем в свою очередь бесконечную подпоследовательность, в которой вторые координаты следуют в возрастающем порядке. Повторив этот процесс для всех п координат, получим подпоследовательность, возрастающую в каждой координате, т. е. последовательность векторов х^, х^, Xi2, .... В этой подпоследовательности любая пара векторов удовлетворяет условию, что Хг Xj для г < j.□
Это утверждение известно как лемма Диксона [40].
Необходимо отметить, что Сп не является линейным порядком на Xй, даже если < — линейный порядок на X.
Если X — конечное множество, на котором задан некоторый порядок, то из утверждения 1.1.5 следует
Утверждение 1.1.6. Отношение С на множестве М(Х) является правильным квазипорядком.
Доказательство. Напомним, что для двух мультимножеств Ш1, Ш2 6 М(Х)
т\ С m2 ^х Е X: mi (ж) < т^х\
Поскольку элементы множества X упорядочены, то мультимножества т Е М(Х) можно рассматривать как векторы вида (m(xxY ..., т(хпУр где п = |Х|.□
Обозначим X* множество конечных последовательностей (строк) элементов из X. Пустую последовательность будем обозначать е. Длина последовательности х Е X* обозначается |х|, и |е| = 0. Для обозначения бесконечной последовательности яця^з ... элементов из X мы будем использовать (х^)^.
Определение 1.1.5. Пусть на множестве X задан некоторый квазипорядок <, а х = х\х^...хт и у = у\Уъ---Уп — строки из множества X*, где т < n, (т^п Е N). Строка х вкладывается в строку у (обозначается х <С у) тогда и только тогда, когда существует сохраняющее порядок инъективное отображение g: {1,..., m} {1,..., п} такое, что Мг Е {1,..., т} : х^ < уд^, где д — строго монотонная функция. Это означает, что строка х вкладывается в строку у, если из у можно удалить некоторые элементы так, чтобы получившаяся строка была поэлементно не меньше, чем строка х.
Мы будем называть х = хух^ ... хт подстрокой строки У = У\ У2 • • • Уты а у — надстрокой строки х. Вложение С является рефлексивным, транзитивным и антисимметричным отношением, т. е. частичным порядком на X. Далее будем предполагать, что если множество X конечное, то для любых х^ У3 6 X
Xi < Уз ^^ Xi = Ур
Приведем теперь фундаментальный результат, принадлежащий Хигману [56] (лемма Хагмана).
Утверждение 1.1.7. Пусть на множестве X задан правильный квазипорядок <. Тогда отношение вложения С также является правильным квазипорядком на множестве конечных строк X*.
Доказательство. Предположим, что <С не является правильным квазипорядком на X*. Тогда существует по крайней мере одна последовательность s = si, S2, S3,... строк из X* такая, что для любых г и 3, г < Д имеем х^ ^ Хр Мы будем называть такую последовательность «плохой»; последовательность, для которой это свойство не выполняется, назовем «хорошей».
Построим наименьшую плохую последовательность строк t = й, £2, й, • • • следующим образом:
• ty — строка минимальной длины, с которой начинается плохая последовательность;
Хг формируют бесконечную последовательность х = (^)^>i в X, а элементы Si выстраивают бесконечную последовательность (sj^i в X*. Из утверждения 1.1.2 следует, что существует монотонно возрастающая подпоследовательность х* = (х^у)^. Покажем, что соответствующая последовательность s' = (s^))^! хорошая. Если предположить, что это не так, то возможны лишь два следующих случая:
сг(1) = 1: бесконечная последовательность s' плохая с |si| < < |й|, что противоречит условию минимальности для последовательности t;
сг(1) > 1: бесконечная последовательность
S П , ^2, ^3’ • • • ) ^сг(1) —Ь ^сг(1) ’ ^сг(2) ’ ^сг(З) ’ • • •
также является плохой, так как Vfc > 1 tp = xpsp, и из Ci С s^^ и определения отношения вложения С следует, что i^ С t^jy Но Is^^l < |<(7(1)|, что также противоречит условию минимальности t.
Поскольку последовательность sr = (s^y)^ хорошая, то существуют натуральные числа г < j такие, что а^г) < a(j) и s^y ^ 8oUY Так как последовательность х1 монотонно возрастает, имеем
^сг(г) жсг(г)5сг(г) ^ ^cr(j) 8сг^ ^(J)’
Следовательно, последовательность t хорошая и мы пришли к противоречию.□
Системы помеченных переходов
Система помеченных переходов — одна из наиболее распространенных моделей для описания поведения различных систем (в том числе параллельных и распределенных).
Определения. В этом пункте помимо определения системы помеченных переходов приводится ряд основных понятий, имеющих отношение как к простым системам помеченных переходов, так и к вполне структурированным.
Определение 1.2.1. Система помеченных переходов представляет собой четверку LTS = (S', Г, ^,sg), где
S — множество состояний с элементами sq, si, S2,...,
Т — некоторый конечный алфавит пометок (множество имен действий),
С (S х Т х S) — отношение перехода между состояниями системы,
sg 6 S — начальное состояние системы.
Переход (s, t, s') обычно записывается как s -^ s' и означает, что действие с именем t переводит состояние s в состояние s'. Состояние s' в этом случае называется t-последующим, или просто последующим для s, а состояние s — t-предыдущим, или просто предыдущим для s’. Состояния, не имеющие последующих состояний, называются финальными.
Через Succ(s) обозначается множество последующих состояний для s, через Pred(s) — множество его предыдущих состояний. Система LTS будет конечно ветвящейся, если для любого s множество Succ(s) конечно. Далее будут рассматриваться системы переходов, имеющие только конечное ветвление.
Определение 1.2.2. Система переходов LTS имеет вычислимое отображение Slice (coot. Pred), если существует эффективная процедура вычисления множества Succ(s) (coot. Pred(s)) для любого СОСТОЯНИЯ 8.
Последовательное исполнение для LTS есть конечная или бесконечная цепочка переходов so -^» si S2 где so — начальное состояние системы. Запись s s' означает, что имеется (конечная) последовательность переходов, переводящая состояние s в состояние s'.
Диаграмма переходов для LTS — это помеченный ориентированный связный граф GltSi в котором вершинами являются элементы множества состояний S, а дуги определяются отношением переходов так, что дуга, помеченная t, соединяет вершину з с вершиной s' в том и только том случае, когда s s'.
Рис. 1.1. Свойства сильной (а) и транзитивной (Ь) совместимости по возрастанию
Очевидно, что каждому последовательному исполнению системы LTS соответствует ориентированный путь с началом в вершине sg в графе Glts-
Деревом достижимости назовем ориентированное дерево с корнем в начальном состоянии sq системы переходов LTS, в котором вершины помечаются элементами из 8, а дуги определяются в соответствии с отношением переходов.
В отличие от диаграммы переходов в дереве достижимости разные вершины могут иметь одну и ту же метку из множества состояний 8. Дерево достижимости представляет собой множество всех возможных исполнений системы переходов LTS.
Вполне структурированные системы помеченных переходов. Для решения задач анализа семантических свойств систем переходов полезной оказывается теория вполне структурированных систем переходов [47, 20, 48].
Определение 1.2.3. Вполне структурированной системой переходов со свойством сильной совместимости (по возрастанию) называется система переходов LTS = (S,T, —^sq), дополненная отношением квазипорядка С С S х S, удовлетворяющим следующим условиям:
отношение < является правильным квазипорядком;
квазипорядок < совместим сильно по возрастанию с отношением переходов а именно: для любых двух состояний s < q и любого перехода s s' существует переход q q' такой, что s’ < q’.
Свойство сильной совместимости по возрастанию представлено в виде диаграммы на рис. 1.1(a).
Приведем более общее определение вполне структурированной системы переходов, которое чаще всего соответствует системам с потерями [66, 23]. Системы с потерями (FIFO-канальные системы с потерями) будут рассмотрены в разделе 1.3.2 в рамках систем с ненадежными каналами.
Определение 1.2.4. Вполне структурированной системой переходов со свойством транзитивной совместимости называется система переходов LTS = ^S,Т8^), дополненная отношением правильного квазипорядка < С S х S, транзитивно совместимым с отношением переходов ^, т. е. для любых состояний s < q\ и любого перехода s s существует непустая последовательность переходов qx q2 qn-x Qn такая, что s < qn и s < qi \/г < тг.
Диаграмма, отражающая свойство транзитивной совместимости, показана на рисунке 1.1(b).
Далее в тексте системы переходов, удовлетворяющие определению 1.2.4 (соот. 1.2.3), будем называть вполне структурированными системами переходов с транзитивной совместимостью (соот. с сильной совместимостью).
Определение 1.2.5. Система переходов (LTS, <) имеет разрешимое отношение порядка < на множестве состояний, если существует эффективная процедура проверки истинности s < sr ДЛЯ любых СОСТОЯНИЙ 8 И 8г.
Метод насыщения. Одной из основных проблем в семантическом анализе различных (в том числе параллельных и распределенных) систем переходов является проблема достижимости, состоящая в проверке выполнимости sq ^> s для двух СОСТОЯНИЙ So и 8.
Вместо того чтобы решать проблему достижимости, часто можно ограничиться проверкой, может ли быть достигнуто некоторое состояние sr, покрывающее данное состояние s, т. е. состояние s' з.
Проблема покрытия*, для данного состояния sq и заданного своим конечным базисом верхнего конуса I проверить достижимость из sg состояния, попадающего в конус I. В частности, для I = ^s, где s — некоторое состояние системы, проблема покрытия состоит в проверке достижимости из sq состояния s' ^ s.
Для решения проблемы покрытия в случае вполне структурированных систем переходов используется метод насыщения (saturation method [49, 20]), основанный на свойстве стабилизации возрастающей последовательности верхних конусов (см. утверждение 1.1.4).
Пусть (LTS, <) — вполне структурированная система переходов. Напомним, что
{X = {у е S I X Е X: у > х^ где X С S.
Через Pred(s) = IJter Predt(s), где Predt(s) = {s' 6 S | sr s}, будем обозначать множество непосредственных предшественников состояния s. Соответственно для множества состояний X С S полагаем
Pred(X) = [J Pred(s).
sex
Пусть I — верхний конус. Рассмотрим последовательность ^о С Д С где Io = Д Д+1 = Д U Ргеб(Д). Через Pred*(l) обозначим предел этой последовательности, т. е. множество Pred*(l) = IJz^- Решение проблемы покрытия для заданных состояний sg и s состоит в проверке того, что s Е Pred*({so).
Утверждение 1.2.1. Пусть (LTS, <) — вполне структурированная система переходов с сильной совместимостью, I С S — верхний конус (относительно <). Тогда Pred*(l) также является верхним конусом (относительно <).
Доказательство. Покажем сначала, что если множество I — это верхний конус, то Pred(I) также является верхним конусом. Действительно, пусть состояние s Е Pred(J), т. е. существует состояние s' Е I такое, что s s', и пусть г ^ s. По свойству совместимости найдется состояние г' такое, что г г' и г' ^ s', т. е. г Е Pred(r') и rf Е I. Это значит, что т Е Pred(J).
Поскольку объединение двух верхних конусов также является верхним конусом, применив индукцию, из доказанного
получаем, что для любого / > 0 множество 1+ где Ig = L R^\ = = 4 U Pred(B) = Pred\J), также является верхним конусом.
Пусть теперь s 6 Pred*(J). Тогда s 6 R для некоторого г > 0. Поскольку R — верхний конус, из г > s следует г Е Pred\l), а значит, и г Е Pred*(l). □
Из приведенного выше утверждения и утверждения 1.1.4 следует, что последовательность Iq С ^ С где lg = L 1г^\ = li U Pred(Jj, стабилизируется, т. е. начиная с некоторого к будет выполнено 1у = 1у^\ = ... = Pred*(7). Заметим, что стабилизация наступает после того, как в последовательности два последовательных множества оказываются равными.
Множество Pred*(l) может быть эффективно вычислено при условии еще одного дополнительного предположения.
Определение 1.2.6. Вполне структурированная система переходов (LTS, <) с сильной совместимостью имеет эффективный предбазис, если для любых состояния s Е S и пометки t Е Т может быть эффективно вычислен конечный базис min(PredtQs)). Обозначим pb(s) конечный базис множества PredQs) = IJter Predt(^s), т. е. pb(s) = min(PredQs)).
Пусть вполне структурированная система помеченных переходов (LTS, <) с сильной совместимостью имеет эффективный предбазис. Для верхнего конуса I с конечным базисом 1Ь построим последовательность Bg, Bi,... множеств таких, что Вд = = 1Ь и В^+1 = Bi U рЬ(Вг). Рассмотрим последовательность ?Вд С ^Bi С .... В силу утверждения 1.1.4 эта последовательность стабилизируется. Пусть т — первый индекс, для которого "\Вт = ^Bm+i. Имеет место следующее
Утверждение 1.2.2. При определенных выше условиях
ТВт =t UieN Вв
ТЦЩ<^ = РгесГ(Ц
Доказательство. Первое утверждение следует из дистрибутивности операций Pred и относительно объединения множеств, а также из того, что если для множеств R и Rf выполняется ^R = = ТВ', то ТрЬ(Д) = Tpb(Bz)-
Докажем второе утверждение. Индукцией по п проверяется, что
вп с tBn С Pred*(Z)(= TPred*(Z)).
С другой стороны, из определения предбазиса следует, что TPredn(J) С Ш,
и, следовательно,
Pred*(Z) С J TBi СТ (J Bi С TPred*(/)-zeNzeN
□
Эффективное решение проблемы покрытия основано на следующем утверждении.
Утверждение 1.2.3. Пусть вполне структурированная система переходов с сильной совместимостью (LTS, <) имеет эффективный предбазис и разрешимое отношение <. Тогда существует эффективная процедура построения конечного базиса множества Pred*(l) по произвольному верхнему конусу I, заданному своим конечным базисом.
Доказательство. В силу доказанного выше можно эффективно порождать последовательность Bq,Bi,..., поскольку каждое множество Вг конечно и базис pb эффективно вычисляется. Из разрешимости < следует разрешимость проверки ^В = ^Вг для конечных множеств В и Вг, и, следовательно, индекс т, начиная с которого последовательность стабилизируется, может быть эффективно вычислен. В результате получаем Вт — вычислимый базис верхнего конуса Pred*(I). □
Теорема 1.2.1. Проблема покрытия разрешима для вполне структурированных систем переходов с сильной совместимостью имеющих эффективный предбазис и разрешимое отношение порядка <.
Доказательство. Проблема покрытия для двух данных состояний sq и s состоит в проверке sq 6 Pred*Qs). Согласно утверждению 1.2.3 можно эффективно вычислить конечный базис В множества Pred*Qs). Тогда проблема покрытия сводится к проверке
Рис. 1.2. Свойство транзитивной совместимости при S = Q х D
sq е ]В. В силу разрешимости < проверка sq С ^В для конечного множества В также может быть эффективно выполнена.
В том случае, когда проверяется более общее свойство s Е Pred*QL), где I — верхний конус, заданный своим конечным базисом bi,...,by, мы имеем V = |J.=1 у^, и достаточно проверить, выполняется ли условие s Е Pred*(^) Для некоторого г=1,...,к. □
Проблема покрытия часто рассматривается как проблема достижимости управляющего состояния в случае, если множество состояний S вполне структурированной системы переходов (LTS, <) имеет вид Q х D, где Q — конечное множество управляющих состояний, D — бесконечное множество (на котором задан правильный квазипорядок) значений некоторых характеристик. В этом случае правильный квазипорядок < на множестве S = Q х D определяется следующим образом:
(q, d) < У, df) q = j Nd < d’.
Пусть (LTS, <) — вполне структурированная система переходов с транзитивной совместимостью, множество состояний которой имеет вид Q х D. Тогда свойство транзитивной совместимости может быть представлено следующим образом (см. диаграмму на рис. 1.2): для любых состояний (q,d) < (q,di) и любого перехода (q,d) -^ ^q'.d'^ существует непустая последовательность переходов
(д,с/2) ^ ... ^ O,dn-i) л у.й^
такая, что (qf,d’^ < (q\dn) и (q,d) < (q^di) \/г < n.
Обозначим для вполне структурированной системы переходов с транзитивной совместимостью через TrPredt(s), где s = (q,d), t — метка перехода, множество
{/ = У, d') I s' = (д', d') (q', d\^...^ (д', <) Л (q, d) = s,
(д', d'), (д', dO,..., (д', d'n) > (д', d") = s", и 3 s" A sw, s'" < s}. Из построения множества TrPredt(s) имеем, что множество Predt(s) С TrPredt(s). Следовательно, Pred(s) С TrPred(s), где TrPred(s) = IJter TrPredt(s). Таким образом, получили, что Pred*(s) = TrPred*(s).
Проблема покрытия или проблема достижимости управляющего состояния для заданных двух состояний sq — (^о^о) и s = (^, d) и вполне структурированной системы переходов с транзитивной совместимостью также может быть решена проверкой того, что s е TrPred*Qso).
Утверждение 1.2.4. Если I С S = Q х D - верхний конус, то TrPredt(l) также является верхним конусом.
Доказательство. Пусть состояние s = (q,d) Е TrPredt(I), т. е. существует sr = {qr ,dr) Е I такое, что
s = (д, d) (д, di)(д, d^ X (д', d') = s',
причем (д, d), (д, dj, ...,(q, dn) ^ (q,d") = s", s" Л s'", s'" < s', и пусть г = (q, с) > (q, d) = s.
По свойству транзитивной совместимости найдется некоторое состояние т' = (q1, cz) Е I такое, что
Г = (q,c) (у,С1) (д,с2) (д,^ Л (д', с')
и г1 = (q\cf) ^ (q\df) = s', где (^,c^) ^ (q,di) ^ (q,dn) = sH, 1 < г < п. Таким образом, г Е TrPred^r') и rf Е I. Это означает, что г = (q, с) Е TrPredt(J). □
Поскольку TrPredt(l) — это верхний конус (для верхнего конуса I), то множество TrPred(l) = IJter TrPredt(l) также есть верхний конус. Следовательно, мы можем построить верхний конус TrPred*(Z) = UfceN Л, где Zo = I и IHX = IkU TrPred(Zfc). Напомним, что TrPred*(l) = Pred*(J).
2 Е.В. Кузьмин, В. А. Соколов
Определение 1.2.7. Вполне структурированная система переходов (LTS, <) с транзитивной совместимостью имеет эффективный транзитивный предбазис, если для любых состояния s 6 6 S = Q х D и пометки t Е Т можно эффективно вычислить min(TrPredtQs)). Обозначим trpb(s) конечный базис множества TrPredQs) = Uter TrPredtQs), т. е. trpb(s) = min(TrPredQs)).
Теорема 1.2.2. Проблема достижимости управляющего состояния (проблема покрытия) разрешима для вполне структурированных систем переходов с транзитивной совместимостью, имеющих эффективный транзитивный предбазис и разрешимое отношение порядка <.
Доказательство проводится по аналогии с доказательством теоремы 1.2.1. □
Объединение и пересечение верхних конусов — верхний конус. Но, в отличие от объединения, не для всех вполне структурированных систем переходов может быть построено пересечение множеств состояний, образующих верхние конусы. Поэтому введем следующее новое понятие для систем переходов, которое потребуется нам в дальнейшем.
Определение 1.2.8. Вполне структурированная система переходов является эффективной по пересечению, если для любых состояний 8, sf вычислимо множество тш(^ П t^)-
Покрывающее дерево системы переходов. Для анализа некоторых свойств вполне структурированных систем переходов используется конструкция покрывающего дерева [47].
Определение 1.2.9. Покрывающим деревом вполне структурированной системы переходов (LTS, <) для состояния s^ Е S называется конечный ориентированный граф (дерево) такой, что
вершины дерева помечены состояниями системы LTS;
каждая вершина объявлена либо живой, либо мертвой',
корню дерева приписана пометка sq, и эта вершина объявлена живой;
мертвые вершины не имеют потомков;
живая вершина с пометкой s имеет по одному потомку, помеченному s', для каждого состояния s' 6 Succ(s);
если на пути от корня дерева до некоторой вершины с пометкой sf встречается вершина с пометкой s такой, что s < sr, то говорят, что sf покрывает s (или s покрывается sf\ и вершина sf объявляется мертвой; в противном случае sf — живая вершина.
Листья в покрывающем дереве помечены финальными или покрывающими состояниями. Для вполне структурированных систем переходов частичный порядок < является правильным. Благодаря этому все пути в покрывающем дереве конечны, так как всякий бесконечный путь должен был бы содержать покрывающую вершину. В силу леммы Кёнига о конечных деревьях, если покрывающее дерево не имеет бесконечных ветвлений, то оно конечно.
Более того, очевидно имеет место следующее утверждение.
Утверждение 1.2.5. Если отношение порядка < разрешимо и отображение Slice вычислимо, то покрывающее дерево для вполне структурированной системы переходов может быть эффективно построено.
Для построения дерева покрытия не требуется совместимости между отношениями упорядоченности < и перехода Однако именно при выполнении условия совместимости покрывающее дерево содержит полезную информацию о свойствах поведения системы.
Пусть, например, подмножество I С S является верхним конусом. Покрывающее дерево позволяет ответить на вопрос: существует ли такая последовательность переходов системы, что все промежуточные состояния будут принадлежать множеству (верхнему конусу) I.
Утверждение 1.2.6. Пусть (LTS, <) — вполне структурированная система переходов с транзитивной совместимостью, I — верхний конус. Последовательность переходов системы из состояния з такая, что все промежуточные состояния принадлежат конусу I, существует тогда и только тогда, когда покрывающее дерево системы содержит путь от корня s к листу, в котором все вершины имеют пометки из I.
Доказательство следует непосредственно из определений. □
В том случае, когда система переходов является вполне структурированной и, значит, порядок < правильный, всякий верхний конус I имеет конечный базис (см. утверждение 1.1.3), т. е. представим в виде I = {s Е S | s ^ si V... Vs ^ s^, и, таким образом, если отношение < разрешимо, то для любого состояния s Е S эффективно проверяется принадлежность к конусу I. Если к тому же функция Slice является вычиелмой, то проверка того, что все вершины некоторого пути в конечном покрывающем дереве имеют пометки из I, может быть эффективно выполнена.
Рассматриваемая задача для верхнего конуса I, заданного своим конечным базисом, называется проблемой поддержки управляющего состояния (control state maintainability problem).
Таким образом, из утверждения 1.2.6 следует
Теорема 1.2.3. Проблема поддержки управляющего состояния разрешима для вполне структурированных систем переходов с транзитивной совместимостью, разрешимым отношением порядка < и вычислимой Succ.
Пусть теперь DCS — нижний конус, т. е. для любых х Е D и у Е S, если у < х, то у Е D. Очевидно, что если D — нижний конус, то его дополнение I = S\D является верхним конусом. Ко-базисом D будем называть базис I = S\D.
Двойственной к проблеме поддержки управляющего состояния является проблема неизбежности (inevitability problem): по данному конечному ко-базису нижнего конуса D и начальному состоянию sg определить, верно ли, что всякое исполнение приводит к некоторому состоянию из D. В качестве двойственной к теореме 1.2.3 получаем:
Теорема 1.2.4. Проблема неизбежности разрешима для вполне структурированных систем переходов с транзитивной совместимостью, разрешимым отношением порядка < и вычислимой Succ.
Частным, но очень важным случаем проблемы неизбежности является проблема останова*, по данному начальному состоянию sg определить, верно ли, что всякое исполнение завершается, т. е. приводит к некоторому финальному состоянию. Множество финальных состояний является нижним конусом в силу свойства совместимости вполне структурированных систем переходов. Действительно, всякое состояние s, которое меньше некоторого финального состояния s', само является финальным, так как в противном случае, если есть переход, который может сработать в s, то существует переход (возможно, с той же пометкой), который мог бы сработать и в sr.
Теорема 1.2.5. Проблема останова разрешима для вполне структурированных систем переходов с транзитивной совместимостью, разрешимым отношением порядка < и вычислимой Succ.
Доказательство. Для проверки того, что всякое исполнение в системе переходов завершается, достаточно перебрать все листья в конечном покрывающем дереве системы и убедиться, что все они помечены финальными состояниями. □
Строгая совместимость. В общем виде вполне структурированные системы переходов со строгой совместимостью исследовались в работе [47]. Основная особенность таких систем заключается в наличии строгой совместимости правильного квазипорядка с отношением переходов.
Определение 1.2.10. Вполне структурированная система переходов (LTS, <) имеет строгую сильную совместимость отношения < с отношением переходов если для любых состояний s < q и любого перехода s -^ s' существует переход q -^ qf такой, что s' < q'.
Рис. 1.3. Свойства строгой сильной (а) и строгой транзитивной (Ь)
совместимости
Определение 1.2.11. Вполне структурированная система переходов (LTS, <) имеет строгую транзитивную совместимость отношения < с отношением переходов если для любых состояний s < q\ и любого перехода s -^ sf существует такая непустая t последовательность переходов qx q^qn-x qn, что
sf < qn и s < qi Ж < п.
Строгая совместимость означает, что из строго большего состояния существует переход (последовательность переходов) также в строго большее состояние. Свойства строгой сильной и строгой транзитивной совместимостей представлены в виде диаграммы на рис. 1.3.
Заметим, что вполне структурированные системы переходов со строгой совместимостью обладают всеми рассмотренными выше свойствами вполне структурированных систем переходов, поскольку приведенные определения лишь уточняют более общие понятия.
При рассмотрении вполне структурированной системы переходов со строгой совместимостью мы можем получить из покрывающего дерева дополнительную информацию о свойствах поведения этой системы. В частности, для систем переходов со строгой совместимостью разрешима проблема ограниченности.
Утверждение 1.2.7. Пусть (LTS, <) — это вполне структурированная система переходов со строгой транзитивной совместимостью. Для любого состояния sq Е S множество достижимых состояний Succ*(sq) является бесконечным тогда
1.2. Системы помеченных переходов 39 и только тогда, когда покрывающее дерево системы с корнем sq содержит лист с пометкой s, строго покрывающий некоторый узел с пометкой sf (т. е. sf < s), лежащий на пути от состояния sg до листа з.
Доказательство. Предположим, что такой лист s в покрывающем дереве существует. Тогда система LTS имеет бесконечную последовательность переходов
Sq ^ ... Sj ^ ... > s2 ^ ... s3 ^ ...,
где s- < s'+1 для г > 0. Это исполнение системы LTS легко строится индуктивным образом, полагая s^ = s' и s2 = s. Благодаря свойству строгой совместимости из s' ^ ... ^ s'+1 и s' < s'+1 следует существование s'+1 ^ ... ^ s'+2 при s'+1 < s'+2. Тогда все состояния s' разные, а следовательно, и множество Succ*(sq) бесконечное.
Обратно. Предположим, что множество Succ*(sg) бесконечное. Покажем, что из sq существует исполнение системы LTS без петель, т. е. в котором все состояния различные. Рассмотрим дерево (имеющее конечное ветвление) всех возможных префиксов исполнений системы LTS из sq. Затем удалим из этого дерева все префиксы, которые содержат петли. Поскольку любое достижимое состояние может быть достигнуто без прохождения каких- либо петель, усеченное дерево по-прежнему будет содержать бесконечное число префиксов. А поскольку дерево префиксов имеет конечное ветвление, то из леммы Кёнига следует существование в этом дереве бесконечного исполнения без петель системы переходов LTS.
Так как отношение < — это правильный квазипорядок, то некоторый префикс этого бесконечного исполнения, в котором все состояния различны, обязательно будет находиться в покрывающем дереве с корнем sg системы LTS, причем лист s этой ветки не равен ни одному предшественнику. Следовательно, на пути от sq до листа s существует некоторое состояние s' такое, что s' < s. □
Проблема ограниченности для систем помеченных переходов имеет вид: для системы LTS = (JS^T.^s^ и некоторого состояния s е S определить, является ли множество достижимых состояний Succ*(s) конечным.
Теорема 1.2.6. Проблема ограниченности разрешима для вполне структурированных систем переходов со строгой транзитивной совместимостью, разрешимым отношением < и вычислимым отображением Succ.
Доказательство. По утверждению 1.2.7 достаточно построить покрывающее дерево системы переходов и проверить все листья этого дерева на выполнимость условия строгого покрытия. □ Отметим, что задачи ограниченности являются очень важными при анализе свойств систем с бесконечным числом состояний. Одним из первых вопросов при верификации потенциально бесконечных систем является вопрос, действительно ли поведение той или иной системы порождает бесконечное число состояний. Если ответ отрицательный, то могут быть применимы методы, которые используются для верификации конечных систем. Если же множество состояний бесконечно, то остается работать лишь с ограниченной, «видимой» частью поведения системы с применением различных комбинаций методов и техник анализа.
Совместимость по убыванию. Системы переходов с совместимостью по убыванию впервые были введены для схем рекурсивно параллельных программ [63].
Определение 1.2.12. Вполне структурированная система переходов с сильной совместимостью по убыванию — это система помеченных переходов LTS = (S, Т, —>,sq), дополненная отношением правильного квазипорядка < С S' х 5, совместимым сильно по убыванию с отношением переходов т. е. для любых состояний s < q и любого перехода q -^ q' существует переход з з' такой, что з* < qf.
Определение 1.2.13. Вполне структурированная система переходов с транзитивной совместимостью по убыванию — это система LTS = ^S.T^.s^y дополненная отношением правильного квазипорядка < С S х S, транзитивно совместимым по убыванию с отношением переходов т. е. для любых состояний si < q и любого перехода q q существует непустая последо- t
вательность переходов si —> 82 —> ... —> sn~i —> зп такая, что sn < q’ и Si < q \/г < п.
Рис. 1.4. Свойства сильной (а) и транзитивной (Ь) совместимости по убыванию
Заметим, как и в случае совместимости по возрастанию, вполне структурированные системы переходов с сильной совместимостью по убыванию являются частным случаем вполне структурированных систем переходов с транзитивной совместимостью по убыванию.
Свойства сильной и транзитивной совместимости по убыванию представлены в виде диаграмм на рис. 1.4.
Пусть К и К' — множества состояний вполне структурированной системы переходов (LTS, <) с транзитивной совместимостью по убыванию. Введем новое обозначение Succ-(К) = = KUSucc(K).
Утверждение 1.2.8. Если для множеств К и К? выполнено ^К С ^К', то TSucc=(K) С TSucc=(JC').
Доказательство. Предположим, что s Е tSucc (К?у причем s ^ ^К, так как иначе из s Е ^К следовало бы s Е ^Succ= (К гу Тогда существуют si Е К и переход si s\ такой, что s^ < s. Поскольку ^К С ^КУ существует 82 Е Кг такое, что 82 < si. Так как LTS обладает свойством совместимости по убыванию, существует последовательность переходов s^ s^ такая, что s^ < Sp Следовательно, s^ < з. Получили, что поскольку з^ Е Succ= (К'У то и з Е ^Succ^/C). □
Пусть s — это состояние вполне структурированной системы переходов (LTS, <) с транзитивной совместимостью по убыванию. Определим последовательность JCg^b--^ гДе ^о = {$},
Кп^х = Kn U Sncc(Kn). Пусть т — первый индекс в этой последовательности такой, что ^Кт = ^Кт^х- Такой индекс существует по утверждению 1.1.4. Тогда имеем следующее
Утверждение 1.2.9. ^Кт = t LJ^eN^ = TSucc*(s).
Доказательство. Первое равенство в выражении следует из утверждения 1.2.8, второе — из определения К^. □
Утверждение 1.2.10. Пусть (LTS, <) — вполне структурированная система переходов с транзитивной совместимостью по убыванию с разрешимым отношением порядка <. Тогда для любого состояния системы переходов LTS возможно построить конечный базис множества tSucc*(s).
Доказательство проводится по аналогии с доказательством утверждения 1.2.3. Последовательность из множеств К^Кх,... . . . Кт, где ^Кт = ^К^х, может быть эффективно построена. Множество Кт является конечным базисом множества (верхнего конуса) tSucc*(s). □
Проблема субпокрытия для состояния s состоит в проверке достижимости из некоторого состояния sg покрываемого состояния, т. е. состояния sr < s.
Теорема 1.2.7. Проблема субпокрытия является разрешимой для вполне структурированных систем переходов с транзитивной совместимостью по убыванию, имеющих разрешимое отношение порядка <.
Доказательство. По утверждению 1.2.10 может быть построен конечный базис К множества tSucc*(so). Из состояния sq существует исполнение в некоторое состояние s' < s тогда и только тогда, когда s Е ^К. Поскольку отношение < разрешимо, то возможно осуществить проверку s Е К. □
Заметим, что эта теорема останется верной и для вполне структурированных систем переходов с сильной рефлексивной совместимостью по убыванию.
Определение 1.2.14. Вполне структурированная система переходов (LTS, <) имеет сильную рефлексивную совместимость по убыванию отношения < с отношением переходов —>, если для любых состояний s < q и любого перехода q -Ф ф либо s < ф, либо существует переход s sr такой, что sr < ф.
Системы переходов автоматного типа. Рассмотрим вполне структурированные системы переходов, для которых выполняются свойства сильной совместимости по возрастанию и сильной совместимости по убыванию.
Определение 1.2.15. Вполне структурированная система переходов автоматного типа WSA — это система помеченных переходов LTS = (S,T, ^зфр дополненная отношением правильного квазипорядка < С 5x5, где 5 = Q х D, Q — конечное множество управляющих состояний, D — конечное или бесконечное множество (на котором задан правильный квазипорядок) значений некоторых характеристик, sq Е S — начальное состояние, отношение С 5 х Т х 5 такое, что 3 ^е С Q х Т х Q : для любых состояний (q,d), (ф,$) и некоторой метки перехода t переход (q,d) -Ф (ф,^ существует тогда и только тогда, когда существует переход q ^е q ; отношение < определяется так, что (q, d) < (ф, dr) q = ф и d < df.
Утверждение 1.2.11. Вполне структурированная система переходов автоматного типа WSA = (LTS, <) удовлетворяет условию сильной совместимости по убыванию отношения < с отношением переходов т. е. для любых двух состояний si < ^ и перехода ^ Л 8^ существует переход s\ -^ s^ такой, что 82 < S^.
Доказательство. Рассмотрим произвольные состояния si = = (^ь^1) и ^ = (qrx,drx) системы переходов WSA такие, что si < Sp т. е. qx = фх и dx < d\. По определению WSA переходы si -^ 82 и ^ -^ 8^ где 82 = ^Дф). §2 = (^2^2)’ возможны тогда и только тогда, когда существует переход qx -^е q2- Из вполне
44 Гл. 1. Вполне структурированные системы помеченных переходов структурированности системы WSA следует, что S2 ^ s^, т. е. ^2 = ^ И ^2 < ^2-□
Утверждение 1.2.12. Любая вполне структурированная система переходов с сильной совместимостью по возрастанию и убыванию является (может быть представлена) вполне структурированной системой переходов автоматного типа.
Доказательство. Пусть WTSU^ = (LTS, <) — это вполне структурированная система переходов с сильной совместимостью по возрастанию и убыванию.
Покажем, что система WTSU^ является частным случаем вполне структурированной системы переходов автоматного типа WSA, для которой опущены управляющие состояния. Для этого необходимо в множестве состояний S системы WTSU^ выявить конечное множество таких непересекающихся групп (подмножеств) состояний, что между этими группами будет существовать отношение переходов, удовлетворяющее определению 1.2.15. Основная идея состоит в том, чтобы разбить множество S на непересекающиеся верхние конусы и задать отношение переходов на множестве этих конусов таким образом, чтобы любой переход из одного состояния в другое системы WTSU^ был возможен тогда и только тогда, когда существовал бы соответствующий переход между конусами, к которым они принадлежат.
Рассмотрим базис множества 5, т. е. множество min(S) минимальных по отношению < состояний системы переходов WTSU^. Сопоставим каждому состоянию s^ Е min(S) локальное управляющее состояние q^, где 1 < ki < n, п = | min(S)|, таким образом, что если для пар (q^s1-) и (qyrsb) выполняется условие ^sb П П ?4 + 0, то qki = qkj, т. е. ki = kj.
Построим множество Sq С Q х S,
Sq = Сяк^з) I qki EQ, 8^4 s},
где Q = ^qyv ... .q^. Множество Sq является верхним конусом и имеет базис min(Sg) = Cqkl, s^(qkn, 4)}-
Зададим на множестве Sq частичный порядок <9:
(qki, s) <9 (q^, s') qki = qkj A s < s'.
Очевидно, отношение <g является правильным квазипорядком.
Также зададим на множестве Sq отношение переходов таким образом, что
б) Л9 , s') S Л s' Л Sj < б'.
Очевидно, что если s' ^ sb и s' ^ s^ то для (д^.,^) и (qkpsb) имеем qk. = qkl.
Построим на множестве Q еще одно отношение переходов ^е такое, что
Qki ^. Qkj (<%, 4) ^q lakes') ^^ s- Л s' Л 4 < s'.
Необходимо показать, что для произвольного состояния (qk^s) е Sq существует некоторый переход (qki,s) ^q (qkj1s') t тогда и только тогда, когда существует переход qki ^е qkj-
Предположим, что существует переход (^,s) -^q (qkj,s') и не существует перехода qki -^е qkj- Тогда также не может существовать и перехода (qki, s^) ~^q (qkj, s"). Но поскольку s^ < s и s s', то должен быть переход s^ s", s" < s', что означает наличие и перехода {qkvsb) -^q (qkl,s"), где I ^ j. Получается, что, с одной стороны, sb < s', а с другой — s^ < s" < s'. Следовательно, s' Е Т sb П t s^ но тогда qkj = qkv т. е. кд = кр Пришли к противоречию.
Обратно, из существования перехода qki -^е qkj имеем переход (qki, sb) ~^q (qkj, s") и, следовательно, sb s". Так как sb < s и sb s", то должен быть переход s s' такой, что s" s'. Тогда, так как sb s" < s' и sb < s, существует состояние (qkj ,s') E Sq, в которое есть переход с пометкой t из состояния (qki1s).
Итак, получили вполне структурированную систему переходов автоматного типа WSA = (Sqi Т, ^qi s^) с отношением порядка на множестве состояний <9, где Sg = ^qki1s^\ sb < sq.
По построению система WSA имеет некоторое исполнение fe’so) ^q {qkj, Si) ^q (qkt,s2) ^q тогда и только тогда, когда система WTSU^ имеет исполнение s^ ^ s\ ^ s2 ^ .... □
Теорема 1.2.8. Класс вполне структурированных систем переходов с сильной совместимостью по возрастанию и убыванию совпадает с классом вполне структурированных систем переходов автоматного типа.
Доказательство следует из утверждений 1.2.11 и 1.2.12. □
Примеры вполне структурированных системпомеченных переходов
В этом разделе мы рассмотрим несколько примеров формальных моделей, порождающих вполне структурированные системы переходов.
Сети Петри. Формализм сетей Петри [73, 6] является одним из самых известных и широко используемых средств для моделирования параллельных и распределенных систем.
Сеть представляет собой тройку (P,T,F), где
Р — непустое конечное множество элементов сети, называемых местами;
Т — непустое конечное множество элементов сети, называемых переходами;
•FCPxTUTxP- отношение инцидентности и для (P,T,F) выполнены следующие условия:
Р П Т = 0 (множества мест и переходов не пересекаются);
(F 0) Л (Vx ePUT, З^еРиТ: xFy V yFx) (т. е. любой элемент сети инцидентен хотя бы одному элементу другого типа);
если для произвольного элемента сети х Е X обозначить через ех множество его входных элементов \г) | yFx}, а через хе — множество его выходных элементов {у | xFy}, то Vpi,p2 Р :
О1 = >2) Л (р* = р^ (рх = рч\
е. сеть не содержит пары мест, которые инцидентны одному и тому же множеству переходов.
Графическим представлением сети является двудольный ориентированный граф с двумя типами вершин. Вершины-места изображаются кружочками, вершины-переходы — барьерами. Из вершины х в вершину у ведет дуга, если и только если xFy.
Сеть Петри — это набор N = (Р, Т, F, W, Мо), где тройка (P,T,F) — конечная сеть (множество X = PUT конечно), a W: F N \ {0} и Mq : Р N — две функции, называемые соответственно кратностью дуг и начальной разметкой (N — множество натуральных чисел, включая 0). Первая сопоставляет каждой дуге число п > 0 (кратность дуги). Вторая функция сопоставляет каждому месту р Е Р некоторое число М^(р) Е N (разметка места). В графическом представлении сети разметка места р изображается помещением в вершину-кружок числа Мд(р) или, если число невелико, соответствующего числа точек (фишек).
Функционирование сети Петри описывается формальным образом с помощью множества последовательностей срабатываний и множества достижимых в сети разметок. Эти понятия определяются через правила срабатывания переходов сети.
Разметка сети N — это функция М : Р N. Строго упорядочим некоторым фиксированным образом места сети N, т. е. Р = (рх,... ,pny Тогда разметку М сети можно задать как вектор чисел М = (mi,...,mn) такой, что для любого г, 1 < г < < n, m^ = М(р^.
Введем функцию инцидентности
F: Р хТ U Т х Р ^N,которая определяется как
F(x,yX =F(x,yX =если xFy A (W(x, у) = п), 0, если ^(xFy).
F(x,yX =
F(x,yX =
Каждому переходу t сопоставим два целочисленных вектора eF(t) и Fe(t) длиной п = \Р\:
•FX = (bx,...,bn\ где bi = F(pi,f),
F*(t) = (bi,.. .,bn), где bi = F(t,pi).
Переход t может сработать при некоторой разметке М сети если \/р Е et : М(р) Г(рД\ т. е. каждое входное место р
Рис. 1.5. Сеть Петри с местами рьР2,Рз и переходами П,^ перехода t имеет разметку, не меньшую, чем кратность дуги, соединяющей р и L Это условие в векторной форме выглядит как М eF(t\
Срабатывание перехода t при разметке М порождает разметку М' по следующему правилу:
^рЕР: М\р) = М(р) — F(p,t) + F(t,py
т. е.
Mf = М -9F(t) + F\ty
На множестве разметок введем отношение —> непосредственного следования разметок:
М —> Mf 3t е Т: (М > eF(t)) ^(M, = М- eF(t) + Fe(t)\
Будем использовать уточняющее обозначение М М\ если М' непосредственно следует после М в результате срабатывания перехода I.
Пример сети Петри представлен на рисунке 1.5. В этой сети множество мест Р = (рьР2,Рз), а множество переходов Т = = {й,^}- Инцидентность мест и переходов указывается дугами. Начальная разметка Мд задается следующим образом: Mg(pi) = = 1, Mg(p2) = 2, Мд(рз) = 0, или в векторной форме Мд = = (1,2,0). При разметке Мд могут сработать оба перехода tx и й, так как Мо = (1,2,0) > eF(tx) = (1,0,0), Мо > eF(t2) = (1,2,0). После срабатывания перехода t2 разметка Мд = (1,2,0) сменяется на новую разметку КГ = (1,0, 1). Теперь при разметке КГ может сработать только переход tx, так как Mf = (1,0,1) ^ > eF(tx) = (1,0,0), а М* ^ 'F^t^ = (1,2,0). Чтобы переход t2 мог стать активным, необходимо двойное срабатывание tx.
Зададим на множестве разметок сети Петри частичный порядок как покоординатное сравнение <п (см. опред. 1.1.4). При сравнении разметок сетей Петри далее вместо <п будем писать просто <. Частичный порядок < на множестве разметок сети является правильным квазипорядком (утверждение 1.1.5). Сети Петри обладают важным свойством строгой монотонности*. если переход t является возбужденным, т. е. может сработать при разметке Mi, то переход t также является возбужденным и при разметке М2 > Mi; при этом, если Mi —> Мх и М2 —> М^ то М^ > Мх.
Следовательно, справедлива следующая
Теорема 1.3.1. Сети Петри являются вполне структурированными системами переходов со строгой сильной совместимостью отношения ^п с отношением переходов —>.
Очевидно, что для сетей Петри отношение < на множестве разметок сети разрешимо (достаточно сравнить число фишек в каждом месте сети при двух данных разметках), а функция Slice вычислима. Таким образом, покрывающее дерево для сети Петри конечно и может быть эффективно построено, что в сочетании со свойством строгой сильной совместимости дает разрешимость проблемы ограниченности для сетей Петри.
Сети Петри также имеют эффективный предбазис. Действительно, конечный базис для конуса PredQM) можно построить следующим образом. Для перехода t Е Т через tM обозначим минимальную разметку, из которой возможен переход t. Через М1 обозначим разметку, которая получается после срабатывания перехода t из разметки 1М. Тогда Predt(^M) = Predt QMZ), где Мг = lub(M, М^) — это наименьшая верхняя грань разметок М и М^, т. е. для любого места р Е Р разметка М'(р) = = шах(М(р),М1(р)У Более того, Ргей^Му = ^Ргей^М'У Разметка Predt(M') может быть легко построена. Отсюда получаем
PredQM) = T(|J Predt(lub(M,Mt))).
teT
Эта формула задает эффективное построение конечного базиса множества PredQM) по конечному базису lub(M, MQ для всех t еТ.
Рис. 1.6. Сеть Петри с обнуляющей дугой, ведущей от перехода £2 к месту рз
Таким образом, сети Петри являются ярким примером вполне структурированных систем переходов со строгой сильной совместимостью, для которых имеем разрешимость проблем покрытия, поддержки управляющего состояния (и как следствие проблемы неизбежности), останова и ограниченности.
Рассмотрим класс сетей Петри с обнуляющими дугами [27, 42], который получается расширением модели обыкновенных сетей Петри за счет добавления специальных обнуляющих дуг. Обнуляющая дуга всегда направлена от перехода к месту. При срабатывании перехода с обнуляющей дугой из места, в которое направлена обнуляющая дуга, удаляются все фишки (если таковые имелись), т. е. это место обнуляется.
На рис. 1.6 представлена сеть Петри с обнуляющей дугой, идущей от перехода £2 к месту рз. После срабатывания перехода ^2 из начальной разметки Mq = (1,2,3) порождается новая разметка М’ = (1,0,0), т. е. разметка с помощью перехода £2 меняется по обычным правилам, за исключением того, что все фишки из места рз удаляются (место рз обнуляется).
Для сетей Петри с обнуляющими дугами мы также имеем эффективный предбазис, который строится аналогичным образом, и вычислимость функции Succ. Но в отличие от обыкновенных сетей Петри для сетей Петри с обнуляющими дугами не выполняется свойство строгой совместимости отношения с отношением переходов —>. Мы имеем лишь обычную сильную совместимость (по возрастанию): если переход t является возбужденным при разметке Mi, то переход t также является возбужденным и при разметке М2 Mi; при этом, если Mi —Му и М2 —М^, то М^ ^п Му. Поэтому для сетей Петри с обнуляющими дугами справедлива только следующая
Теорема 1.3.2. Сети Петри с обнуляющими дугами являются вполне структурированными системами переходов с сильной совместимостью по возрастанию.
1.3.2. Системы с ненадежными каналами. Рассмотрим класс конечных систем с ненадежными неограниченными каналами связи [23, 34]. Системы, принадлежащие к этому классу, используются для моделирования многих реальных систем таких, как протоколы передачи данных АВР [33] и HDLC [59], в которых акцентируется внимание на успешной работе даже в случае ошибочной вставки или потери сообщений при передаче через плохой канал связи. Системы с ненадежными каналами строятся на основе FIFO-канальных систем. FIFO- канальная система имеет управляющую и канальную части. Канальная часть состоит из набора каналов, представляющих собой очереди, каждый из которых содержит последовательность сообщений. Сообщения принадлежат конечному алфавиту сообщений. Управляющая часть представляет собой конечную (т. е. с конечным множеством состояний) помеченную систему переходов. Обычно конечная часть моделирует общее поведение нескольких процессов, которые взаимодействуют через каналы. С каждым переходом управляющей части ассоциируется либо некоторое просматриваемое взаимодействие системы с внешней средой, либо операция над каналом. Операция над каналом может удалять сообщение из заголовка очереди-канала или добавлять сообщение в конец.
FIFO-канальная система рассматривается как система с ненадежными каналами, если допускается, что каналы связи в любое время могут внезапно ошибочно порождать или терять сообщения, содержащиеся в них.
Дадим формальное определение FIFO-канальных систем и систем с ненадежными каналами.
Для множества М мы используем М* для обозначения множества конечных строк из элементов множества М. Для х е М* обозначим х(г) г-й элемент строки х. Для двух строк х, у е М* обозначим х • у конкатенацию (последовательное сцепление) х и у. Пустую строку будем обозначать е.
Введем функцию
ш: С^М*,
которая сопоставляет некоторому элементу из множества С строку из М. Будем использовать запись w[c := ж] для функции к/ такой, что
w\c) = х и w\d) = w(d) для d ^ с.
Определение 1.3.1. ?1? О-канальная система (FIFО-channels system) С представляет собой набор из шести элементов (S,s0,A,C,M,5), где
S — конечное множество управляющих состояний;
sq 6 S — начальное управляющее состояние;
А — конечное множество действий;
С — конечное множество каналов;
М — конечное множество сообщений (видов сообщений);
6 — конечное множество переходов, каждый из которых представляет собой набор вида (si,op, S2), где si и S2 — это управляющие состояния, а ор — метка одного из следующих видов:
с\т, где с Е С и т Е М,
с?т, где с Е С и т Е М,
а, где а Е А.
Интуитивно конечная управляющая часть системы £ = = (S, sq, А, С, М, 5) — это обычная помеченная система переходов с множеством состояний S, начальным состоянием sq и правилами переходов 6. Канальная часть представлена множеством каналов-очередей С, каждый из которых может содержать строку сообщений, принадлежащих множеству М. Множество А обозначает множество взаимодействий с внешней средой. Каждый переход из 6 осуществляет внешнее взаимодействие из А или некоторую (внутреннюю) операцию над каналами, где
переход вида (si, с?т, S2) меняет управляющее состояние si на состояние S2, удаляя при этом сообщение т из начала канала с;
переход вида (si,a, S2) меняет управляющее состояние si на состояние S2 без изменения содержимого каналов.
Рассмотрим FIFO-канальную систему как систему с потерями (Lossy Channel System). Для этого будем предполагать, что в любой момент времени возможна внезапная потеря сообщения из некоторого канала, т. е. добавим новую операцию потери т^т) такую, что
при переходе вида (s, т(с, m), s) происходит удаление сообщения т из (ненадежного) канала с без изменения управляющего состояния.
Операционное поведение системы с потерями определяется посредством формализации интуитивного поведения как системы помеченных переходов с бесконечным числом состояний.
Пусть С = (S, sg, А, С, М, 5) — это система с ненадежными каналами. Глобальное состояние 7 системы С представляет собой пару (s,w), где s Е S и w : С М*. Начальное глобальное состояние уд системы £ — это пара (sq,s). Определим отношение —> как множество троек вида ^.ор,^), где 7, 7' — глобальные состояния, а метка
op Е Ор = {dm, с?т, а, т(с, т) \ с Е С, т Е М, а Е А}.
Будем писать 7 —^ 7' вместо ^,ор, 7') Е—>. Определим отношение —> таким образом, что
если (si,dm,S2) Е 5, то (si,w) -^^ (s2,w[c := w(c) • m]), т. е. управляющее состояние si меняется на состояние S2 и сообщение т добавляется в конец канала с;
если (si,c?m, S2) Е 5, то (si,w[c := т • w(c)]) AJA (s2,w), т. е. управляющее состояние si меняется на состояние S2 и сообщение т удаляется из начала (заголовка) канала с; заметим, что если канал с пуст или его заголовок не содержит сообщения т, то данный переход не может быть выполнен;
если ш(с) = х • т • у, где строки х и у могут быть пустыми, то (s, w) T^Zy> (s, w[c := ж e y\y т. e. сообщение m теряется из содержимого ненадежного канала с без изменения управляющего состояния;
если (si,a, S2) 6 5, то (si,w) (s2,w), т. е. управляющее состояние si меняется на состояние S2 после выполнения действия а.
В качестве примера системы с потерями рассмотрим широко известный протокол АВР (Alternating Bit Protocol — протокол с чередующимся битом) [33] как систему с ненадежными каналами, а именно как систему с потерями. Протокол АВР имеет передатчик Sender и приемник Receiver, которые взаимодействуют друг с другом через два канала-очереди см и сд. Канал см используется для пересылки сообщений от передатчика Sender к приемнику Receiver, а канал сд — для передачи подтверждений от Receiver к Sender. Оба канала связи ненадежные в том смысле, что они могут терять сообщения (без изменения порядка остальных сообщений, находящихся в очереди).
Назначение протокола АВР состоит в передаче сообщений от Sender к Receiver в правильной последовательности, несмотря на тот факт, что каналы могут терять сообщения. Искажение сообщения при передаче также может быть рассмотрено как потеря сообщения (так как некоторые внутренние механизмы протокола будут определять и отвергать (отбрасывать) полученные испорченные сообщения).
Работа (поведение) протокола АВР может быть представлена следующим образом.
Передатчик Sender считывает сообщение, которое ожидает своей очереди для отправки в приемник Receiver. Затем Sender для контроля передачи добавляет в это сообщение чередующийся бит (к первому сообщению прикрепляется 0, ко второму — 1, к третьему — 0, к четвертому — 1 и т. д.) и передает уже измененное сообщение через канал см в Receiver, после чего ожидает подтверждения (о приеме сообщения) от Receiver с тем же самым чередующимся битом. Когда Sender получает подтверждение приема сообщения, он сравнивает чередующийся бит в отосланном сообщении с чередующимся битом, который
пришел с подтверждением. Если оба чередующихся бита одинаковы, Sender приступает к пересылке следующего сообщения со следующим (инвертированным) чередующимся битом, иначе он повторяет ранее отосланное сообщение. Если подтверждение не пришло через некоторый определенный промежуток времени, то передатчик Sender также повторяет сообщение. Повторная передача сообщения происходит до тех пор, пока не будет получено соответствующее подтверждение.
Приемник Receiver получает сообщение с добавленным чередующимся битом из канала см- Если сообщение содержит ожидаемый чередующийся бит, то это сообщение принимается и Receiver посылает передатчику Sender подтверждение приема сообщения через канал сд. Подтверждение содержит чередующийся бит последнего принятого сообщения. После этого Receiver готов принять новое сообщение с инвертированным чередующимся битом. Сообщение, которое содержит противоположный ожидаемому чередующийся бит, удаляется без подтверждения приема.
Рассмотрим модель протокола АВР, которая приведена на рис. 1.7. В модели используются два бесконечных ненадежных канала см и сд, через которые передаются только чередующиеся биты, т. е. действительное содержание сообщений во внимание не принимается. Sender и Receiver представлены системами помеченных переходов. Конечная управляющая часть системы с ненадежными каналами реализуется комбинацией этих двух систем переходов.
Следовательно, модель протокола АВР представляет собой систему с потерями (S, sq, А, С, М, 5), где
S — множество пар вида ^з\ 1 ^ ^ J 4,
sg — состояние (1, 1),
А — множество {Snd, Лс!?}, где Snd представляет получение передатчиком Sender из внешней среды нового сообщения для отправки в Receiver, a Rev — передача приемником Receiver полученного от Sender сообщения во внешнюю среду,
С — множество {см,сд},
М — множество {0, 1}, т. е. сообщения представляют собой только чередующиеся биты,
— множество правил переходов, состоящее из наборов вида ((si, п), ор, (52,^2)), где либо и = тд и (si,op, S2) — это переход
Рис. 1.7. Передатчик Sender и приемник Receiver протокола с чередующимся битом АВР
в передатчике Sender, либо si = S2 и (j^op, г^ — переход в приемнике Receiver.
Петли с пометками см^, смА и с^!0, саИ используются для моделирования многократного повторения соответственно сообщений и подтверждений (в случае их потери при передаче). А петли с пометками см?0, см?1 и са?0, са?1 используются для удаления из каналов соответственно лишних копий сообщений, которые могут накапливаться, когда при передаче теряются подтверждения об их приеме, и лишних копий подтверждений, которые также могут накапливаться, если новое сообщение от Sender не проходит.
Пусть С = (S, sg, А, С, М, 5) — произвольная система с потерями. Определим на множестве глобальных состояний Г = = {(s, w) | s е S, w: C M*} системы £ отношение порядка ^ следующим образом:
(s, w) A (s\ wz) s = sf A w(c) w\c) ^c E C.
Условие w(c) C w'(c) Vc E С будем также обозначать w w'.
Из утверждений 1.1.5 и 1.1.7 следует, что отношение ^ на множестве Г является правильным квазипорядком.
Для систем с потерями выполняется свойство транзитивной совместимости (по возрастанию) отношения порядка ^ с отношением переходов —>: если возможен переход с пометкой op Е Ор из некоторого глобального состояния 71, то этот же переход ор возможен и при глобальном состоянии 72 b 71 либо сразу, либо
.3. Примеры вполне структурированных систем переходов 37 после серии ошибок, т. е. потерь сообщений из каналов; при этом, если 71 —> 7t и 72 —>72 —v 72’ Vz < п 72 с 71 ’ то
72■
Действительно, при внутреннем переходе для некоторого канала происходит либо добавление, либо удаление сообщения (если происходит действие а Е Д, то содержимое каналов не меняется). В случае добавления или внезапной потери некоторого сообщения свойство совместимости очевидно выполняется. Если из заголовка канала извлекается сообщение по правилам, возникают трудности. Возможность совершить переход с пометкой с?т из меньшего глобального состояния совсем не означает, что из большего глобального состояния будет существовать переход с такой же пометкой, так как мы имеем дело с отношением вложения содержимого каналов. Заголовок канала с в большем состоянии может не содержать сообщения т, которое обязательно будет находиться в канале. Переход с?т будет активным лишь после потери ряда сообщений, находящихся в канале перед т, что соответствует свойству транзитивной совместимости.
Следовательно, выполняются все условия, необходимые для справедливости следующей теоремы.
Теорема 1.3.3. Системы с потерями (Lossy Channel Systems) являются вполне структурированными системами переходов с транзитивной совместимостью по возрастанию.
Очевидно, что для систем с потерями отношение ^ на множестве Г разрешимо. Мы имеем и вычислимость функции Succ.
Системы с потерями имеют эффективный транзитивный предбазис. Покажем построение конечного базиса множества TrPredOpQ7) Для каждой метки перехода op Е Ор.
Для ор = с\т и 7 = (s,w), где w = w^c := ^(с) • m], построим конечное множество Г' глобальных состояний такое, что каждое состояние из этого множества имеет вид 7' = (s^w7), где 7' = (s\wf) (s,w) = 7. Тогда ^Г' = TrPredcimQ7). Более того, в данном случае ^Г7 = = TrPredcimQ7) = PredcimQ7), поскольку для любого глобального состояния 7' Е TrPredcimQ7) существует переход
Для ор = с?т и 7 = (s,w) построим конечное множество Г' глобальных состояний у7 вида (s^w'Y где w' = = w[c := т • w(c)], и у7 = (н^иЛ ^А (s,w) = 7. Тогда ^Г7 = TrPredc?mQ7), гДе Г7 — множество непосредственных предшественников состояния 7 для метки перехода ор = = с?т. Из любого состояния 7' 6 ^Г7 после ошибочной потери конечного числа сообщений из канала с, находящихся в канале перед сообщением т, можно произвести переход
Для op = а, а 6 А, и 7 = (s,w) множество глобальныех состояний Г', для которого ^Г' = TrPredaQ7) = Pred^Q?), содержит в себе состояния вида 7' = (s\w), где 7' = = (s', w) (s, w) = 7.
Для op = т(с, т) и 7 = (s,w[c := х • у^, где строки х и у могут быть пустыми, построим конечное множество Г', состоящее из глобальных состояний вида 7' = (s,w7), 7' = = (s, w7) TAAJ ^w^ = у, и wf = w[c := x • m • y\. При построении Г' рассматриваются все возможные варианты вставки сообщения т в строку w(c) = х • у. Множество Г' будет конечным, так как w(c) представляет собой конечную строку, т. е. канал с в состоянии 7 содержит конечный набор сообщений. Тогда ^Г7 = TrPredT(cm)(t7) = = PredT(cm)Q7), так как если сообщение т может быть потеряно из канала с в меньшем глобальном состоянии, то это же сообщение может быть потеряно из канала с и в большем состоянии, т. е. V77 6 TrPredT(c m)Q7) существу, т(с,т) „
ет переход 7 —> у 6 Т7-
Таким образом, системы с потерями являются примером вполне структурированных систем переходов с транзитивной совместимостью, для которых разрешимы проблемы достижимости управляющего состояния, проблема покрытия, поддержки управляющего состояния, неизбежности и останова.
Заметим, что FIFO-канальные системы легко моделируют счетчиковые машины Минского (см. следующую главу) и, следовательно, равномощны машинам Тьюринга. Поэтому для
обыкновенных FIFO-канальных систем являются неразрешимыми, например, задачи достижимости управляющего состояния и останова. Более того, для FIFO-канальных систем не выполняется условие совместимости правильного квазипорядка ^ с отношением переходов —>.
Рассмотрим теперь FIFO-канальную систему как систему с ошибочными вставками (Channel System with Insertion Errors). Переопределим операцию т(с, т) с точностью до наоборот и будем называть ее операцией ошибочной вставки, т. е. предполагается, что в любой момент времени возможна внезапная вставка произвольного допустимого сообщения в некоторый канал.
Таким образом,
при переходе вида (s,r(c, m),s) происходит вставка сообщения т в канал с без изменения управляющего состояния.
В семантике системы переходов ошибочная вставка описывается следующим образом:
если w(c) = хе у, где строки х и у могут быть пустыми, то (s, w) T^—Eys (s, w[c ;= x етпеу^, т. e. сообщение m вставляется в содержимое канала с без изменения управляющего состояния.
Заметим, что для систем с ошибочными вставками не существует тупикового глобального состояния, так как всегда возможен переход, ошибочно вставляющий сообщение, который переводит систему в другое глобальное состояние. Следовательно, всегда существует бесконечное и неограниченное исполнение такой системы.
Теорема 1.3.4. Системы с ошибочными вставками (Channel System with Insertion Errors) являются вполне структурированными системами переходов с транзитивной совместимостью по убыванию.
Доказательство. Можем легко проверить, что для систем с ошибочными вставками выполняется свойство транзитивной совместимости по убыванию правильного квазипорядка ^ с отношением переходов —>: если возможен переход с пометкой op 6 Ор
из некоторого глобального состояния 71, то этот же переход ор возможен и при глобальном состоянии 72 ^ 71 либо сразу, либо после серии ошибочных вставок сообщений в каналы; при этом, если 71 —> 7t и 72 —> 72 —> < п 72 71, то 72 Ч □
Поскольку для каждого СОСТОЯНИЯ s Е S можно вычислить множество последующих состояний, т. е. вычислима функция Slice, для систем с ошибочными вставками мы имеем разрешимость задачи субпокрытия.
Пусть FIFO-канальная система является системой с ненадежными каналами, для которой допускается, что каналы могут внезапно и терять, и ошибочно порождать сообщения. Тогда, очевидно, справедлива следующая
Теорема 1.3.5. Системы с ошибочными вставками и потерями являются вполне структурированными системами переходов с транзитивной совместимостью по возрастанию и убыванию.
Доказательство. Легко проверить, что для таких систем с ненадежными каналами выполняется и свойство транзитивной совместимости по возрастанию, и свойство транзитивной совместимости по убыванию. □
Для систем с ошибочными вставками и потерями имеем тривиальную разрешимость задач достижимости глобального состояния (так как множество достижимых состояний совпадает с множеством всех допустимых глобальных состояний), ограниченности, останова и достижимости тупика (так как всегда существует неограниченное бесконечное исполнение).
1.3.3. Системы переходов, независимых от данных. Изучение природы вычислительных процессов, в том числе параллельных и распределенных, привело к появлению и широкому применению для этих целей алгебраических подходов [68, 57, 53, 69].
В алгебрах процессов, каковыми являются, например, CCS (Calculus of Communicating Systems — исчисление взаимодействующих систем) [69] и CSP (Communicating Sequential Processes — взаимодействующие последовательные процессы) [57],
конструктивный подход играет крайне важную роль: процесс в них описывается с указанием того, как он построен из меньших процессов.
В этом разделе представлен фрагмент алгебры процессов, определяемой в стиле CSP Хоара и CCS Милнера, позволяющий строить формальные модели (параллельных и распределенных систем), которые могут быть рассмотрены как независимые от данных системы помеченных переходов, а более конкретно как вполне структурированные системы переходов с сильной совместимостью по возрастанию и убыванию (т. е. автоматного типа).
Более того, рассматривается конкретная реализация этого класса систем переходов, формализм для моделирования распределенных систем, позволяющий отслеживать перемещение данных различного типа между компонентами системы, — взаимодействующие раскрашивающие процессы (Communicating Colouring Processes — ССР) [62, 8].
В рамках ССР возможно построение моделей распределенных систем, где поведение каждого компонента описывается последовательным процессом и между ними организовано взаимодействие, направленное на обмен и передачу пакетов информации. В данной модели игнорируются значения передаваемых данных и принимается в расчет только лишь тип данных, определяемый, возможно, типом источника данных и уровнем секретности. Фокусируется внимание на возможности отслеживать перемещение данных различного типа между компонентами системы. В этом аспекте могут рассматриваться вопросы о доставке пакетов данных до адресата и о недопущении передачи конфиденциальных данных в открытую небезопасную среду.
Переход из одного допустимого состояния компонента распределенной системы в другое осуществляется посредством исполнения действия одного из следующих типов: отправка или прием сообщения в виде пакета данных из одного компонента в другой или же во внешнюю среду, формирование пакетов данных из других информационных пакетов (включая добавление и извлечение данных определенного типа).
Модель распределенной системы, реализованная в рамках формализма ССР, представляет собой параллельную композицию взаимодействующих последовательных процессов, синхронизирующихся между собой посредством взаимодействия через
общие переменные (каналы). Каждое действие процесса — это либо передача, либо прием значения некоторого выражения над переменными. Результатом вычисления такого выражения является мультимножество над типами (цветами) данных. Совершение действия ССР приводит к изменению значения (раскраски) переменной. Поэтому работа процессов интерпретируется как раскрашивание множеств переменных. В терминах раскрашивания могут быть адекватно выражены, например, свойства систем, связанные с информационной безопасностью.
Конечные автоматы, или конечные машины (Finite State Machines — FSM), широко используются для моделирования систем, где управляющий аспект является доминирующим. Конечные автоматы графически изображаются в виде помеченных ориентированных графов, где узлы представляют собой состояния, а дуги, помеченные метками действий, являются переходами по состояниям. Взаимодействующие автоматы [25] — это расширение конечных автоматов с помощью параллелизма и взаимодействия между параллельными компонентами. Параллелизм достигается организацией конечных автоматов в параллельную композицию, где все автоматы работают одновременно. Параллельные автоматы могут синхронизироваться посредством переходов, имеющих одинаковые метки. Но взаимодействующие автоматы используются только тогда, когда принимается в расчет лишь факт взаимодействия компонентов, например, факт передачи пакета данных без описания его типа или содержимого.
С другой стороны, существует много формализмов таких, как машины Тьюринга и счетчиковые машины [70], сети Петри [73], системы с ненадежными каналами [23], которые имеют семантическое расширение и производят манипуляции с данными. Модель в рамках этих формализмов состоит из системы переходов с конечным числом управляющих состояний (управляющая часть), работающая с потенциально бесконечным множеством D значений данных. Состояние такой системы может быть представлено в виде пары (q,d), где q — управляющее состояние, a d Е D. Переход в управляющей части имеет метку и операцию над множеством D. Переход возможен лишь в том случае, если будет истинен соответствующий этому переходу некоторый предикат над D (т. е. переход зависит как от управляющих состояний, так и от данных, с которыми производятся манипуляции).
Формализм ССР принимает во внимание факт передачи данных, а также позволяет отслеживать перемещение данных различного типа между компонентами системы. Но переход из одного состояния в другое не зависит от оперируемых данных, а определяется только управляющими состояниями. Таким образом, формализм ССР занимает промежуточное положение среди формализмов, указанных выше.
Взаимодействующие процессы, независимые от данных. Опишем фрагмент алгебры процессов, определяемой в стиле CSP Хоара и CCS Милнера, позволяющий строить формальные модели, которые могут быть рассмотрены как независимые от данных системы помеченных переходов.
Предполагается наличие следующих множеств:
Pr = {X, Y, Z, Xi,...} — множество имен процессов;
Var = {ж, у, г, xi,...} — конечное множество переменных;
СЫ = ^и^...} — конечное множество каналов;
Exp = {е,ei,в2,...} — конечное множество выражений над множеством переменных Var;
Actyar = {х!е,..., х?у,...} — конечное множество простых действий процессов;
Actchl = {(^k, Е!х\ (щ!е, v\7x\ ...} — конечное множество взаимодействий между процессами (передача данных через каналы v, щ,...);
D = {d, di, d%,...} — бесконечное множество допустимых значений переменных.
Приводимое ниже определение описывает абстрактный синтаксис выражений (для) процессов.
Выражения процессов (или процессы) Е, Е',. • • задаются следующей грамматикой:
Ef ::= 0 | X Е Pr \ vlx.E | Ее.Е | Е + Ef | Е || Ef.
Дадим теперь некоторое интуитивное представление смысла приведенных выше конструкций.
0 представляет процесс, который не является активным, т. е. никакое действие не может быть выполнено.
Процесс х?х.Е совершает действие х2х, а затем продолжается как процесс Е. Действие х?х означает копирование (присвоение) в переменную х значения из х, где в данном случае х может быть как обычной переменной, так и синхронизирующим каналом передачи данных, т. е. х е Var U СЫ.
Аналогично после совершения действия х\е процесс х\е.Е становится процессом Е. Действие х\е представляет собой копирование в х значения выражения е, где в данном случае xEVarUChl. Вместо краткой записи выражения е будет также использоваться и полная форма вида е(хь .. .,хп).
Для двух данных процессов Е и Ег оператор суммы дает процесс Е + Ег, который ведет себя либо как процесс Е, либо как Ег.
Для двух данных процессов Е и Е' параллельная композиция дает процесс Е || Е', способный выполнять действия Е и Е' параллельно, т. е. либо произвольно чередуя их, либо синхронизируя работу (в случае передачи данных по каналу).
Пассивный процесс 0 может рассматриваться как пустая сумма или же как пустая параллельная композиция.
Процессом является выражение процесса, переменные которого определены конечным набором рекурсивных уравнений (процессов).
Декларацией процесса называется совокупность А рекурсивных уравнений процессов
Д = {Xi d= I к г < п},
где п — натуральное число, переменные Хг все различны и где выражения Ег используют только переменные, принадлежащие множеству Рг(Д) =f {Ад, Х2,..., Хп}. Более того, если выражение Е^ строится с помощью оператора параллельной композиции ||, запретим использование переменной Х^ в
этом выражении, а также во всех других выражениях процессов, участвующих в формировании (определении) процесса Xi. Другими словами, если в описании процесса Xi используется оператор параллельной композиции ||, то построение процесса должно удовлетворять правилу, что при исполнении процесса Xi он не должен ни в какой ситуации вызывать сам себя, т. е. запрещаются любого рода рекурсивные вызовы процессом Xi самого себя.
Переменная Хх называется головной переменной и служит в качестве начального состояния процесса, если нет других уточнений.
Как это принято в алгебре процессов, определим поведение процессов посредством структурной операционной семантики, представленной в виде системы переходов.
Каждая декларация процессов А задает систему помеченных переходов: управляющими состояниями в ней являются выражения процессов (в данной семантике их конечное число), построенные на множестве Рг(Д), множество меток задается как Act = Actvar С Aetchb и отношение переходов определяется с помощью следующих правил вывода:
а.Е^Е,
Е Л EfХ^Е’Е Л EfХ^Е’defdef^ХЕг : г Е IX Е-’^ХЕг : г Е IX Е-’3 е I,3 е I,Е^Е'Ер^ Е' II F’Е^Е'Ер^ Е' II F’а € .АсЗ^Лата € .АсЗ^Лат
Е Л EfХ^Е’
Е Л EfХ^Е’
def
def
^ХЕг : г Е IX Е-’
^ХЕг : г Е IX Е-’
3 е I,
3 е I,
Е^Е'
Ер^ Е' II F’
Е^Е'
Ер^ Е' II F’
а € .АсЗ^Лат
а € .АсЗ^Лат
v Е Chi, х Е Уат, в Е Ехр.v Е Chi, х Е Уат, в Е Ехр.Е^ Е1 р 'Л F'в и F (м®) Е, || Е;
v Е Chi, х Е Уат, в Е Ехр.
v Е Chi, х Е Уат, в Е Ехр.
Последнее правило означает одновременное взаимодействие между процессами, связанное с передачей значения выражения в в переменную х через канал и, т. е. после срабатывания перехода с пометкой а = (х\с,х?х) переменная х становится равной значению выражения в. Если есть процесс вида vle.E (или соот.
3 Е.В. Кузьмин, В. А. Соколов
vlx.E), где v Е СЫ, е Е Ехр, он может перейти в процесс Е тогда и только тогда, когда в параллельной композиции будет процесс vlx.F (соот. х\е.Е), который при одновременном срабатывании перейдет в F.
Необходимо отметить, что в случае обычных переменных х,у Е Var процессы х\у.Е и у?х.Е будут по сути совершать одно и то же действие, а именно присвоение переменной х значения переменной у.
Рассмотрим систему помеченных переходов, порождаемую декларацией процессов А, как вполне структурированную систему переходов с совместимостью по возрастанию и убыванию S = ^8,Т,^,в^\ где Т = Act. Для этого необходимо на А наложить дополнительные ограничения. Положим, что на множестве D задан правильный квазипорядок <. Далее, будем рассматривать только те выражения e(xi, ..., хп) Е Ехр, которые представляют собой монотонную функцию по своим переменным относительно правильного квазипорядка <, т. е. для любых двух векторов значений переменных (di,..., dn) < (dp..., d^) должно выполняться e(di,..., dn) < e(d/1,..., d^).
Тогда состояние s системы 5 будет представлять собой пару (q, d), где q Е Q — это выражение процессов, a d = (di,..., d^ — вектор значений всех переменных (при условии, что переменные некоторым образом упорядочены), k = |Vdr|. Начальное состояние sg есть (^o,do), гДе Qo соответствует выражению процесса Ад, a dg — вектор начальных значений переменных. Из определения декларации процессов А следует, что множество Q конечно. Но множество S системы S бесконечное, так как векторов значений переменных может быть бесконечно много. Более того, на множестве S можно задать правильный квазипорядок <5 так, что
(q, d) <5 У, d8) q = q* и d < d'.
Покажем, что отношение <5 сильно совместимо по возрастанию и по убыванию с отношением переходов —>.
Из монотонности функций в Е Ехр и независимости отношения переходов от данных (недетерминизм переходов) следует, что для любых двух состояний
01,^1, • • ■ ,4) < 5(91,^,... ,4)
и перехода
(q^di.-.-.d^(q2,di,...,di,...,dkY
где d'- = c(dy,..., d^, выражение е (как и индекс г) определяется переходом а Е Act, существует переход
где d’" = e(dp ... ,dk\ причем
^,d\,... ,d’’,... ,dy) <5 A^dy,.,4’,.,d’k\
так как Vj (1 < j < fc) :
dj < dj, и 4 = c^dy,..., dp) ^ 4’ = c(d\,..., dk).
Аналогичным образом по тем же соображениям для любых двух состояний
(91, dx,..., 4) ^5 (91, d\,..., 4)
и перехода
где 4’ = c^d’y^..., dk), a E Act, существует переход
(qi,d[,... ,dk) -^ (92,^1,... ,d",... ,dk),
где 4 = c^dy,..., dp), причем
^dy,. ..,4,... AHsWV ..,4V^ 4\
так как Vj (1 < j < fc) : dj ^ dj, и dr- < d^f.
Взаимодействующие раскрашивающие процессы. Рассмотрим формализм, который представляет собой конкретную реализацию взаимодействующих процессов, независимых от данных — взаимодействующие раскрашивающие процессы (Communicating Colouring Processes — ССР).
Для этого определим новое множество X типов (или цветов) данных. Опишем тип переменных из Var как мультимножество над X. Без нарушения условия монотонности зададим допустимые для данного формализма выражения e(xi,..., хи\ Итак, выражение е(жь..., жп) в рамках ССР может быть одного из следующих видов:
е+(хьх2) = Ж1 + х2;
еи(жьж2) = хх Ut2;
ее(хх) = хх © т, где т е M^Y
еп(ж1) = хх П т, где т Е M^Y
е\(^1) = хДС, где С С S;
е^(хх) = хх/С, где CCS.
Выражения вида e^(y,z) = у + z или evYy,z) = у U z моделируют формирование (построение) нового пакета данных из данных других пакетов, находящихся в переменных у и z, который, например, с помощью действия х\е помещается в переменную х.
Выражения е\(ж) = х\С, ej^ = х]С или ее(ж) = х©т в сочетании с действием х\е^ могут интерпретироваться как извлечение данных из пакета переменной х.
Выражения х!е(хх,х2) и х?х означают отправку и прием пакета данных через канал х соответственно.
Оператор П может быть использован для формирования пакета данных определенного формата. Например, последовательность действий z\(хПт), х\^х©т\ x\z означает передачу пакета данных формата m через канал х; оператор П ограничивает размер передаваемых за один раз данных.
Таким образом, состояние ССР представляет собой набор Yrmx,... ,mnY где q — это локальное состояние (определяемое декларацией процессов А), представляющее собой выражение процессов, а тх,...,тп — мультимножества, являющиеся содержимым соответствующих переменных.
Раскраска ССР — это отображение М : Уаг М^\ где MY^Y — это множество всех конечных мультимножеств над X. Определим на множестве переменных Уаг некоторый порядок, т. е. Уаг = (ац,..., xnY тогда раскраска М — это вектор из мультимножеств М = (mi,...,mn), где \/i (1 < г < n) mt = = M(xiY п = |Var|. Для некоторого подмножества Уаг’ = = {жц,...,ж^}, Varf С Уат, обозначим М(Уат?) множество раскрасок (разметок) {M(x^),..., M^x^Y Тогда состояние ССР может быть представлено как (q,M).
Рис. 1.8. Схема взаимодействия компонентов А\ и Л2
Рис. 1.9. Пример взаимодействующих раскрашивающих процессов А = Л1ЦЛ2
Исполнение ССР — это последовательность состояний, начинающаяся в начальном состоянии (q^M^), где q^ представляет собой начальное выражение процесса Ад, которая строится в соответствии с правилами переходов.
Каждое срабатывание перехода q -^ qf переводит ССР из состояния (q, М) в некоторое последующее состояние (qf,Mf), где раскраска М' вычисляется в соответствии с выражением, ассоциированным с меткой перехода t.
Рассмотрим ССР А, представленный на рис. 1.9 в виде параллельно работающих автоматов (взаимодействующих раскрашивающих автоматов), где X = {а, &}, Chi = {i;}, Var = = {щ, ^2, ^3} U {ж, у, г}; щ, ^2, ^з представляют собой каналы, через которые происходит взаимодействие с внешней средой, а через канал с происходит взаимодействие между процессами Л1 и Л2, Act = {щ?у, V2^y, xl(x + у), (vlx,v?z), ^(^{а})}. Компонент Л1 принимает и накапливает данные двух типов а и b из каналов щ и ^2; затем Ах отправляет данные в фильтр Л2, который не пропускает данные типа а во внешнюю среду (см. рис. 1.8):
А = А\ || Л2,
Л] = v^y -А\ + v^y. Лр Л, = ж!(ж + у). у\х. Л] + щ?у. Л,),
Л2 = у?г. п3!(Д{а}). Л2.
Последовательность переходов
—Ч9ь9о) —> (92,9о) —> Wo,Qi) —> WoWo)
из начального состояния (до,9о) с начальной раскраской переменных ({а}, {Ь}, 0,0,0,0) производит следующую последовательность раскрасок:
({а}, {Ь}, 0, 0, 0, 0)({а}, {Ц, 0, 0, {Ь}, 0)
- (И, ^, 0, Щ, Д}, 0)({а}, Д}, 0, ^, {а}, 0) -
({а}, {&}, 0, {а, Ь^, {а}, 0)({^}, {&}, 0, {а, Ь^ {а}, {а, 6}) —>
-(ИЛЪМЪМаДЛ^^
В зависимости от используемых операторов взаимодействующие раскрашивающие процессы можно рассматривать как системы переходов с конечным или бесконечным числом состояний. Покажем, что во втором случае ССР является вполне структурированной системой переходов.
Рассмотрим ССР как систему помеченных переходов S = = (5,Т, ^,so). Определим естественным образом частичный порядок на множестве состояний S системы S.
Определение 1.3.2. Пусть (q,M) и {qr,Mr) — это состояния ССР. Положим (q, М) ^ (qr, Mf) тогда и только тогда, когда q = = qf и М М\ где М М! \/х G Var; М^ С М!^х\
Утверждение 1.3.1. Отношение ^ на множестве состояний S является правильным квазипорядком.
Доказательство следует из утверждений 1.1.5 и 1.1.6.□
Теорема 1.3.6. Пусть S = (S, Г, —>,sq) — взаимодействующие раскрашивающие процессы, ^ — правильный квазипорядок на множестве состояний S. Тогда (5, ^) есть вполне структурированная система переходов с сильной совместимостью по возрастанию и убыванию.
Доказательство. Пусть (q,M), {q^M') — состояния ССР. По определению 1.3.2 (q, М) ^ (q'.M'} тогда и только тогда, когда q = q' and М ^ М'. Отсюда для всех состояний (q, М) ^ (д', М'\.
(q,M)X(q2,M2)
Легко проверить, что для всех операторов, которые используются в выражениях е(жьЖ2) Е Ехр, выполняются следующие условия:
(mi,m2)(m^, m^) =^ op(mi, m2) op(mi, т^), ope{U,+};
mi ^ т\ =^ op(mi, m2) ^ op^m^m^Y op Е {П, ©};
mi ^ т\ =^ ор(тх, С) ^ ор(т\, С), op Е {\, /},
т^, т' — мультимножества, С СЕ.
Следовательно, для всех состояний (ср М) ^ (qf, Mf) и перехода q Q2 имеем (^2, ^2) 22 (^2, ^2)’ где ^2 и ^2 вычисляются в соответствии с выражением e(xx,xsY которое используется в действии t, из М и М' соответственно, т. е. выполняется условие монотонности выражений е^х^х^р использующихся в ССР. □
Утверждение 1.3.2. Пусть система (S, ^) — это ССР с правильным квазипорядком на множестве состояний S. Тогда для каждых состояния s и действия t множество min(Predt(fs)) вычислимо.
Доказательство. Построим множество °t минимальных состояний, при которых переход с пометкой t может сработать. Для любого локального состояния q, из которого существует переход t, состояние (q, 0,..., 0) принадлежит множеству °t, т. е. °t = = 4qA...,^\Bq’:qXq'Y
Обозначим через 1° множество состояний, которые получаются в результате срабатывания перехода t на состояниях из множества °t.
Рассмотрим множество ^s О ТА состоящее из таких состояний У, что s' может быть получена в результате срабатывания перехода t и s < sr. Это множество является направленным вверх конусом и в силу правильности отношения < имеет конечный базис, который обозначим lub(s,i°).
Конечный базис lub(s,t°) состоит из одного состояния и может быть эффективно построен следующим образом. Рассмотрим состояния (q, mi,..., тп) Е t°, s = ^qf,т^ ... ,mfnY Для того чтобы пересечение конусов Ts П ^t° не было пустым, необходимо выполнение условия q = q'. Тогда
lub(s, i°) = (q, mi U mi,..., m^ U mn).
Пусть теперь некоторое состояние sf Е Pred^Qs). Тогда возможно срабатывание перехода t, которое переводит sf в состояние 8П Е А Отсюда следует, что sn Е ^t°. С другой стороны, для любого СОСТОЯНИЯ 8м такого, ЧТО 8м Е ts и 8м Е ^t°, можно построить Predt(s/Z), так как каждое действие t изменяет значение только одной переменной с помощью простого выражения е Е Ехр. Получаем
PredtQs) = PredtQlub(s, t°)) = ^Predt(lub(s, i°)).
Эта формула задает эффективное построение конечного базиса множества Pred^Qs) по конечному базису lub(s,i°). □
Таким образом, мы получили для взаимодействующих раскрашивающих процессов разрешимость следующих проблем:
проблема покрытия, состоящая в том, чтобы для двух состояний (^, М) и (q\ М'^ определить, возможно ли, начиная исполнение из (q,M), покрыть состояние (q^M'), т. е. может ли быть достигнуто покрывающее состояние (q^M^ У kq'^M'Y
проблема субпокрытия, состоящая в том, чтобы для двух состояний (q, М) и ^q’, М’^ определить, возможно ли, начиная исполнение из ^q,M\ попасть в состояние, которое покрывается состоянием У,М!\ т. е. может ли быть достигнуто покрываемое состояние ^м,Мм^ ^ (q^M');
проблема достижимости, т. е. определить, достижимо ли из состояния s данное множество Q управляющих (локальных) состояний;
проблема неизбежности, т. е. по данному множеству Q локальных состояний и начальному состоянию sq, определить, верно ли, что всякое исполнение приводит к некоторому локальному состоянию из Q (частным случаем является проблема останова*, определить, верно ли, что всякое исполнение завершается, т. е. приводит к некоторому финальному состоянию).
Следовательно, для взаимодействующих раскрашивающих процессов имеем, например, разрешимость проблемы передачи данных определенного цвета во внешнюю среду через некоторый канал.
Пример. Представленный на рисунке 1.10 пример взаимодействующих раскрашивающих процессов демонстрирует, помимо возможности моделирования взаимодействия между сотрудниками, секретарем и начальником, возможность отслеживания перемещения данных различных типов.
Действия начальника:
гщ — сформировать пакет заданий для сотрудников (а, Ь, с — типы заданий);
W2 — отдать задания секретарю;
wg,W4 — получить решенное задание.
Действия секретаря:
W5 — получить от начальника пакет заданий;
W6,W7,w§ — отдать сотруднику пакет, состоящий не более чем из трех различных по типу заданий;
wg — получить от сотрудника решение;
гею — отдать решение начальнику;
wn,wi2 — получить от сотрудника оставшиеся задания;
Wi3,wi4 — получить от начальника новые задания.
Действия первого сотрудника:
шщ — получить пакет заданий;
— взять из пакета свое задание (типа а);
Сотрудник 1Сотрудник 1W20,W20,У1!(ж2П{Ь)-)У1!(ж2П{Ь)-)W21,W21,W1, х!{щ Ь, с}W1, х!{щ Ь, с}W2,W2,W3, с7хW3, с7хW4, у!(у+ж)W4, у!(у+ж)НачальникНачальникW24, ?д!(жзП{сW24, ?д!(жзП{сСотрудник 2Сотрудник 2Сотрудник 3Сотрудник 3СекретарьСекретарь
Сотрудник 1
Сотрудник 1
W20,
W20,
У1!(ж2П{Ь)-)
У1!(ж2П{Ь)-)
W21,
W21,
W1, х!{щ Ь, с}
W1, х!{щ Ь, с}
W2,
W2,
W3, с7х
W3, с7х
W4, у!(у+ж)
W4, у!(у+ж)
Начальник
Начальник
W24, ?д!(жзП{с
W24, ?д!(жзП{с
Сотрудник 2
Сотрудник 2
Сотрудник 3
Сотрудник 3
Секретарь
Секретарь
Рис. 1.10. Пример взаимодействующих раскрашивающих процессов(в виде взаимодействующих раскрашивающих автоматов)
W17 — отдать пакет с оставшимися заданиями (либо другому сотруднику, либо секретарю);
Ш18 — отдать секретарю решенное задание.
Каналы:
и — используется для обмена данными между начальником и секретарем;
г/ — используется для обмена заданиями между сотрудниками и секретарем;
г/' — используется для передачи решенных задач от сотрудников к секретарю.
Глава 2
СЧЕТЧИКОВЫЕ МАШИНЫ
Введение
В этой главе рассматриваются абстрактные счетчиковые машины в качестве общего средства для демонстрации алгоритмической неразрешимости ряда проблем для вполне структурированных систем переходов, способных отображать (моделировать) поведение этих машин.
Здесь обобщаются результаты, связанные с неразрешимыми свойствами формальных моделей систем с потерями (например, FIFO-канальные системы с потерями, сети Петри с обнуляющими дугами), посредством счетчиковых машин с потерями (lossy counter machines — LCM), у которых значения счетчиков могут внезапно уменьшаться.
Наряду со счетчиковыми машинами с потерями с той же целью рассматриваются и счетчиковые машины с ошибками, в рамках которых при тестировании счетчиков на нуль допускается неверное определение нуля. Такие машины легко моделируются, например, сетями Петри.
В параграфе 2.4 исследуются неразрешимые свойства недетерминированных счетчиковых машин, представляющих собой вполне структурированные системы переходов автоматного типа, где каждый переход определяется недетерминированно в соответствии с управляющими состояниями и независимо от манипулируемых данных. Посредством недетерминированных счетчиковых машин демонстрируются неразрешимые проблемы взаимодействующих раскрашивающих процессов.
Неразрешимость проблем доказывается методом сведения, который состоит в том, что устанавливается такая связь между решенной и решаемой проблемой, при которой допущение о разрешимости решаемой проблемы приводит к разрешимости проблемы, о которой известно, что она неразрешима.
Счетчиковые машины Минского
Счетчиковая машина Минского М— это набор ({(/о, • • •, QnY ^х\,... ,xmY {So,.. •,5n_i}), где Xi — счетчик, % — состояние, qo — начальное состояние, qn — финальное (заключительное) состояние, 5г — правило перехода для q^ (0 < г < п — 1).
Состояния q^ Ъ^г^п—\, подразделяются на два типа. Состояния первого типа имеют правила переходов вида:
5г: Xj := Xj + 1; goto qk,
где 1 < j < m, 0 < k < п. Для состояний второго типа имеем:
5г: if Xj > 0 then (xj := Xj — 1; goto q^ else goto q^.
Конфигурация машины Минского представляет собой набор (^, щ,..., ст\ где — состояние машины, с\,...,ст — натуральные числа, являющиеся значениями соответствующих счетчиков. Размер конфигурации определяется как
т
size(g, ci,...,cm) = ^Cj.
z=l
Исполнение счетчиковой машины — это последовательность конфигураций sg si S2 ^ ... с начальной конфигурацией sg, индуктивно определяемая в соответствии с правилами переходов. Необходимо отметить, что исполнение машины является детерминированным, так как каждое состояние имеет не более одного правила переходов. Машина Минского останавливается, если исполнение содержит конфигурацию с состоянием qUl т. е. достигает финального состояния. Поскольку машина Минского уже всего с двумя счетчиками может моделировать машину Тьюринга, проблема (останова) достижения финального состояния из некоторой начальной конфигурации ^.су.с^ для двухсчетчико- вой машины Минского является неразрешимой [15].
Говорят, что машина Минского ограничена при некоторой начальной конфигурации тогда и только тогда, когда существует натуральное число d такое, что на протяжении всего исполнения машины из начальной конфигурации выполняется условие х\ + + ... + хт < d, т. е. в любой момент времени сумма значений счетчиков не превосходит d.
Теорема 2.1.1. Для трехсчетчиковых машин Минского проблема ограниченности неразрешима.
Доказательство осуществляется сведением проблемы останова для машины Минского с двумя счетчиками к проблеме ограниченности машины Минского с тремя счетчиками. Рассмотрим некоторую машину Минского 2сМ = ({уо> • • • > 9п}> {xi,x2}, {5о, • • • ^п-1})« Преобразуем 2сМ в машину Минского ЗсМ с тремя счетчиками. Добавим новый счетчик жд. И для каждого состояния q^ 0 < г < п — 1, добавим состояния q^ q", правила переходов 5^ 5" и изменим 6^ следующим образом.
Для состояния первого типа имеем:
(di) %: Xj := Xj + 1; goto д'; (d') д': ж3 := ж3 + 1; goto qk.
Для состояния второго типа:
(5j) Qi: if Xj > 0 then (xj := Xj — 1; goto д') else goto q";
№) qV Жз := ®3 + 1; goto qk; (df) дг": ж3 := ж3 + 1; goto q'k.
Машина Минского 2cM имеет конечное исполнение тогда и только тогда, когда машина Минского ЗсМ ограничена, так как счетчик жд, использующийся для подсчета количества шагов исполнения машины 2сМ, ограничен только в случае конечного исполнения.□
Говорят, что машина Минского М тотально ограничена, если и только если она ограничена для всех возможных начальных конфигураций.
Теорема 2.1.2. Для трехсчетчиковых машин Минского тотальная ограниченность неразрешима.
Доказательство проводится сведением рассмотренной выше проблемы ограниченности машины Минского с тремя счетчиками и начальной конфигурацией (^о,О,О,О) к проблеме тотальной ограниченности.
Рассмотрим произвольную трехсчетчиковую машину Минского М = ({^0, • • • ЛпЪ {жьж2,ж3}, {50,... А-1})- Преобразуем М в машину Минского М' следующим образом. Добавим новые состояния ^q, qfv q^ и правила переходов <%, 5р J^:
(50 ^о:^ Ж1 > 0 then(ац:= а?1—1;goto q^elsegoto q’^
(50 qx:if X2 > 0 then(x2:= ^2—1;goto qx)elsegoto q^
(50 p0if ^з > 0 then(xg:= xg—1;goto q^elsegoto Ромашина Минского M ограниченатогда и толькотогда, когда
счетчиковая машина Минского (с начальным состоянием р0 М^^доЛхЛ^^^-^пУ {жьх2,х3}, {50 50 50 50,... ,5П_1}) тотально ограничена, так как правила переходов дд, 50 5^ обнуляют любые начальные значения счетчиков и переводят М' в состояние pg.□
Проблема достижимости состоит в обнаружении алгоритма, с помощью которого для любой счетчиковой машины Минского М и для любого вектора значений счетчиков с = (ci,...,cm) можно выяснить выполнимость условия с 6 R(M), где R(M) — множество достижимых векторов значений счетчиков из начальной конфигурации.
С использованием конструкций из доказательств предыдущих двух теорем легко доказывается следующее утверждение о достижимости нулевого вектора значений счетчиков.
Теорема 2.1.3. Для трехсчетчиковых машин Минского проблема достижимости вектора из нулевых значений счетчиков неразрешима.
Доказательство. Доказательство проводится сведением проблемы останова для машины Минского с двумя счетчиками к данной проблеме достижимости нулевой конфигурации машины Минского с тремя счетчиками. Рассмотрим некоторую машину Минского 2сМ = ({ро,..., Pn}, {xi,X20 {5о,..., 5n-i}). Преобразуем 2сМ в машину Минского ЗсМ с тремя счетчиками таким же образом, как и в доказательстве теоремы 2.1.1. Добавим новый счетчик хд. И для каждого состояния qi добавим состояния р0 р0, правила переходов 50 50 и изменим 5* следующим образом (О < г < п — 1). Для состояния первого типа имеем:
Ш g,: Xj := Xj + 1; goto д'; (д') д': х3 := ж3 + 1; goto qk.
Для состояния второго типа:
(di) Qi: if Xj > 0 then (xj := Xj — 1; goto q^ else goto q”;
№) g': x3 := ж3 + 1; goto qk; (5'C q”: ж3 := ж3 + 1; goto g^
Далее для финального состояния qn добавим еще три состояния q’^ q^ q^, где q^ — новое финальное состояние и правила переходов 5'и1 6^ 6^:
(^п) Qn- if Ж1 > 0 then (яд := х\ — 1; goto qn) else goto q^;
№ Qn- if ж2 > 0 then (ж2 := x2 - 1; goto q'^ else goto ^;
^n^ Qn; if жз > 0 then (жд := x% — 1; goto q”) else goto q^.
Из построений видно, что машина Минского ЗсМ достигает вектора из нулевых значений счетчиков (0, 0, 0) лишь в финальном состоянии q^, причем тогда и только тогда, когда машина Минского 2сМ имеет конечное исполнение, т. е. останавливается, так как счетчик жд, использующийся для подсчета количества шагов исполнения машины 2сМ, обнуляется (впрочем, как и счетчики х\ и хД лишь в случае достижения машиной ЗсМ финального состояния q^.□
Докажем теперь неразрешимость задачи достижимости для остальных случаев.
Теорема 2.1.4. Для трехсчетчиковых машин Минского проблема достижимости произвольного ненулевого вектора значений счетчиков (ci,c2,cg) неразрешима.
Доказательство также проводится сведением проблемы останова для машины Минского с двумя счетчиками к данной проблеме достижимости. Рассмотрим произвольную двухсчетчиковую машину Минского
2сМ = ({go,...,g4,{si,s2},{do,...,dn-i}).
Преобразуем 2сМ в машину Минского ЗсМ с тремя счетчиками следующим образом. Добавим новый счетчик жд, два состояния ^п+ь qn+2 и правила переходов 5п+ь 6п+2:
qn: if si > 0 then (si := si — 1; goto gn) else goto gn+i;
Qn+1: if s2 > 0 then (s2 := s2 - 1; goto gn+i) else goto qn+2.
Затем введем еще несколько последовательностей команд следующего вида:
q^; st := хх + щ; goto д';
q': s2 := х2 + с2; goto q";
q"; s3 := s3 + c3; goto qf,
где qj — это новое финальное состояние, а выражение вида Xj := Xj + Cj (1 < j < 3) интерпретируется как последовательность из Cj команд Xj := Xj + 1.
Машина Минского ЗсМ из начальной конфигурации (qo, dx, с^, 0) достигает вектора значений счетчиков (щ, С2, С3) (eg > 0) лишь в финальном состоянии q^ причем тогда и только тогда, когда машина Минского 2сМ останавливается. □
Далее на основе счетчиковых машин Минского введением недетерминизма переходов и отношения потери значений счетчиков мы будем строить более слабые по выразительной способности счетчиковые машины.
Счетчиковые машины с потерями
В этом разделе рассматриваются счетчиковые машины с потерями (lossy counter machines) [66], т. е. машины со счетчиками, значения которых могут уменьшаться самопроизвольно в любое время. Эти машины слабее по выразительной мощности, чем машины Тьюринга, и могут быть заданы (моделироваться) многими формальными системами, но в то же время счетчиковые машины с потерями имеют интересные свойства, которые по-прежнему остаются неразрешимыми.
Счетчиковые машины с потерями были введены [66] в качестве общего средства для демонстрации неразрешимости ряда проблем для систем с потерями, например, проблемы верификации систем с ненадежными каналами (lossy FIFO-channel systems) [22-24], задачи проверки модели для сетей Петри с потерями [29], некоторых проблем для сетей Петри с обнуляющими дугами [41, 42] и параметрических проблем таких, как справедливость для протоколов передачи данных.
Напомним (см. пункт 1.3.2), что системы с потерями используются в основном для моделирования передачи данных через ненадежные каналы связи. Ярким примером являются FIFO- канальные системы с потерями (lossy FIFO-channel systems). Эти системы представляют собой конечные процессы, взаимодействующие между собой посредством передачи данных через ненадежные каналы-очереди (буферы) неограниченной длины. Иначе системы с ненадежными очередями можно рассматривать как обычные FIFO-канальные системы (FIFO-channel systems),
которые могут внезапно терять сообщения, находящиеся в очередях. Поскольку обычные FIFO-канальные системы равномощны машинам Тьюринга, то автоматический анализ таких систем проводится только в специальных (ограниченных) случаях [28]. Системы с потерями слабее по выразительной способности, чем машины Тьюринга, так как задача достижимости управляющего состояния и некоторые свойства безопасности (safety properties) являются разрешимыми для них [23]. Однако же такие свойства живости (liveness properties), как «проблема рекуррентного состояния», неразрешимы даже для FIFO-канальных систем с потерями [24].
Итак, определим отношение потери [66], которое описывает самопроизвольное изменение конфигураций счетчиковой машины с потерями.
Обозначим ^8 (от «sum») отношение на конфигурациях счетчиковой машины, которое определяется следующим образом:
(q,c\,..., ст) (д', с,, • • •, с'т)
(
тт х
: сг = с' V £ сг > £ 2 )" г=1'
Это отношение означает, что либо никаких изменений не происходит, либо сумма значений всех счетчиков уменьшается. Пусть id — отношение тождества. Отношение (от «lossy») является отношением потери тогда и только тогда, когда
id О >i С >s.
Счетчиковая машина с потерями (LCM — lossy counter machine) [66] определяется на основе обычной счетчиковой машины Минского М добавлением отношения потери Пусть — обычное отношение переходов на множестве конфигураций машины М. Отношение переходов с потерей для LCM определяется как
si => s2 3si, s^x si Si s^ s2.
Произвольная счетчиковая машина с потерями — это счетчиковая машина с потерями, имеющая некоторое (неуточненное) отношение потери.
Следующие отношения являются отношениями потери.
Отношение id — отношение потери. Таким образом, произвольная машина LCM включает в себя обычную счетчиковую машину Минского.
Классическое отношение потери определяется как
(g, С1,..., ст) -^сХС с\,...,da g = д' Л Vz: eg с'.
Здесь значения счетчиков могут уменьшаться любым возможным способом, но состояние q не изменяется. Отношение —>/ называется субклассическим отношением потери тогда и только тогда, когда id С —>г С
Полагаем, что до и\или после каждого вычислительного шага значение некоторого счетчика может уменьшаться не более чем на с е N. Тогда отношение ограниченной потери ^/(ж) определяется как
(^, С\, . . . , Cm) ^Z(x) (Q , О ’ * * * ’ ^т)
q = q’ Л Vz: ct ^ с^ ^ тах(0, Сг — с).
Необходимо отметить, что является субклассическим отношением потери так же, как и следующее.
Предположим, что при проверке счетчика на ноль счетчик внезапно может обнуляться. Тогда отношение обнуления ^а (от «reset») определяется следующим образом:
(g, ci,..., cm) ^Т1 (q', dv..., da g = g' и либо ct = с' для всех i, либо Эг: с- = 0 и существует правило переходов (5г) У*- if ^ > 0 then (хг := Хг — 1; goto qn) else goto qm.
Важным примером счетчиковой машины с потерями является счетчиковая машина с обнулениями (RCM — reset counter machine). Предполагается, что в состоянии второго типа машины Минского при проверке на ноль счетчик может внезапно обнуляться. И тогда счетчиковая машина с обнулениями тсМ для состояний qi второго типа имеет следующее правило переходов:
5a if Xj > 0 then (xj := Xj — 1; goto q^) [] Xj := 0; goto q^a где [] — оператор недетерминированного выбора.
Отметим, что счетчиковые машины с обнулениями легко моделируются сетями Петри с обнуляющими дугами.
Для любой произвольной n-счетчиковой машины с потерями и любой конфигурации s обозначим runs(s) множество исполнений, начинающихся в конфигурации s. Пусть runs^s) — множество бесконечных исполнений из s. Тогда некоторое исполнение г 6 runs^s) является ограниченным, если и только если существует V е N такое, что для любой конфигурации (д, сь ... . . . , cm) е г выполняется условие щ + ... + ст < d.
Пусть runs^(s) — это ограниченный бесконечный путь из s. Произвольная счетчиковая машина с потерями М является
ограниченной входом в каждом исполнении, начинающемся из любой конфигурации, размер всех достижимых конфигураций ограничен размером конфигурации, из которой это исполнение начинается:
Vs: Vr е runs(s): Vs' Е г: size(s') < size(s);
строго циклической каждое бесконечное исполнение из любой конфигурации проходит через начальное состояние q^ бесконечно часто:
dq Е Q, щ, . .., ст Е N:
Vr € гип5ш((д,сь...,ст)): 3(д0, с,,..., с^) € г;
ограниченно строго циклической каждое ограниченное бесконечное исполнение из любой конфигурации проходит через начальное состояние q^ бесконечно часто:
dq Е Q, щ, . .., ст Е N:
Vr € гип5Ц(д,сь...,ст)): 3(g0, с\,..., ^ Е г.
Если машина М строго циклическая, тогда она также и ограниченно строго циклическая. Если М ограниченная входом и ограниченно строго циклическая, то она также и строго циклическая.
Далее в этом разделе для счетчиковых машин с потерями в общем виде мы покажем неразрешимость проблем ограниченности и рекуррентного состояния.
Проблема ограниченности в данном случае состоит в проверке того, являются ли все исполнения из начальной конфигурации счетчиковой машины ограниченными.
Проблема рекуррентного состояния*, для некоторого управляющего состояния счетчиковой машины с потерями определить, существует ли бесконечное исполнение из начальной конфигурации, бесконечно часто проходящее через это управляющее состояние.
Рассмотрим задачу рекуррентного состояния в несколько ином виде и докажем, что для произвольной строго циклической, ограниченной входом пятисчетчиковой машины с потерями с начальным состоянием q^ проблема существования таких щ,... ... , С5 е N И q е Q, что машина имеет бесконечное исполнение из конфигурации (q, щ,..., с3), является неразрешимой.
Лемма 2.2.1. Пусть 2сМ — это машина Минского с двумя счетчиками. Задача ЗпСМ, существует ли такое ri 6 N, что исполнение машины 2сМ из конфигурации (qo,n,O) останавливается, является неразрешимой.
Доказательство. Проблема останова для машины Минского и произвольной начальной конфигурации легко сводится к данной задаче. □
Лемма 2.2.2. Пусть 4сМ — это ограниченно строго циклическая машина Минского с четырьмя счетчиками и начальным состоянием q^. Задача BaBSC-CM^, существуют ли такие d,..., с4 е N, что машина 4сМ имеет бесконечное ограниченное исполнение, начинающееся в конфигурации (q^, щ,..., С4), является неразрешимой.
Доказательство проводится сведением задачи ЗпСМ к данной задаче 3aBSC-CM^.
Пусть 2сМ — двухсчетчиковая машина с начальным состоянием q^. Построим из 2сМ трехсчетчиковую машину ЗсМ такую, что после исполнения каждой команды происходит увеличение третьего счетчика х3 на 1. Каждое правило переходов
Xj := Xj + 1; goto qf, где з = 1,2, заменяем на
Xj := Xj + 1; goto q2; q2: ж3 := ж3 + 1; goto q';
где q2 — новое состояние. А каждое правило переходов вида
if Xj > 0 then (xj := Xj — 1; goto q'^ else goto q";
заменяем на (^2, Цз — новые состояния, 1 < j < 2)
q; if Xj > 0 then (xj := Xj — 1; goto 92) else goto ^3^
q2: x3 := x3 + 1; goto q’\
q3; x3 := x3 + 1; goto qH.
Затем построим четырехсчетчиковую машину 4сМ с начальным состоянием q^ следующим образом. Сначала установим значение счетчика х\ равным значению счетчика Х4 и обнулим счетчики х2 и х3 (яц := Х4; х2 := 0; х3 := 0;). Затем пристроим машину ЗсМ. Наконец, заменим финальное состояние qj машины ЗсМ состоянием ^, т. е. в каждом правиле переходов заменяем goto qj на goto Qg. Машина 4сМ является ограниченно строго циклической, так как счетчик х3 каждый раз увеличивается после срабатывания той или иной команды и получает значение ноль только в начальном состоянии q^.
Если для машины 2сМ существует такая конфигурация (t/o,n, 0), что исполнение из этой конфигурации достигает финального состояния q^ то это исполнение имеет конечную длину и поэтому ограничено. Тогда 4сМ имеет бесконечное ограниченное циклическое исполнение, начинающееся в конфигурации (^q, 0, 0, 0, п) (или (^q, щ, С2, ед, п) для любых С1, С2, с3 е N).
Ф= Пусть для машины 4сМ существуют такие щ,..., С4 Е Е N, что 4сМ имеет бесконечное ограниченное исполнение из (^q, ci,..., С4). По построению 4сМ также существует бесконечное ограниченное исполнение из конфигурации (qq, 0,0,0, С4). Так как 4сМ является ограниченно строго циклической машиной, это исполнение должно пройти через состояние q^ еще раз. Это возможно, только если исполнение машины 2сМ достигает финального состояния qj. Тогда 2сМ имеет конечное (останавливающееся) исполнение из конфигурации (</q,C4,0).□
Теорема 2.2.1. Пусть ЫсМ — это произвольная ^т.е. с любым отношением потери) строго циклическая, ограниченная входом пятисчетчиковая машина с потерями с начальным состоянием q^. Тогда задача 3(a,q)LCM^, существуют ли такие с\,...,с3 Е N и состояние q Е Q, что машина ЫсМ имеет бесконечное исполнение из конфигурации (q, щ,..., С5), является неразрешимой.
Доказательство проводится сведением только что рассмотренной задачи 3aBSC-CM^ к данной задаче 3(а^)ЬСМш для любого отношения потери
Из произвольной ограниченно строго циклической четырех- счетчиковой машины 4сМ построим строго циклическую, ограниченную входом пятисчетчиковую машину ЫсМ с потерями с отношением потери следующим образом. Добавим новый «емкостный» счетчик х^. Каждое правило переходов изменим таким образом, что сумма всех счетчиков в конфигурации никогда не увеличивается, точнее, сумма счетчиков может увеличиваться на 1, но только если на предыдущем шаге она была уменьшена на 1. Каждое правило переходов машины 4сМ вида
Xj := Xj + 1; goto qf,
где 1 < j < 4, заменим на
if X5 > 0 then (x^ := x^ — 1; goto ^2) else goto QB
: Xj := Xj + 1; goto qf;
где qj — финальное состояние, Q2 — новое состояние. Каждое правило переходов вида
if Xj > 0 then (xj := Xj — 1; goto qr) else goto qn\ заменим на
q; if Xj > 0 then (xj := Xj — 1; goto 92) else g°to qMi
q2: ж5 := ж5 + 1; goto q';
где q2 — новое состояние.
Машина ЫсМ является ограниченно строго циклической, так как 4сМ ограниченно строго циклическая. Машина ЫсМ также является и ограниченной входом, так как каждое исполнение из конфигурации (q, щ,..., С5) ограничено суммой щ + С2 + eg + С4 + + С5. Таким образом, ЫсМ строго циклическая.
^ Пусть для четырехсчетчиковой машины 4сМ существуют щ, С2, eg, С4, с 6 N такие, что существует бесконечное исполнение из (^о, ci, С2, eg, С4), проходящее бесконечно часто через (/о и всегда удовлетворяющее условию х\ + х2 + Х3 + Х4 < с. Поскольку id С существует также бесконечное исполнение машины ЫсМ ИЗ конфигурации (t/g, Щ, С2, Cg, С4, С—Щ — С2~ Сд — С4), проходящее бесконечно часто через q^ и всегда удовлетворяющее условию Х\ + Х2 + Х3 + Х4 + Хз < С.
Ф= Если для ЫсМ существуют щ,..., С5 Е N и q е Q такие, что существует бесконечное исполнение, начинающееся в (q, щ, с2, eg, С4, С5), то это исполнение ограничено, так как всегда удовлетворяет условию
Х1 + Х2 + х3 + Х4 + Х5 < С1 + С2 + с3 + С4 + С5.
По построению машины ЫсМ сумма всех счетчиков может увеличиваться на 1, если на предыдущем шаге она была уменьшена на 1. Из определения отношения потери имеем, что если потеря происходит (т. е. значения счетчиков внезапно изменяются), то сумма счетчиков уменьшается. Следовательно, потеря может происходить не более чем щ + с2 + С3 + С4 + С5 раз в данном бесконечном исполнении, и сумма счетчиков с := щ + с2 + С3 + + С4 + С5 ограничена. Таким образом, существует бесконечный «суффикс» этого исполнения, где потери не происходит. Значит, существуют q' Е Q, Ср...,^ Е N такие, что это бесконечное исполнение-суффикс, не имеющее потерь, начинается в конфигурации у, Ср ..., Cg). Следовательно, существует бесконечное ограниченное исполнение машины 4сМ из (^, Ср ..., с^). Так как 4сМ ограниченно строго циклическая, это исполнение проходит через до- Таким образом, существуют Ср...,^ Е N такие, что существует бесконечное ограниченное исполнение машины 4сМ, которое начинается в конфигурации (q^, Ср ...Д\ □
Важно отметить, что задача является неразрешимой для любого отношения потери. Данная задача может быть представлена в другом виде.
Теорема 2.2.2. Пусть ЫсМ — это произвольная строго циклическая, ограниченная входом пятисчетчиковая машина с потерями. Тогда задача ЗаЬСХП. существуют ли такие числа ci, С5 Е N, что счетчиковая машина ЫсМ имеет бесконечное исполнение из конфигурации (qo, щ,..., С5), является неразрешимой.
□□Доказательство следует непосредственно из теоремы 2.2.1, так
□
□
как ЫсМ строго циклическая.
Следствие 2.2.1. Проблема рекуррентного состояния для счетчиковых машин с обнулениями является неразрешимой.
Теперь обратимся к задаче ограниченности.
Теорема 2.2.3. Проблема ограниченности для четырехсчетчиковых машин с потерями неразрешима.
Доказательство осуществляется сведением проблемы ограниченности для трехсчетчиковой машины Минского с нулевой начальной конфигурацией к данной проблеме ограниченности четырехсчетчиковой машины с потерями.
Преобразуем произвольную машину Минского ЗсМ в машину Минского 4сМ с четырьмя счетчиками (и с несколько измененным набором правил переходов) следующим образом. Добавим новый «емкостный» счетчик К. Заменим в каждом правиле перехода команду
Xi := Xi - 1
на последовательность команд
Xi := Xi — 1; К := К + 1
и Xi := Xi + 1 на «управляемое приращение» (г = 1,2, 3):
if К > 0 then (К := К — 1; Xi := Xi + 1) else goto q^v
Наконец, добавим четыре новых состояния ^n+i, quVb qnY^ Qn^4 и соответствующие им правила переходов 5п+ь 5п+2, ^п+з, 5n^;
qn+i : if х\ > 0 then (xi := х\ — 1; К := К + 1; goto qn^x) else goto gn+2,
^n+2 : if x2 > 0 then (x2 := x2 - 1; К := К + 1; goto gn+2) else goto qn^,
qn^3 : if x3 > 0 then (x3 := x3 - 1; К := К + 1; goto qn^3) else goto gn+4,
qn^\ К := К + 1; goto q0.
В машине 4cM только правило перехода 5п+4 изменяет (увеличивает на единицу) сумму счетчиков xi + х2 + хз + К.
Счетчиковая машина 4сМ с начальной конфигурацией (^о,0,0,0,0) ограничена тогда и только тогда, когда ограничена машина Минского ЗсМ с начальной конфигурацией
(^о,0,0,0) (наличие у машины Минского ЗсМ бесконечного неограниченного исполнения означает наличие бесконечного неограниченного исполнения и у машины 4сМ, так как значение счетчика К (изначально К = 0) бесконечно возрастает из-за прохождения бесконечного числа раз через состояние gn+4, где правило перехода 5п+4 увеличивает значение К на 1).
Зададим на множестве конфигураций счетчиковой машины Минского 4сМ некоторое произвольное отношение потери
Таким образом, мы получили счетчиковую машину с потерями 14сМ. В машине 14сМ по-прежнему только правило 5п+4 увеличивает сумму счетчиков х\ + жд + жз + К, в то время как все остальные правила переходов (с учетом потерь) уменьшают или оставляют без изменения эту сумму.
Машина 14сМ с начальной конфигурацией (^о, 0,0,0,0) ограничена тогда и только тогда, когда ограничена машина 4сМ с начальной конфигурацией (^о, 0,0, 0,0). Действительно, если существует некоторое неограниченное исполнение машины 14сМ, то оно бесконечно часто проходит через состояние ^п+4, так же как и через состояния ^п+з, ^п+2, ^n+ь Уо- После прохождения этих состояний и попадания в состояние q^ машина 14сМ достигает конфигурации, где Xi = 0, а значение счетчика К может быть больше на 1 по сравнению с его предыдущим значением в этом состоянии или же меньше на некоторую допустимую константу. Для того чтобы в исполнении из состояния qq в это же самое состояние qo сумма значений счетчиков х\ + Ж2 + хз + К возрастала на 1, необходимо, чтобы в этом исполнении не было потерь. Следовательно, если существует неограниченное исполнение машины 14сМ, то у 14сМ существует и неограниченное исполнение без потерь, которое в точности совпадает с исполнением машины Минского 4сМ. □
Теорема 2.2.4. Для четырехсчетчиковых машин с потерями проблема тотальной ограниченности неразрешима.
Доказательство. С помощью построений из доказательства теоремы 2.1.2 проблема ограниченности для счетчиковых машин с потерями легко сводится к данной проблеме тотальной ограниченности. □
Следствие 2.2.2. Проблемы ограниченности и тотальной ограниченности для счетчиковых машин с обнулениями неразрешимы.
3. Счетчиковые машины с обнулениямии ошибками проверки на нуль
Построим новую счетчиковую машину, для которой при проверке на нуль счетчик может внезапно обнуляться или происходит неверное распознавание нуля (т. е. положительное значение счетчика может быть принято машиной за нулевое). Такую машину будем называть счетчиковой машиной с обнулениями и ошибками проверки на нуль или же просто счетчиковой машиной с ошибками. Определение счетчиковой машины с ошибками можно переписать в следующем виде.
Счетчиковая машина с обнулениями и ошибками проверки на нуль представляет собой набор (Q, {xi,..., жт}, Т\ где
Xi — счетчик;
Q = {^о, • • •, Уп\ — конечное множество состояний;
Qo — начальное состояние, qn — финальное;
Т — конечное множество меток действий, соответствующих выражениям над счетчиками;
С Q\{qn^ хТ xQ — отношение переходов; запись q q' используется для обозначения правила перехода (q,t,q'Y
Переход из одной конфигурации в другую может быть одного из следующих видов (при q qf\.
(q.cx,... ,Сг,... ,ст) Л (q',ci,...,Ci + l,...,cm), если t coot- ветствует выражению Xi := Xi + 1;
(g,cb ... ,q, ... ,сш) Л (qVx, • • • ^i - 1,.. .,cmY переход возможен лишь в случае Ci > 0;
q, ci,..., Ci,..., cm) (qf, ci,..., 0,... ,cmY если t соответствует выражению Xi := 0;
(q, ci,..., Ci,..., cm)^q' ,c\,... ,Ci,... ,cm\ если t соответ
ствует выражению Xi := Xi.
Отметим, что счетчиковые машины с ошибками легко моделируются сетями Петри с обнуляющими дугами, а если исключить переходы с выражениями вида хг := 0, то и обыкновенными сетями Петри. Следовательно, в зависимости от используемых операций над счетчиками счетчиковые машины с ошибками можно рассматривать как вполне структурированные системы переходов с сильной или со строгой сильной совместимостью.
Из предыдущего раздела следует, что для счетчиковых машин с ошибками задачи достижимости рекуррентного состояния и ограниченности неразрешимы, так как счетчиковые машины с ошибками, например, включают в себя счетчиковые машины с обнулениями и машины, значения счетчиков которых могут самопроизвольно уменьшаться на единицу.
Пусть задан класс счетчиковых машин с ошибками, которые имеют одно и то же множество счетчиков.
Проблема включения состоит в определении существования алгоритма, устанавливающего для любых двух счетчиковых машин с ошибками гсМ\ и гсМ2 из этого класса, имеет ли место соотношение
R(rcMx) С R(rcM2Y
где R(rcMi) — множество достижимых векторов значений счетчиков из начальной конфигурации для машины rcMi (г = 1,2). В случае проблемы эквивалентности соотношение имеет вид
Д(гсМ1) = R(tcM2\
Обе проблемы не являются разрешимыми для счетчиковых машин с ошибками. Доказательства проводятся сведением неразрешимой 10-й проблемы Гильберта к рассматриваемым проблемам (доказательства проводятся по аналогии с доказательствами неразрешимости указанных проблем для сетей Петри, которые были проведены Рабином и Хаком [51, 52]; содержание доказательств можно также найти в [6, 73]).
Неразрешимость 10-й проблемы Гильберта была установлена Матиясевичем [14]. Эта проблема формулируется следующим образом: существует ли алгоритм, с помощью которого можно выяснить, имеет ли полином Р(хх,Х2,... ,хп) с целыми коэффициентами целое решение, т. е. существует ли вектор целых чисел (ci, С2,..., сп) такой, что Р(щ, С2,..., сп) = 0? Уравнение
Р(хх,Х2,... ,хп) = 0 называется диофантовым. В общем оно представляет собой сумму членов:
Р(жЬ...,Жп) =. ,ЖП),
г
где Р^Хх,Х^ ... ,хп) = ai • х§1 • х§2 • ... • xSh.
Доказательство неразрешимости задачи эквивалентности для счетчиковых машин с ошибками состоит из трех частей. Сначала 10-я проблема Гильберта сводится к задаче включения графов полиномов. Затем задача включения графов полиномов сводится к задаче включения для счетчиковых машин с ошибками. Наконец, задача включения для счетчиковых машин с ошибками сводится к задаче эквивалентности для счетчиковых машин с ошибками. Это показывает, что 10-я проблема Гильберта, известная как неразрешимая, сводится к задаче эквивалентности, которая поэтому также должна быть неразрешимой.
Граф G^P) диофантова полинома Р(хх,..., хп) с неотрицательными коэффициентами — это множество
G(P) = {(ж1,..., жп, у) | у < Р(ж1,..., жп) Л 0 < Ж1,..., ж„, у}.
Задача включения графов полиномов заключается в определении для двух диофантовых полиномов А и В, выполняется ли G(A) С G^BY
Теорема 2.3.1. Задача включения графов полиномов является неразрешимой.
Доказательство этого утверждения взято из [73] и проводится сведением 10-й проблемы Гильберта к задаче включения графов полиномов.
Ограничим доказательство задачами с целыми неотрицательными решениями. Если вектор (хх,... ,хп) — это решение для Р(хх,..., хп) = 0 с Xi < 0, то (дц,..., — Xi,..., хп) — решение для Р(хх,..., — Xi,..., хп) = 0. Следовательно, для определения того, является ли ^хх,... .х^ решением произвольного полинома, необходимо только проверить каждый из 2П полиномов, получающихся в результате изменения знака у некоторого подмножества переменных для неотрицательного решения.
Аналогично, поскольку Р2(жь ..., хп) = 0 тогда и только тогда, когда Р^хх,..., хп) = 0, необходимо рассматривать только те полиномы, значения которых неотрицательны.
Сейчас мы можем разбить любой полином Р(хх, х2,..., х^ на два полинома Qi(жi,..., хп) и Q2(xi,..., жп) такие, что
Р($1,... ,хп) = Qi(xi,... ,хп) - Q2(xi, ... ,хп),
помещая все члены с положительными коэффициентами в Qi, а все члены с отрицательными коэффициентами - в Q2. Так как Р(хх,..., хп) 0, имеем, что Qx(xx,..., хп) Q2(xx,..., хп) и Р(хх,..., хп) = 0 тогда и только тогда, когда Qx(xx,..., хп) = = СгЩ.. .,xnY
Рассмотрим два графа полиномов:
G(Qi) = {(^ь • • • ,хп,у) \у < Qi(xb ... ,хп)},
G(Q2 + 1) = ^хх,...,хп,у) I у < 1 ^Q2^xx,...,x^Y
Теперь G(Q2 + 1) С G(QX) тогда и только тогда, когда для всех неотрицательных хх,..., хп и у из у < 1 +Q2(^b • • • > ^п) следует, что у < Qi(^i,..., хп\ Это справедливо тогда и только тогда, когда не существует хх,..., хп и у таких, что
<МХ^- ..^Хп^у^ 1 + Q2(xb ... ,хп\
Но, как указывалось ранее, Qi > Q2, поэтому
Qi(xi,... ,^) < у < 1 + Q2(xb ... ,хп) < 1 + Qi(xb... ,хп\
а поскольку все величины целые,
У = 1 + Q2^b •.. ,хп) = 1 + СМхъ-. .,хп\
что справедливо тогда и только тогда, когда Qi = Q2. Таким образом, мы убедились в том, что G(Q2 + 1) С G(Qi) тогда и только тогда, когда не существует таких xXl..., хп, для которых Р(хх,... ,хп) = 0.
Итак, для определения того, что уравнение Р(хх,... ,хп) = = 0 имеет решение, необходимо показать, что не выполняется G(Q2+1)CG(Qi).□
Для сведения проблемы включения графов полиномов к проблемам включения и эквивалентности для счетчиковых машин с ошибками мы будем использовать счетчиковые машины с ошибками в качестве абстрактных машин, «слабо вычисляющих» полиномы. Машина слабо вычисляет некоторый полином Р(жь... ,xn\ если для произвольного начального вектора чисел (ci,...,cn) результатом на «выходе» машины может быть любое число d такое, что 0 < С < Р(щ,..., спу Это означает, что машина недетерминирована в том смысле, что вместо единственного результата, однозначно определяемого входным вектором (щ,..., си\ она может выдать любое из чисел, не превышающих значения полинома Р(щ,..., сп). Недетерминированность результата работы отражает недетерминированность функционирования счетчиковой машины с ошибками.
Необходимо показать, что счетчиковые машины с ошибками могут слабо вычислять значение диофантова полинома Р(хь Х2,..., хп). Ограничим полином Р до неотрицательных значений полинома, неотрицательных коэффициентов и неотрицательных значений переменных. Это позволяет нам представить значения переменных и значение полинома значениями счетчиков машины с обнулениями. Входные значения переменных хь Х2,..., хп задаются начальной конфигурацией машины. Выходная переменная у будет использоваться для хранения значения полинома, где у < Р^ху, Х2,..., хп\ Вычисление полинома начинается в начальной конфигурации счетчиковой машины с ошибками (^о, Ж1,..., хН1 0,..., 0) и заканчивается в финальной конфигурации (qf, ху,..., хп, у,..., с), где у < Р^ху, Х2,..., хпУ т. е. машина попадает в состояние, из которого нет переходов.
Сейчас мы хотим показать, что можно построить счетчико- вую машину с ошибками, слабо вычисляющую функцию умножения (двух чисел). На ее основе мы можем построить составную машину, которая слабо вычисляет значение каждого члена путем последовательной композиции машин умножения и затем суммирует результаты.
Машина умножения реализуется с помощью счетчиковых машин с обнулениями следующим образом:
q^: if xi > 0 then (xi := xi — 1; goto ^i) [] (ац := xi; goto qf)
if ж2 > 0 then (ж2 := ж2 - Г goto 92) [] (ж2 := ж2; goto 93)
(2 := г + 1; у := у + 1; goto 91)
^3: if г > 0 then (г := г — 1; ^2 := ^2 + 1; goto ^3) [] О := г; goto q^
При начальной конфигурации (^о, ^ь 2:2, 0, 0) в самом лучшем случае эта машина вычисляет значение у = хх • 2:2, в остальных случаях у < хх * х2.
Машина сложения реализуется следующим образом:
q^: if хх > 0 then (xi := хх - 1; у := у + 1; goto q^ []
(+1 := xx\ goto gi)
q\: if x2 > 0 then (x2 := x2 - 1; у := у + 1; goto ^) [] (x2 := x2, goto q^
Из начальной конфигурации (^о,жьХ2,О) в лучшем случае машина достигает конфигурацию (q^O^O^y), где у = хх + х2, в остальных случаях (qj, сх, с2, у), где у < хх+х2, сх + хх, с2 ^ х2.
Счетчиковая машина с ошибками М^ слабо вычисляющая некоторый одночлен
Рг = &г * ^si * ^82 ‘ • • • ‘ ^s^
диофантова уравнения, представляет собой последовательную композицию машин умножения
M^at,xSvy\,zY M^y\,xS2,yl2,z\ Mk(yk_\,xSk,y\ z),
результат вычислений у1 < Pi = ai • xSi • xS2 • ... • xSh.
Далее счетчиковая машина с ошибками М, слабо вычисляющая полином
Р(х\,...,хп) =
= P\(XSv . ...Xs^ +Р2Щ,- • • ,®tg) + • . . + Рк(Xwx ) • • • ) ^W;))
строится как комбинация машин Mi, М2, .М^, слабо вы
числяющих одночлены Рх, Р2, .Рь и машины сложения М'(у\у2,.. .,yk,yY
Лемма 2.3.1. Для любого полинома Р^хх,..., хп) с неотрицательными целыми коэффициентами может быть построена счетчиковая машина с ошибками М такая, что G^P) = = Rn(M), где G(P) — граф полинома Р, Rn{M) — множество проекций векторов из множества достижимости R(M) на их первые п+1 координаты. (Множество проекций Rn(M) = = {(с1) • • • +п) сп+1) | (С1, . . . , Сп, Сп-х-хR(M^) }).
Рис. 2.1. Счетчиковая машина с ошибками М, порождающая граф G(P) = {(^i,..., хп, у) \ у Р(х\,..., жп)} полинома Р
Доказательство. Основой для построения счетчиковой машины с ошибками М (см. рис. 2.1) служит счетчиковая машина с ошибками Мр, слабо вычисляющая полином Р. К этой машине добавляются новые состояния (в том числе и новое начальное), переходы и счетчики хр ... ,хп. Для каждого счетчика х^ создаются следующие правила переходов:
9g: (ж; := Жг + 1; ж* := ж- + 1; ... х1- := жЩ 1; goto q^) [] ($г := Xi; goto 9g+1),
где x^ — счетчик машины с ошибками Мр^ слабо вычисляющей одночлен Рр который соответствует переменной хр В качестве нового начального состояния q^ возьмем q^ старое начальное состояние заменим на q^x. Эти переходы позволяют задавать произвольные значения для счетчиков хх^.^Хп (и для счетчиков х^ каждой машины Мр^ причем х^ = х^ и передают управление машине Мр. Зададим на множестве счетчиков машины с ошибками М порядок так, чтобы первыми п + 1 счетчиками были хр ..., хп, у, где у — счетчик, в который помещается результат от слабого вычисления полинома Р.
Для начальной конфигурации sq счетчиковой машины с ошибками М установим значения счетчиков равными нулю, за исключением счетчиков ар которые положим равными соответствующим константам at одночленов Рр Тогда для счетчиковой машины с ошибками М с начальной конфигурацией sq может быть получено множество Rn(M) проекций достижимых векторов значений счетчиков на счетчики хх,..., хп, у, которое будет равно графу G(P) полинома Р. □
Рис. 2.2. Счетчиковая машина с ошибками Мд, где переменные
Теорема 2.3.2. Проблема включения для счетчиковых машин с ошибками неразрешима.
Доказательство. Для двух произвольных полиномов Р и S с одинаковым числом переменных п можно построить счетчиковые машины с ошибками Мр и Мд такие, что
G^ С G^ R(MP) С Н(Мд).
Пусть Мр и Мд — счетчиковые машины с ошибками, построенные на основе машин, слабо вычисляющих полиномы Р и S соответственно, причем G(P) = Rn(Mp) и G(S) = Rn(Mg) (см. доказательство предыдущей леммы). Если первая машина имеет к счетчиков, а вторая Z, то число счетчиков в обеих машинах можно уравнять, добавив \к — 1\ счетчиков для машины с меньшим их количеством. Эти счетчики не входят в выражения каких-либо переходов, начальное значение каждого из них полагается равным 0.
Счетчиковая машина с ошибками Мд строится на основе машины Мд так, как показано на рис. 2.2. К машине Мд добавляются новые состояния и переходы. Для каждой машины различаем счетчики хх, ..., хи, у. Остальные счетчики, которые будем называть внутренними, переименуем как сх, ^2, ..., ^-^-i, где т — мощность множества счетчиков V. Для каждого внутреннего счетчика Ci, Е V\{xi,..., хп,у^ счетчиковой машины с ошибками Мд построим новые переходы:
^: if щ > 0 then (щ := ^ - 1; goto q^ [] (Vj :=+ 1; goto g') []
(vi goto g'+1), где 1 < г < т — тг — 1.
Рис. 2.3. Счетчиковые машины с ошибками А, Аг, В, В' и С
После слабого вычисления полинома S машиной Мд и помещения результата вычисления в счетчик у эти новые переходы позволяют установить произвольное значение для каждого внутреннего счетчика.
Таким образом,
R(MP) С R(MS) R(Mp) С R^Mg) X Nr-n-1,
где Nr-n-1 — множество векторов размерности r-n - 1 из целых неотрицательных чисел. Правая часть эквивалентна отношению Rn(Mp) С Rn^Mg). Следовательно,
R(Mp) С R(MS) Rn(Mp) С Rn(Mg).
Это означает, что для решения проблемы включения графов двух произвольных полиномов Р и S достаточно построить счетчиковые машины с ошибками Мр, Mfs, Ms, убедиться, имеет ли место включение R(Mp) С R(Mg), на основании этого сделать заключение о том, имеет ли место Rn(Mp) С Rn(Mg), и на основании леммы 2.3.1 установить, содержится ли G^P) в G(S).
Таким образом, если предположить разрешимость проблемы включения для множеств достижимых векторов значений счетчиков машин с ошибками, получаем разрешимость проблемы включения графов полиномов с неотрицательными коэффициентами, что неверно.□
Теорема 2.3.3. Проблема эквивалентности для счетчиковых машин с ошибками неразрешима.
Доказательство. Для доказательства неразрешимости методом сведения достаточно показать, что проблема включения сводится к проблеме эквивалентности. Это означает, что нужно указать способ, с помощью которого для любых двух счетчиковых машин с ошибками А и В можно построить машины А1 и В' такие, что
Д(В) С R^ ^ R^ = R^B'Y
Обе машины А' и В' строятся добавлением нового счетчика и разных переходов к одной и той же машине С, которая, в свою очередь, строится из машин А и В.
Способ конструирования машин С, А', В' показан на рис. 2.3 (переход с выражением х := х + с соответствует последовательности из с переходов х := х + 1). Предполагается, что машины А и В имеют одно и то же множество счетчиков (в противном случае добавляются новые счетчики, как в доказательстве теоремы 2.3.2). Пусть А и В имеют начальные конфигурации (^, cf, • • •, с^) и соответственно (^, cf,..., c^Y Машина С строится таким образом, что из начального состояния q^ существуют две последовательности переходов в начальные состояния qf машины А и соответственно q® машины В такие, что из начальной конфигурации машины С, которая полагается равной (q^f, 0,..., 0), в состоянии qf мы достигаем конфигурацию (qf, cf,..., cf), а в состоянии q® — конфигурацию (q®, cf,..., c^Y Таким образом, в зависимости от того, какое направление было выбрано, машина С может функционировать далее как машина А или машина В.
Машина А1 строится из машины С добавлением нового счетчика х^у, начальное значение которого полагается равным нулю, и добавлением для каждого состояния qf машины А перехода
qf: Щ+1 := жп+1 + 1; goto q^,),
где q^, — финальное состояние машины А!.
Машина В' строится из А' добавлением нового перехода для каждого состояния q® машины В
qf - Щ+1 := Жп+1 + 1; goto qfB,\
Легко видеть, что
Д(С) = E^)UE(B)UEZ(C),
где В^С) — множество достижимых векторов значений счетчиков машины С до состояний q^ и q^,
и {(cf, Д,..., 0) | Д < cf} U ... U {(cf, Д) I Д < cf } и
и{(Д,о,...,о) | Д < Д}и
и {(cf, Д,..., 0) I Д < cf} и ... и {(cf, cf,..., Д) I Д < cf }.
R^ = R^ х {0}иЯ(Л) х {1};
R(B') = R^AR^B) х {1} = R^ x {0} U (R(A) U R(B^ x {1}.
Поскольку из машины С не достижима никакая конфигурация, где xn+i= 1, то из того факта, что
Е(В) С Д(Л) Д(Л) = Д(Л) U В(В), следует
R(A') = R(B') R(B) С R(A\
Отметим, что в доказательствах неразрешимости проблем включения и эквивалентности мы не использовали переходы с выражениями х := 0, что влечет неразрешимость этих проблем, например, для обыкновенных сетей Петри и других вполне структурированных систем переходов со строгой сильной совместимостью, моделирующих счетчиковые машины с ошибкой проверки на нуль (без обнулений).
Рассмотрим проблему достижимости для счетчиковых машин с обнулениями и ошибками проверки на нуль.
Теорема 2.3.4. Проблема достижимости для пятисчетчиковых машин с ошибками неразрешима.
Доказательство. Докажем сначала неразрешимость задачи достижимости нулевого вектора значений счетчиков. Рассмотрим машину Минского с двумя счетчиками 2сМ. Преобразуем машину 2сМ в трехсчетчиковую машину Минского ЗсМ таким же образом, как в доказательстве теоремы 2.1.3. Счетчиковая машина ЗсМ может достигнуть нулевого вектора значений счетчиков
только в финальном состоянии. Напомним, что для этой машины задача достижимости нулевой конфигурации неразрешима (см. доказательство теоремы 2.1.3). Далее преобразуем машину Минского ЗсМ в пятисчетчиковую машину с ошибками ЬгесМ следующим образом. Добавим еще два счетчика х\ и х^. Для счетчиков xi, Х2 и жд правила переходов второго типа приведем к виду
if Xj > 0 then (xj := Xj — 1; goto qr) [] (xj := Xj; goto qn\ (1 < j < 3), т. e. при проверке этих счетчиков на нуль допускается возможность ошибочного определения нуля. Для новых счетчиков х\ и х^ правила второго типа имеют вид
if х^ > 0 then (х^ := ж' — 1; goto q’^ [] (ж' := 0; goto qH\
(j = 1,2), т. e. для счетчиков x\ и x^ допускается возможность внезапного обнуления.
Итак, каждое правило переходов первого типа счетчиковой машины Минского ЗсМ для счетчиков xi и х^
Xj := Xj + 1; goto q
(j = 1,2), заменим на набор правил
Xj := Xj + 1; goto q’\
qf: x^ := x'j + 1; goto q.
Каждое правило переходов второго типа машины Минского ЗсМ для счетчиков х\ и х^ (j =1,2)
if Xj > 0 then (xj := Xj — 1; goto qr) else (goto qn) заменим на набор правил
if Xj > 0 then ^ := xfj — 1; goto qm) [] ^ := 0; goto qn) qm; if Xj > 0 then (xj := Xj — 1; goto qr) [] (xj := Xj; goto qr).
Покажем, что счетчиковая машина с обнулениями и ошибками проверки на нуль ЬгесМ (т. е. машина с ошибками) достигает нулевого вектора значений счетчиков (0, 0, 0, 0, 0) тогда и только тогда, когда счетчиковая машина Минского ЗсМ останавливается в нулевой финальной конфигурации.
Заметим, что если сработает хотя бы один «неправильный» переход машины ЬгесМ, т. е. произойдет ошибочное определение нуля (при тестировании на нуль) или внезапное обнуление счетчика, то будет выполнено неравенство Xj > xfj (j = 1,2), и это неравенство останется верным на протяжении всех дальнейших
исполнений счетчиковой машины ЬгесМ, начинающихся после «неправильного» перехода. Поэтому машина ЬгесМ может достичь нулевой конфигурации лишь в случае, если не произойдет ни одного «неправильного» перехода. Но тогда это «хорошее» исполнение будет содержать в себе исполнение машины Минского ЗсМ, которое останавливается в нулевой конфигурации. Обратно, по построению машина ЬгесМ имеет исполнение, которое содержит в себе исполнение машины Минского ЗсМ. Поэтому если машина Минского ЗсМ достигает своей финальной нулевой конфигурации (^,0,0,0), то и машина ЬгесМ также достигает нулевой конфигурации.
Теперь докажем неразрешимость задачи достижимости произвольной ненулевой конфигурации. Для этого преобразуем машину Минского 2сМ в трехсчетчиковую машину Минского ЗсМ так же, как в доказательстве теоремы 2.1.4. Для этой счетчиковой машины задача достижимости вектора значений (ci,C2,cg) при eg > 0 из начальной конфигурации (qo^c^c^O) является неразрешимой. Из построения трехсчетчиковой машины Минского ЗсМ видно, что заданный вектор значений счетчиков (сьС2,сз) (сз > 0) может быть достигнут только в финальном состоянии. Далее аналогичным образом, как и в предыдущем случае, преобразуем машину Минского ЗсМ в пятисчетчиковую машину с обнулениями и ошибками проверки на нуль ЬгесМ.
Проводя аналогичные рассуждения, легко показать, что машина с ошибками ЬгесМ достигнет вектора значений счетчиков (щ, С2, сз, щ, С2) (при сз > 0) из начальной конфигурации (^о, Ср с^ 0, Ср с^) тогда и только тогда, когда машина Минского ЗсМ из начальной конфигурации (q^, Ср с^О) достигнет вектора значений счетчиков (с1,С2,сз). □
Недетерминированные счетчиковые машины
В этом разделе с помощью недетерминированных счетчиковых машин исследуются неразрешимые свойства вполне структурированных систем переходов автоматного типа, в частности взаимодействующих раскрашивающих процессов.
Распределенные и параллельные системы обычно моделируются системами переходов с конечным числом управляющих состояний и с различными видами переменных и структур
данных, таких, как счетчики, очереди и т. д. Многие системы переходов можно рассматривать как машины Тьюринга (системы, равномощные машинам Тьюринга) с ослаблениями, такими, как наличие недетерминизма в правилах переходов из одной конфигурации в другую или же включения отношения потери. Чтобы оценить уровень ослабления для некоторых классов систем, вводятся абстрактные машины, с помощью которых определяется круг задач, которые по-прежнему остаются неразрешимыми. К таким абстрактным машинам можно отнести уже рассмотренные счетчиковые машины с потерями [66], которые были введены для систем с потерями.
В данном разделе рассматриваются системы переходов, где каждый переход определяется недетерминированно в соответствии с управляющими состояниями и независимо от манипулируемых данных. Вводятся недетерминированные счетчиковые машины в качестве общего средства для демонстрации неразрешимости ряда проблем для систем, которые могут моделировать эти машины, в частности для взаимодействующих раскрашивающих процессов, использующихся для моделирования перемещения данных различного типа между компонентами распределенной системы. Показывается неразрешимость для недетерминированных счетчиковых машин проблем ограниченности, достижимости, эквивалентности и включения, из чего можно сделать вывод, что даже при таком ослаблении (недетерминизм переходов) могут строиться довольно выразительные системы, такие, как взаимодействующие раскрашивающие процессы.
Недетерминированная счетчиковая машина (NCM) псМ — это набор из четырех элементов (Q, {xi,..., жт}, Т), где
Xi — счетчик;
Q = ^qo,..., Qn\ — конечное множество состояний;
до — начальное состояние, qn — финальное;
Т — конечное множество меток действий, соответствующих выражениям над счетчиками;
Q \ {^п} х Т х Q — отношение переходов;
запись q -^ q' используется для обозначения (правила) перехода (q,t,Qf)
Переход из одной конфигурации в другую может быть одного из следующих видов (при q qfY
^q,cx,... ,Сг,... ,ст^ Г (q',c\,...,Ci + l,...,cm), если t coot- ветствует выражению Xi := Xi + 1;
(9,сь...,Сг,...,ст) Л (q',c\,... ,с',... ,ст), где с' = 0 при ct = 0 и с^ = ct — 1 при Ci > 0, если метка t соответствует выражению Xi := Xi О 1;
(q, ci,..., Ci,..., cm)^q' ,c\,... ,0,... ,cm\ если t соответ
ствует выражению Xi := 0;
(q, ci,..., Ci,..., cm) ^q', ci,... ,Ci,... ,cmY если t соответствует выражению Xi := xr
(q,cx,...,ci,...,cm)(qVx,...,Ci,...,cmY где c- = Ci при
Cj = 0 и c- = Ci + 1 при Cj 1, если метка перехода t соответствует выражению Xi := Xi + min(^, 1).
Рассмотрим недетерминированную m-счетчиковую машину псМ как систему помеченных переходов. Для каждого счетчика Xi все переходы с выражением Xi := Xi + 1 пометим как inci, с выражением Xi := Xi О 1 — как dec^ переходы, обнуляющие значения счетчика х^ обозначим nuli, а переходы с выражением Xi := Xi + min(xj, 1) — как mriij (i,j = 1,..., mY В соответствии с правилами переходов определим отношение переходов на множестве конфигураций ^е S х Т х S, где
Т = {тщ,..., incm, dcc\,..., decm,
Will 1, . . . , Wlll-m) WlTl\jy, . . . , WbTb-ynjm J*.
Зададим естественным образом отношение < частичного порядка на множестве конфигуаций S машины псМ. Для двух конфигураций системы псМ имеем:
(q,cx,...,cm) < УХх,...Хт\
если q = qf и Ci < с^, г = 1,...,т. Это отношение является правильным квазипорядком по лемме Диксона [40] (см. утверждение 1.1.5).
Теорема 2.4.1. Система переходов (псМ,^) является эффективной по пересечению вполне структурированной системой переходов с сильной совместимостью по возрастанию и убыванию, имеющей эффективный предбазис.
Доказательство. Из определения псМ видно, что срабатывание перехода с пометкой t е Т из некоторой конфигурации не зависит от значений счетчиков, а определяется только лишь текущим состоянием системы псМ. Поэтому для любых двух конфигураций si и S2 таких, что si < S2, переход si Sj существует тогда и только тогда, когда существует переход 82s2, причем
^ < s^ так как при переходе в конфигурациях si и S2 совершаются одинаковые изменения счетчиков. Следовательно, для системы (псМ, <) выполняется условие сильной совместимости квазипорядка < с отношением переходов по убыванию и возрастанию.
Опишем алгоритм построения предбазиса. Построим множество минимальных конфигураций °t, при которых переход с пометкой t может сработать. Для некоторого перехода t Е Т множество конфигураций
H=4qX,...,0H3q':qXq'y
Обозначим через t° множество конфигураций, получаемых в результате срабатывания перехода t из конфигураций °t. Рассмотрим множество ^П^°, состоящее из таких конфигураций sr, что sr может быть получена в результате срабатывания перехода t и s < sr. Это множество является направленным вверх конусом и в силу правильности отношения < имеет конечный базис, который обозначим lub(s,i°). Конечный базис lub(s,i°) состоит из одной конфигурации и может быть эффективно построен следующим образом. Рассмотрим конфигурации
(q, С1,..., Cm) е 1° и S = (д', с\,..., с'т\
Для того чтобы пересечение конусов ^s П ^° не было пустым, необходимо выполнение условия q = ф. Тогда
lub(s, i°) = (q, max(c/1, ci),..., max(4, cm)\
Пусть теперь некоторая конфигурация s' 6 Pred^Qs). Тогда возможно срабатывание перехода I, которое переводит s' в конфигурацию s” е А Отсюда следует, что s” е Д°. С другой стороны, для любой конфигурации 8м такой, что sM 6 А и 8м Е ТА можно построить Fredas"). Получаем
Pred^Qs) = PredtQlub(s, t°)) = TPredt(lub(s, i°)).
Эта формула задает эффективное построение конечного базиса множества Pred^Qs) по конечному базису lub(s,i°). □
Далее (в следующей главе) мы будем обращаться к доказательству этого утверждения как к примерному при возникновении аналогичных задач.
Рассмотрим проблему ограниченности и покажем ее неразрешимость для недетерминированных счетчиковых машин.
Теорема 2.4.2. Для машины Минского ЗсМ с тремя счетчиками и нулевой начальной конфигурацией, т.е. (q^, 0,0,0), можно построить недетерминированную четырехсчетчико- вую машину тАсМ такую, что тАсМ будет ограничена тогда и только тогда, когда машина ЗсМ ограничена.
Доказательство этого утверждения во многом повторяет доказательство теоремы 2.2.3. Но в связи со спецификой недетерминированных счетчиковых машин мы приводим его полностью. Как и ранее, доказательство проводится сведением проблемы ограниченности для трехсчетчиковой машины Минского с нулевой начальной конфигурацией к данной проблеме ограниченности недетерминированной четырехсчетчиковой машины.
Преобразуем машину Минского ЗсМ в машину Минского 4сМ с четырьмя счетчиками (и с несколько измененным набором правил переходов) следующим образом. Добавим новый «емкостный» счетчик К. Заменим в каждом правиле перехода команду Xi := Xi — 1 на команды
Xi := Xi — 1; К := К + 1
и Xi := Xi + 1 на «управляемое приращение» (г = 1,2, 3):
if К > 0 then (К := К — 1; Xi := Xi + 1) else goto qH^v
Наконец, добавим четыре новых состояния ^п+ь ^п+2, ^п+з, ^п+4 и соответствующие им правила переходов 5п+ь 6и^ ^+з> §nW
qn+i : if xi > 0 then (xi := x\ — 1; К := К + 1; goto qn^x) else goto gn+2,
^n+2 • if X2 > 0 then (ж2 := Ж2 - 1; К := К + 1; goto gn+2) else goto qn^3,
qn^3 : if x3 > 0 then (x3 := x3 - 1; К := К + 1; goto qn^ else goto gn+4,
^n+4: К := К + 1; goto q0.
В машине 4cM только правило перехода 5п+4 изменяет (увеличивает на единицу) сумму счетчиков хх + ж2 + хз + К.
Машина 4сМ с начальной конфигурацией (</q, 0,0,0,0) ограничена тогда и только тогда, когда ограничена машина Минского ЗсМ с начальной конфигурацией (^о, 0,0,0) (наличие у машины Минского ЗсМ бесконечного неограниченного исполнения означает наличие бесконечного неограниченного исполнения и у машины 4сМ, так как значение счетчика К (изначально К = 0) бесконечно возрастает из-за прохождения бесконечного числа раз через состояние q^^, где правило перехода 5п+4 увеличивает значение К на 1).
Разрешим еще одну команду х := 0 для правил переходов. И добавим новый оператор недетерминированного выбора []. В 4сМ заменим каждое правило перехода
if х > 0 then commi else comm2,
где х е {^i, ж2, хз, Ку на правило
commi [] х := 0; comm2.
В commi заменим каждую последовательность команд
Xi := Xi — 1; К := К + 1
на
К := /С+тт(ящ 1); К := К©1; К := /C+min^, 1); Xi := ^©1;
и каждую последовательность команд
на
Xi := Xi + min(K, 1); х^ := Xi©X; Xi := Xi + min(K, 1); К := K©X.
Таким образом, мы получили недетерминированную машину п4сМ. И в машине п4сМ только 5п+4 увеличивает сумму счетчиков х\ + Х2 + хз + К, в то время как все остальные правила переходов уменьшают или оставляют без изменения эту сумму.
Машина п4сМ ограничена, если все ее исполнения ограничены. Машина п4сМ с начальной конфигурацией (q^, 0,0,0,0) ограничена тогда и только тогда, когда ограничена машина 4сМ с начальной конфигурацией (</q, 0, 0, 0, 0). Действительно, если существует некоторое неограниченное исполнение машины п4сМ, то оно бесконечно часто проходит через состояние ^п+4, так же как и через состояния ^п+з, qu^2i ^n+ь Qo-
И поскольку исполнение неограниченное и только в состоянии ^п+4 сумма х\ + Х2 + хз + К может увеличиться (на единицу), то должно существовать такое неограниченное исполнение машины п4сМ, что в нем все команды х := 0 выполняются тогда и только тогда, когда х = 0, что означает существование неограниченного исполнения машины 4сМ.
Легко видеть, что машина п4сМ представляет собой недетерминированную четырехсчетчиковую машину. □
Примечание. Доказательство этого утверждения останется верным, если команду х := 0 заменить командой х := х О 1.
Следствие 2.4.1. Проблема ограниченности для недетерминированных четырехсчетчиковых машин неразрешима.
Доказательство. Из теорем 2.1.1 и 2.4.2 следует неразрешимость задачи ограниченности для недетерминированной счетчи- ковой машины с начальной конфигурацией (^о,О,..., 0).
Очевидно, что для любой недетерминированной счетчиковой машины псМ с начальной конфигурацией (q^, 0,..., 0) может быть построена недетерминированная машина ncMf с произвольной начальной конфигурацией (qq, ci,..., сш), т 4, такая, что ncMf будет ограничена тогда и только тогда, когда ограничена псМ. Действительно, это может быть достигнуто добавлением к псМ новых состояний (в том числе и нового
начального q’^ и переходов с выражениями х\ := х\ О щ, ... . . . , хт := хт О ст, ведущих от ^ к ^о, xj •= Xj © Cj означает применение Cj раз команды Xj := Xj О 1. □
Теорема 2.4.3. Проблема тотальной ограниченности для недетерминированных четырехсчетчиковых машин является неразрешимой.
Доказательство. Сведем проблему ограниченности для недетерминированной четырехсчетчиковой машины п4сМ с нулевой начальной конфигурацией (^о, 0,0,0,0) к проблеме тотальной ограниченности.
Построим недетерминированную машину тl4cM, добавлением к п4сМ новых состояний (в том числе и нового начального q^ и переходов с выражениями х\ := 0, ..., х^ := 0, ведущих от q^ к состоянию q^.
Очевидно, что машина п4сМ' тотально ограничена тогда и только тогда, когда ограничена машина п4сМ с начальной конфигурацией, равной (^о,0,0,0,0). □
Для доказательства неразрешимости проблем включения и эквивалентности необходимо показать, что можно построить недетерминированную счетчиковую машину, слабо вычисляющую значение диофантова полинома Р(хх, х2,..., хп\ Как и ранее, ограничим задачу до неотрицательных значений полинома Р, неотрицательных коэффициентов и неотрицательных значений переменных.
Недетерминированная счетчиковая машина умножения приведена на рис. 2.4. В самом лучшем случае эта машина умножения вычисляет значение у = х\ • x2l в остальных случаях У <xv х2.
На рис. 2.4 переход с выражением
у := у + min((min(z, 1) + min^Xp 1)) О 1, 1) соответствует набору переходов
к := к + min(a;i, 1); к := к + min(z, 1); к := к О 1;
у := у + min(fc, 1); к := к О 1.
г :=г + шт(ядг :=г + шт(яд1) xv—Ж101 Z;_Z0Y1) xv—Ж101 Z;_Z0Yяд : = X2 + min(^.яд : = X2 + min(^.
г :=г + шт(яд
г :=г + шт(яд
1) xv—Ж101 Z;_Z0Y
1) xv—Ж101 Z;_Z0Y
яд : = X2 + min(^.
яд : = X2 + min(^.
яд : = ж20 1яд : = ж20 1^:=^ + min((min(z, l) + min(xi, 1))01,1)
яд : = ж20 1
яд : = ж20 1
Рис. 2.4. Недетерминированная счетчиковая машина, вычисляющаяслабо у = х\ • яд
7/:=7/0min(Ti, 1)?/:=?/ + тт(яд, 1)
xi:=xi01Ж2: = Ж201
Рис. 2.5. Недетерминированная счетчиковая машина, вычисляющаяслабо у = х\ + яд
Недетерминированная счетчиковая машина сложения представлена на рис. 2.5.
Недетерминированная счетчиковая машина, слабо вычисляющая некоторый одночлен
диофантова уравнения, показана на рис. 2.6 и представляет собой комбинацию машин умножения.
Теорема 2.4.4. Проблема включения для недетерминированных счетчиковых машин неразрешима.
Доказательство проводится по аналогии с доказательством теоремы 2.3.2.□
Теорема 2.4.5. Проблема эквивалентности для недетерминированных счетчиковых машин неразрешима.
Доказательство проводится по аналогии с доказательством теоремы 2.3.3.□
Ui * ХзхUi * ХзхУхУхУх ' Жз2Ух ' Жз2У2У2Ук-хУк-хУк-Х ' ХзкУк-Х ' ХзкУкУк
Ui * Хзх
Ui * Хзх
Ух
Ух
Ух ' Жз2
Ух ' Жз2
У2
У2
Ук-х
Ук-х
Ук-Х ' Хзк
Ук-Х ' Хзк
Ук
Ук
Рис. 2.6. Недетерминированная счетчиковая машина, вычисляющая слабо одночлен Pt = at-xSi -xS2-.. .*xSk диофантова уравнения. Каждый блок представляет собой автомат умножения
Несмотря на то, что задача эквивалентности является неразрешимой, все же можно в некоторых случаях уменьшить число управляющих состояний недетерминированной счетчиковой машины так, чтобы множество достижимости осталось прежним. Для этого необходимо рассмотреть недетерминированную счет- чиковую машину как конечный автомат А = (Q,T,^qo,FY где Q — конечное множество управляющих состояний, Т — множество входных символов, q^ — начальное состояние, — функция переходов, a F = Q — множество заключительных или допускающих состояний, и провести процедуру минимизации (см., например, [19]).
Теорема 2.4.6. Для недетерминированных счетчиковых машин задача достижимости некоторой нулевой конфигурации (^, 0,..., 0) разрешима.
Доказательство. Поскольку недетерминированные счетчиковые машины являются вполне структурированными системами переходов с совместимостью по возрастанию и убыванию, разрешимость данной задачи следует из теоремы 1.2.7.□
Теорема 2.4.7. Проблема достижимости для недетерминированных пятисчетчиковых машин и вектора значений счетчиков (ci, С2, eg, С4, С5) > (0,0,0,0,0) неразрешима.
Доказательство. Рассмотрим произвольную машину Минского с тремя счетчиками ЗсМ. Из теоремы 2.1.3 имеем для ЗсМ неразрешимость задачи достижимости нулевого вектора значений счетчиков (0, 0, 0).
Построим для счетчиковой машины Минского ЗсМ ее «слабую» модель пЗсМ следующим образом. Добавим оператор
недетерминированного выбора []. И в машине ЗсМ заменим каждое правило перехода
if Xj > 0 then commi else сошш2
на правило
COmmi [] С0ШШ2.
В выражении Xj := Xj — 1 оператор «—» заменим оператором вычитания до нуля «О». Таким образом, мы получили недетерминированную счетчиковую машину пЗсМ.
Преобразуем машину пЗсМ в недетерминированную машину п5сМ следующим образом. Добавим счетчики х^ и х^. В каждом правиле переходов commi [] comm2 заменим каждый переход (q,Xj := Xj Q l,qf) на последовательность переходов
(q,X4 := Х4 + min(xj, V\q\\ (q^Xj := Xj Q 1,^),
(^2, X4 := X4 Q X^q'Y а переход (q,Xj := Xj,q"\ который не изменяет значения счетчика, на последовательность
(q,Xj := Xj,j\\ (q'(,x5 := х5 + min(«j, l),^)-
Рассмотрим недетерминированную счетчиковую машину п5сМ с начальной конфигурацией sq — (q^c^c^c^cz^csY где С4 > 0. Если машина п5сМ из начальной конфигурации sq достигает вектора значений счетчиков (0,0,0,04,05), то машина Минского ЗсМ достигает нулевого вектора (0,0,0), так как в недетерминированной машине пЗсМ из (q^c^c^c^) в некоторую конфигурацию (q, 0,0,0) существует путь, равный пути машины ЗсМ. Действительно, если бы такого пути не было, то «неправильный» переход изменил бы значение одного из счетчиков Х4 или х^ т. е. либо уменьшил значение счетчика х^, либо увеличил счетчик х^. Значения этих счетчиков могут остаться равными соответственно 04 и 05, если пЗсМ имеет конечное исполнение, равное конечному пути в нулевую конфигурацию машины Минского ЗсМ.
Обратно, очевидно, что если машина Минского ЗсМ из начальной конфигурации (q^c^c^c^) переходит в некоторую нулевую конфигурацию (^,0,0,0), то недетерминированная машина п5сМ из (^0,^,02,03,04,05) достигает вектора значений счетчиков (0,0,0,04,05).□
Глава 3ТЕМПОРАЛЬНЫЕ СВОЙСТВА СИСТЕМПЕРЕХОДОВ
Метод проверки модели
Темпоральные логики играют важную роль в формальной верификации. Они используются для выражения свойств процессов. Такими свойствами, например, являются свойства «процесс никогда не достигнет тупикового состояния» или «в любом бесконечном исполнении процесса действие b происходит бесконечно часто».
Задача проверки модели — это задача, состоящая в том, чтобы определить выполнимость для процесса, который задается помеченной системой переходов, свойства, выраженного формулой темпоральной логики.
Задача проверки модели
Дано; помеченная система переходов, состояние s этой системы и формула р темпоральной логики.
Вопрос; удовлетворяет ли состояние s системы переходов формуле темпоральной логики р?
Можно выделить два основных класса темпоральных логик, различающихся их интерпретацией: логики ветвящегося времени и логики линейного времени. Логики ветвящегося времени определяются над деревом достижимости состояний (диаграммой переходов). Логики линейного времени интерпретируются через множество всех исполнений системы переходов.
Существует большое количество темпоральных логик, которые отличаются друг от друга по выразительной силе [43, 72, 83]. Мы рассмотрим наиболее известные и широко используемые темпоральные логики и их некоторые интересные подмножества.
Прежде чем темпоральные логики будут описаны подробно, обозначим мотивацию их определения. Логика Хеннеси- Милнера и слабая логика линейного времени являются очень
слабыми по выразительной силе логиками и едва ли могут выражать какие-либо интересные свойства. Поэтому они почти не используются в формальной верификации. Исторически темпоральная логика линейного времени (linear-time temporal logic — LTL) [74] и темпоральная логика ветвящегося времени (branching-time temporal logic или computation-tree logic — CTL) [36] определялись в некотором смысле как расширения этих логик путем добавления новых темпоральных операторов, которые значительно увеличили выразительную мощность. Таким образом стало возможным описание ряда существенных и интересных свойств. В настоящее время LTL и CTL — широко известные и часто используемые в формальной верификации логики. Одной из самых мощных логик является модальное //-исчисление [64, 83]. Эта логика, например, более выразительная, чем темпоральные логики LTL и CTL. Модальное //-исчисление основывается на применении операторов наибольшей и наименьшей неподвижных точек, что и придает ей такую выразительность. В действительности эта логика является слишком мощной и не используется в полном объеме на практике. Более того, она весьма трудна в понимании.
В наиболее общем смысле формулы темпоральных логик интерпретируются через исполнения процессов, заданных произвольными (возможно, бесконечными) системами помеченных переходов. Они могут быть определены в семантике с акцентом на состояния или действия систем переходов (или же в комбинации). В формулы, построенные в семантике с акцентом на состояния, включаются так называемые элементарные высказывания, которые соответствуют множествам состояний системы переходов, удовлетворяющих этим элементарным высказываниям. Информация о том, какие метки действий на дугах переходов, игнорируется. Поэтому, в действительности, речь идет об интерпретации темпоральных формул через исполнения систем непомеченных переходов. В семантике действий не принимается в расчет какая-либо информация о состояниях системы и отдается предпочтение только меткам переходов, т. е. действиям, которые осуществляются при переходе из одного состояния в другое. В этом случае логики обычно содержат операторы следования, которые позволяют задавать свойства вида «действие b в данном состоянии возможно».
В данной работе одновременно используются оба подхода: представляет интерес и семантика состояний, и семантика действий, поскольку, с одной стороны, объектом исследований являются системы помеченных переходов, а с другой стороны, использование элементарных высказываний над множеством состояний позволяет учитывать особенности состояний системы, например количество ресурсов (в случае сетей Петри и т. п.).
Введем несколько обозначений, являющихся общими для всех описываемых логик. Рассмотрим вполне структурированную систему переходов S = (S, Т, ^,sg). Обозначим Р множество элементарных высказываний над множеством S состояний системы переходов 8. Пусть L : S 2Р — отображение, сопоставляющее каждому состоянию множество элементарных высказываний, истинных в этом состоянии. Условимся обозначать Рис множество элементарных высказываний, интерпретирующихся верхними конусами состояний системы переходов 5, т. е. для любого элементарного высказывания р 6 Рис выполняется условие, что
s |= р =^ Vs' > s: s’ |= р,
где в, s' Е S, a Pdc — множество элементарных высказываний, интерпретирующихся нижними конусами, т. е. для любого р Е Pdc выполняется условие, что
s |= р =^ W s: s’ |= р.
Для некоторого исполнения (пути) л = S0S1S2S3... системы переходов обозначим л7 суффикс л, который получается удалением из л первых г состояний, т. е. например, л1 = S1S2S3..., а тг(г) будет обозначать г-е состояние исполнения, л(0) = sg, 7Г( 1) = S1 И Т. Д.
Темпоральные логики обычно определяются над системами с тотальным отношением переходов, т. е. над системами, где из каждого состояния имеется хотя бы один переход. Рассмотрим произвольную вполне структурированную систему переходов 8. Выделим состояния системы 5, из которых не существует переходов. В отношение переходов добавим для каждого такого состояния з пустой переход г, т. е. переход, переводящий некоторое состояние s само в себя s ^ s. Таким образом, получили вполне структурированную систему переходов Sz, у которой любое исполнение может продолжаться бесконечно долго. Далее
будет предполагаться, что все рассматриваемые системы имеют тотальное отношение переходов.
Определение 3.1.1. Локальная проверка модели*, для заданной модели (системы переходов) S определить, истинна ли формула р в состоянии s, т. е. проверить для 5, выполняется ли s |= р.
Определение 3.1.2. Глобальная проверка модели*, построить множество M<s всех состояний модели 5, в которых истинна формула р.
Логики ветвящегося времени.
Логика Хеннеси-Милнер а. Одной из самых слабых по выразительной силе темпоральных логик ветвящегося времени является модальная логика Хеннеси-Милнера [54, 55]. Формулы этой логики определяются по следующей грамматике:
р ::= true | false | р A р | р V р | \t\p | ^р,
где t представляет собой некоторую метку перехода из множества Т. Наряду с использованием обозначения t для меток переходов далее мы будем именовать действия, переводящие систему переходов из одного состояния в другое, как а (от «action»).
Если состояние s системы переходов удовлетворяет свойству, которое выражает модальная формула р, то пишут s |= р. Если s не удовлетворяет формуле р, обозначение имеет вид s ^ р. Отношение выполнимости |= для состояния s и модальной формулы р индуктивно определяется следующим образом:
s|=true;
s^Аfalse;
s\=р rf;s|=ри s |= у);
s|=р V ^s|=рили s |=
s|=(t^pЕУssr и sr |= р;
s|=\t\pVs's —>s' следует sf |= р.
Примером простой формулы, которая выражает существование перехода с пометкой t из текущего состояния, является формула (^true. Формула [t]/aZse обозначает отсутствие переходов с пометкой t из текущего состояния.
В рамках этой простой логики истинность или ложность выражения s |= р зависит только от префиксов выходящих из s исполнений, длина которых сопоставима с длиной формулы, т. е. количеством подряд идущих модальных операторов.
Логика CTL. Логика CTL (branching-time logic или computation tree logic) [36] является очень популярной логикой и широко используется в формальной верификации. В темпоральной логике ветвящегося времени за каждым моментом времени в будущем может непосредственно следовать несколько альтернативных моментов, в то время как в темпоральной логике линейного времени считается, что за каждым моментом времени в будущем непосредственно следует единственно возможный момент времени. Описательные возможности логики CTL позволяют учитывать наиболее важные свойства поведения систем переходов: справедливость, безопасность, живость и др.
В логике CTL (в отличие от модальной логики Хеннеси- Милнера) появляются два новых темпоральных оператора U («until») и U («unless» или «releases»). Формулы логики CTL строятся по следующей грамматике:
9? ::= true | р | I Ф A V I V V р | [ ]^ | ( > | A(pUp) | E(pUp) | Арр | Epp,
где p E P — элементарное высказывание, определенное над множеством состояний системы переходов.
Отношение выполнимости |= для состояния s системы переходов S = (S, Т, s,so) и формулы р логики CTL индуктивно определяется следующим образом:
s ^ true и s ^ false;
s \= р для р Е Р РР р Е Цз);
s^p ^р s ^ р;
s\= р Kf) s |= р и s |= ф;
s 9^ v 5 h или 81= Ve
S |= ( ^ ^^ ЕУ 8 —> sf И sf |= 99;
5 ^ [ ]^^s's sr следует sf |= 99;
8 |= A(pU^) <^> для каждого пути л, выходящего из состояния з = тг(О), существует такое j ^ 0, что л (7) |= ^ и при этом для всех г, 0 < г < j, л(г) |= 99;
8 |= E(pU ^ для некоторого пути л, выходящего из
состояния s = л(0), существует такое j ^ 0, что л (7) |= ^ и при этом для всех г, 0 < г < j, л(г) |= 99;
s |= A^U ^ ^=^ для каждого пути л, выходящего из состояния s = л(0), для любого j ^ 1 такого, ЧТО 7v(j) ^ ^, существует г, 0 < г < j, что л(г) |= у? (т. е. для каждого пути формула ф истинна и должна оставаться истинной до тех пор, пока у? не станет истинной);
8 |= E(pU ^ для некоторого пути л, выходящего из состояния з = л(0), для любого j ^ 1 такого, ЧТО Л^') ^ ^, существует г, 0 < г < j, что л(у) |= 99 (т. е. для некоторого пути формула ^ истинна и должна оставаться истинной до тех пор, пока 99 не станет истинной).
Непосредственно из определений следует справедливость следующих тождеств:
A^U^ = ^ V 9^ А [ "\А((рИф) и E^Ui^) = ф V (р ^ ( ^E^pU^
A^pU^ = ^A(9^V[ ^A(pUt[;)) и E{pU^) = A (99V ( ')E(pUij)))
Оператор U является двойственным к оператору U, так же как и модальный оператор ( ) двойственен к [ ]. Двойственные операторы вводятся для того, чтобы можно было работать с формулами, находящимися в позитивной нормальной форме, т. е. в форме, когда все отрицания применены только лишь к элементарным высказываниям.
Для приведения произвольной формулы CTL к позитивной нормальной форме применяются тождества вида
^pU^ = Е^рИ^ и ^pU^ = А^рИ^фУ
В дальнейшем будет предполагаться, что все исходные формулы 99 представлены в позитивной нормальной форме. Более того, внесем отрицание в само элементарное высказывание, т. е. будем рассматривать запись ^р, где р 6 Р, как элементарное высказывание р' = ^р, р' ЕР.
Логика СТЕА. Поскольку в данной работе исследуются свойства помеченных систем переходов, а логика CTL не учитывает действия, совершаемые при переходе из одного состояния системы переходов в другое, определим соответствующее расширение логики CTL — CTL с действиями (CTL with actions — СТЕА). Грамматика формул СТЕА имеет вид
у?, фг ::= true | р | —| у? Л у? | у? V у? || ^ф |
А(фГ(р V ... V фп^ U ф) | Е(фГ(р V ... V фп^ U ф) |
А(ф U ф\-(t) V ... V фпр^ | Е^ф U ф\-(t) V ... V фп-(^, где выражение р • (i) означает, что в текущем состоянии истинна формула р и следующий переход в новое состояние обязательно должен произойти по метке t Е Т.
Семантика логики СТЕА описывается следующим образом:
s true и s false;
s \= р для р Е Р ^=^ р Е L(sY
s |=р Л Ys|= ри s |= у);
s |=р V Y8h Рили 8 1= Vh
s |=^р -<=^ЕУs -Уsf и sf |= р;
s |=\t\p ^=^\/s's -Уs' следует s' |= р;
s |= А^р\ • (П) V ... V рп • (^) U ф) ^=^ для каждого пути тг, выходящего из состояния s = тг(О), существует такое j ^ 0, что тг(з) ^ ^ и при этом для всех г, 0 < г < j, существует k, 1 < к < п, что л(г) \= фк И тг(г) Я тг(г+1), т.е. тг(г) |= фк • (tk);
s ^ Е(рх • (р) V... V рп • (pj U ф) ^^ для некоторого пути л, выходящего из состояния s = тг(О) существует такое j ^ ^ 0, что тг(з) |= ^ и при этом для всех г, 0 < г < j, существует к, 1 < к < п, что л(г) |= рк и л(г) ^ л(г+1), т.е. тг(г) |= рк • (tk);
s |= А(р (7 ^i • (ii) V ... V ^ • (tn)) ^^ Для каждого пути л, выходящего из состояния s = тг(О), для любого j ^ 1 такого, что для любого к 1 тг(з) ^ г[)к или ^(3 — 1) 7^ ^UY существует г, 0 < г < j, что л(г) |= р;
s |= Е(р U ^г(й) V... \/^n • (tn)) ^=^ для некоторого пути л из состояния s = тг(О) для любого 3 ^ 1 такого, что для любого к 1 тг(з) ^ ^ или л(у —1) 7^ ^(jY существует /, 0 < г < j, что л(г) |= р.
Вместо обозначения А(рх • (П) V ... V pu- (tn) U ф) допустима также запись рх • (tx) V ... V рп • (tn) AU ^ и т. п.
Определение 3.1.3. Логика ЭСТЕА(Р) (coot. VCTLA(P)) — это подмножество логики СТЕА, допускающее формулы, построенные из элементарных высказываний р е Р, операторов конъюнкции, дизъюнкции, модального оператора (i) (coot, [i]) и темпоральных операторов EU и EU (соот. операторов AU и AU). Пусть Е — подмножество логики СТЕА, тогда £3 (соот. Р^) есть подмножество логики £, не включающее в себя оператор U (соот. оператор U).
Модальное p-исчисление. Модальное //-исчисление благодаря В. Пратту (V. Pratt) и Д. Козену (D. Kozen) [75, 64] является естественным расширением модальной логики. Операторы наименьшей и наибольшей неподвижных точек позволяют построить из модальной логики, в частности, из логики Хеннеси-Милнера (Hennessy-Milner), темпоральную логику ветвящегося времени, естественную темпоральную логику для верификации систем процессов. Использование //-исчисления для систем процессов с конечным числом состояний обсуждается, например, в работах [84, 82, 81, 65, 85, 78].
Формула с наибольшей неподвижной точкой выражает свойство безопасности, показывающее отсутствие непредвиденных критических ситуаций. Напротив, формула с наименьшей неподвижной точкой выражает живость. Чередование этих операторов позволяет описывать более сложные свойства.
Несмотря на то, что первоначально в работе Д. Козена [64] логика была представлена как пропозициональное //-исчисление, мы, следуя К. Стирлингу [85, 83], придерживаемся названия «модальное //-исчисление», как более подходящего по смыслу для данной логики.
В этой монографии будет использоваться лишь подмножество модального //-исчисления, позволяющее строить формулы, находящиеся в позитивной нормальной форме, т. е. формулы, построенные с помощью элементарных высказываний из множества Р = {рьР2,---} и констант true и false, пропозициональных переменных из V = {X,Y,Z,...}, модальных операторов (t) и \1\, где t — действие из множества Т = {Ч,^,---} и оператора наименьшей неподвижной точки p,Z.(...).
Мы будем называть этот фрагмент модального //-исчисления р-подмножеством.
Таким образом, множество формул рассматриваемого подмножества //-исчисления определяется следующей грамматикой:
р ::= true | false \ р \ Z \ р\/ р \ р ^ р \ (а)р | \а\р | pZ.p,
где р Е Р, Z eV .
Оператор pZ.p связывает вхождение переменной Z в р. Таким образом, все вхождения переменной Z в pZ.p называются связанными. Те переменные, которые не связаны никаким оператором //, являются свободными. Формулы, не содержащие свободных переменных, называют замкнутыми. Далее мы будем рассматривать задачу проверки модели только для замкнутых формул.
Формально формула р модального //-исчисления интерпретируется как множество состояний некоторой системы помеченных переходов, в которых р является истинной. Обозначим это множество состояний как И^е, где S = (S,T,^, §^) — это система переходов, а е : V 2^ — оценочная функция, сопоставляющая пропозициональной переменной некоторое подмножество состояний. Обозначим за e^ZfS'\ новую функцию, которая будет
такой же, что и е, за исключением того, что e[Z/S"](Z) = S'. Множество И^е определяется рекурсивно следующим образом:
Изе = £(р);
XZW = e^ZY
к Л V’Jse = И5е П Изе;
[^ V ^]зе = Изе U Изе;
К^Мзе = {s | 3s' [s Л s' и s' € Изе]};
П°Мзе = {s | Vs' [s Л s' следует s' e Изе]};
^Ц^.р^зе - это наименьшая неподвижная точка функции т: 2s 2s, т(К) = Изе^/Я], т. е.
№V = Q{S' С S | Изе^/5'] С 5'}.
А также если р = true, то [p]se = Ь(р) = S, а при р = false имеем [[р^е = L(p) = 0. Система помеченных переходов S удовлетворяет формуле р модального //-исчисления, если начальное состояние системы принадлежит множеству [^Js^- Далее индекс S при записи множества состояний, удовлетворяющих формуле р, будет опускаться, т. е. будем писать просто Ие.
Автоматная логика. Автоматная логика (Automata Logic — AL) является одной из самых выразительных программных логик. Например, логика AL более мощная по выразительной силе, чем логики CTLA и LTLA (и, следовательно, CTL и LTL), поскольку формулы этих логик могут быть адекватно интерпретированы в терминах автоматов.
Логика AL определяется в духе расширенной темпоральной логики ETL [87, 89]. Для систем с бесконечным числом состояний автоматная логика рассматривалась в работе [29], где исследовался вопрос разрешимости свойств, заданных автоматной логикой, для сетей Петри с потерями.
В рамках AL возможно построение формул, выражающих темпоральные свойства систем с учетом действий при переходе из одного состояния в другое и элементарных высказываний
над множеством состояний системы. Логика позволяет работать с конечными и бесконечными исполнениями системы переходов, а также учитывать временное ветвление, т. е. позволяет строить формулы, которые могут быть снабжены кванторами всеобщности и существования.
Прежде чем описывать автоматную логику, напомним несколько важных определений.
Определение 3.1.4. Конечный автомат над алфавитом X, принимающий конечные последовательности, представляет собой набор Л/ = (X, Q, ^о, ^ F\ где
Q — это конечное множество состояний;
qo — начальное состояние;
JCQxSxQ — функция переходов;
F С Q — конечное множество финальных, или принимающих, состояний.
Конечная последовательность а^а\...аи 6 X* принимается конечным автоматом А^ если существует исполнение Qo^oQi^i • • -апйп автомата Aj из состояния q^ такое, что Мг (0 < < г < п): qi е Q, ai Е S, и qn Е F. Обозначим L^A^ (язык) множество последовательностей, принимаемых конечным автоматом А/.
Определение 3.1.5. Автомат Бюхи над алфавитом X, принимающий бесконечные последовательности, представляет собой набор Аш = (S, Q, qo, 5, F).
Бесконечная последовательность а^ах... Е ^ш принимается автоматом Бюхи АШ1 если существует бесконечная последовательность переходов q^a^qxax ... автомата Аш из состояния q^, бесконечно часто проходящая через некоторое финальное состояние q Е F. Обозначим Ь(АШ) множество последовательностей, принимаемых автоматом Бюхи Аш.
Определение 3.1.6. Замкнутый ио-автомат — это такой автомат Бюхи Ашс = (Q, q^ П, 5, F), что F = Q.
Пусть S = (S', Т, ^,so) — система помеченных переходов, а Р — множество элементарных высказываний. Тогда множество формул логики AL(F) определяется по следующей грамматике:
р,Рг-=р\р\/ р\р /\р\ 3Af(p\, . . . , рт) | \/Af(p\, . . . ,рт) | ^^(^Ь-.-.^т) | ^АД.Р\, . . . .РтС
где Aj (coot. Аш) — конечный автомат (соот. автомат Бюхи) над алфавитом Л х X, Л = {уц,..., рт^ 5 = Т, а р е Р.
Определим отношение выполнимости между состоянием s системы S и формулой логики АЕ(Р) следующим образом (будем использовать символ * вместо / и си);
s\=p s\=pxV р2 s 1= Pl Л у?2 8 |= 3^4* (9?1 , • • • , Рт)S ^ V^4*(</?1, . . . , Рт)s\=p s\=pxV р2 s 1= Pl Л у?2 8 |= 3^4* (9?1 , • • • , Рт)S ^ V^4*(</?1, . . . , Рт)Е Ы,
s\=p s\=pxV р2 s 1= Pl Л у?2 8 |= 3^4* (9?1 , • • • , Рт)
S ^ V^4*(</?1, . . . , Рт)
s\=p s\=pxV р2 s 1= Pl Л у?2 8 |= 3^4* (9?1 , • • • , Рт)
S ^ V^4*(</?1, . . . , Рт)
J=> 8 |= Р\ или 8 |= р-2,
S |= р\ И 8 |= р2,
^=> 3 тг = sqGoSiOi • • • € Run(s,S): Эст = qo(pio,ao)q\(pil,ai) ■ • • : ст E ЦА*) и VJ < |cr|: Sj |= pip
^=7 Vtt = soaosi«i • • • € Run(s,5): За = 90(^0.00)91(^1-01) • • • : (7 E L^AP и Mj < |cr I: Sj |=
Для каждой формулы p полагаем [^J^ = {s E S | s |= 99}. Run(s,S) обозначает множество исполнений системы 5, выходящих из состояния s.
Определение 3.1.7. Логики ЭАЕ(Р) и VAL(P) — это подмножества логики AL, допускающие формулы, построенные из элементарных высказываний р Е Р, операторов конъюнкции, дизъюнкции и соответственно кванторов существования и всеобщности.
Определение 3.1.8. Если £ — это подмножество логики AL, тогда £j (соот. £ш, £Шс) есть подмножество логики £, где используются только конечные автоматы (соот. автоматы Бюхи, замкнутые ^-автоматы).
Логики линейного времени. Формулы темпоральных логик линейного времени интерпретируются через исполнения помеченных систем переходов. Состояние удовлетворяет формуле, если все исполнения из этого состояния удовлетворяют данной формуле.
Слабая логика линейного времени. Слабая логика линейного времени (weak linear-time logic — WL) имеет почти такой же синтаксис (вместо операторов (i) и [i] используется Qt), что и логика Хеннеси-Милнера, но интерпретируется иначе.
В отличие от логик ветвящегося времени в логиках линейного времени не может быть выражено, например, свойство «действие t возможно в данном состоянии». Здесь вместо формул (^true и \t\true допустима формула Qt^roe, которая означает, что следующим действием из текущего состояния данного исполнения будет действие t.
Для помеченной системы переходов S = (5,Т, ^,s°) обозначим Ц$ множество всех возможных исполнений системы из начального состояния s°, а Я — множество всех возможных исполнений из любого состояния. Отношение истинности формулы логики WL для некоторого пути тг = S0S1S2S3... 6 Q системы переходов S определим следующим образом.
тг |= true и тг ^ false;
тг |= р Л ^ |= Ф и л И ^^
тг |= р V ^ \= Р или tv \= ф;
7Г |= CW 7Г(О) Л тг( 1) И 7Г1 у?.
Множество [у?]5 представляет собой множество всех исполнений системы 5, для которых истинна формула р, т. е. [[^J^ = = {тг | тг 6 Q, тг |= 9т}.
Система помеченных переходов S будет удовлетворять формуле р логики WL, если Q5 С [^5.
Истинность формулы логики WL для системы переходов зависит от всех префиксов, выходящих из начального состояния исполнений, длина которых сопоставима с длиной формулы. Поэтому задача проверки модели разрешима для логики WL (как и для логики Хеннеси-Милнера) и всех классов систем переходов, включая машины Тьюринга.
Логика LTL. Логика линейного времени (Linear-Time Logic — LTL) [74] описывается с помощью темпоральных операторов U и U, определяемых аналогично, как и в логике CTL. Формулы логики LTL строятся по грамматике:
р ::= true | false | р | 92 Л 92 | 92 V 92 | 0^1 фУ р I ^U p, где р Е Р — элементарное высказывание, определенное над множеством состояний системы переходов.
Отношение истинности формулы логики LTL для некоторого исполнения л = soSiS2s3--- Е И системы S = (S, Т, ^,s°) определяется следующим образом.
л |= true и л ^ false;
л |= р для р Е Р р Е А(л(О));
л |= р А ^ ^^\= Г и л И ^\
л |= 99 V ^ ^^\= Г или л И V^
л |= Ор ^^ л(0)л(1) и л1 |= р;
л |= р U ^ ^=^ существует такое j ^ 0, что л-7 |= ^ и при этом для всех г, 0 < г < j, лг ^ р;
л |= р U ^ ^=^ для любого з ^ 1 такого, что л-7 ^ ^ существует г, 0 < г < j, что лг |= р.
Одними из наиболее часто используемых операторов являются производные операторы:
Ор = trueUp («eventually»), который требует выполнимости формулы р в будущем (для некоторого состояния исполнения);
D^ = falseUp («always»), который требует выполнимости формулы р во всех состояниях исполнения системы переходов.
Как и для WL, система переходов S будет удовлетворять формуле р логики LTL, если Q5 С И^.
Логика LTLA. По аналогии с СТЕА построим расширение логики LTL — LTL с действиями (LTL with actions — LTLA):
<4), фг ::= true | false | p | 9? A 9? | <^ V 9? | Qt ^ I
9?i-(^) V ... V pv(t) U ip\ipU <p\-lp V ... V tpnftf
тг |= true и тг false;
тг |= р для р е Р р Е L(tt(O));
тг |= р Л|= £ и
тг |= р Vtv |= р или tv ^ гф;
тг |= Qt<pтг(О) Л тг( 1) и тг1 у?;
тг |= pi -(ti)V.. .Vpn-(tn) U ^^ существует такое j ^ О, что tv3 |= ^ и при этом для всех г, 0 < г < j, существует к, 1 < fc < п, что tv1 \= рр и тгг(О) ^ тгг( 1) , т. е. tv1 \= рр- (tp);
тг |= р и ^1 • (ii) V . . . V • (tn) ДЛЯ любого j 1 такого, что для любого к 1 tv3^ фр или Tv(j-Y) ^ tv(j), существует р 0 < г < j, что лг |= р.
Определение 3.1.9. Пусть £ — подмножество логики LTLA, тогда £j (coot. £ш) есть подмножество логики £, не включающее в себя оператор U (соот. оператор U). Логика ^£ допускает только формулы вида ^р, где р — формула логики £.
Необходимо отметить, что логики линейного времени обладают особенностью (в соответствии с определением отношения истинности), что из невыполнимости формулы для системы переходов не следует выполнимость для нее отрицания формулы, т. е. возможны случаи, когда система не удовлетворяет ни формуле, ни ее отрицанию.
Сравнение логик. Исходя из определений очевидно, что логика CTLA включает в себя логики Хеннеси-Милнера и CTL, a LTLA — логики WL и LTL. Поэтому основное внимание в разделе будет уделено тому, как формулы логик CTLA и LTLA могут быть адекватно выражены в формулах автоматной логики.
Перевод LTLA в автоматную логику AL. В этом разделе рассматривается алгоритм представления формулы логики LTLA в виде автомата Бюхи. Алгоритм строится по аналогии с алгоритмами, представленными в работах [90, 87], и не является
самым лучшим по временной оценке, демонстрируя скорее саму идею перевода формулы в автомат. Улучшенные алгоритмы могут быть найдены в работах [50, 39, 80], хотя и они в худшем случае имеют такую же сложность.
Определение 3.1.10. Обобщенный автомат Бюхи над алфавитом X, принимающий бесконечные последовательности, представляет собой набор Ашд = yFi,Q,qQ,5,Fy ^ С 2^, Г = = {Fi,..., Fn} — множество множеств финальных, или принимающих, состояний.
Бесконечная последовательность а^ах ... Е ^ принимается обобщенным автоматом Бюхи Ашд1 если существует бесконечная последовательность переходов а = ^оао^1а1 ••• автомата Ашд из состояния ^о такая, что для каждого Fi Е Г, inf (се) П Fi ^ 0, где inf(ce) — множество состояний автомата, которые появляются в а бесконечно часто, т. е. для каждого Fi должно существовать финальное состояние, через которое исполнение проходит бесконечно часто. Обозначим Ь(Ашд) множество последовательностей, принимаемых обобщенным автоматом Бюхи Ашд.
Утверждение 3.1.1. Для любого обобщенного автомата Бюхи Ашд = (X,Q,^o^^) может быть построен простой автомат Бюхи А^ = (5, Qr, q^ F, Fr) с тем же алфавитом Д принимающий тот же самый язык, что и Ашд, т. е. такой, что ЦА^?) = Ь^Ашд\
Доказательство. Рассмотрим произвольный обобщенный автомат Бюхи Ашд = (JL,Q,qo,5,F) над алфавитом X, где F = = {Fi,..., FUY Автомат Бюхи Аш = (S, Q\ q^ 5\ Ffy принимающий тот же самый язык, что и Ашд1 строится следующим образом.
Q' = Q х {1,...,п}; 9о = 9ох{1};
F' = Fi х {1};
F: (s^i) Е 5\(д,зУаУ если
с/ \ Г Бесли q Ф Fi,
s Е 5(q, а) и < . F j \ , iУ А
7 М = и mod ri) + 1,если q Е гj.
Идея построения заключается в том, что состояния автомата Бюхи А^ представляют собой состояния обобщенного автомата Бюхи АШд, помеченные натуральными числами из диапазона [1, п]. Метка остается неизменной до тех пор, пока не будет готов сработать переход из состояния, принадлежащего множеству Fp где з — текущее значение метки. Если это происходит, значение метки увеличивается на 1 (или сбрасывается до 1, если она равнялась п). Если существует цикл, проходящий через все значения метки, что необходимо для бесконечной достижимости множества F', тогда все множества из Г навещаются бесконечно часто. Обратно, если возможно посетить все множества из Г бесконечно часто, то это возможно сделать в определенном порядке Fi, F2,..., Fn. Следовательно, возможно бесконечно часто пройти через множество F' автомата Аш.□
Замыкание формул. Рассмотрим исполнение системы переходов S = ^S,T,^ sq) в виде последовательности
ст: N 2Р х Т,
т. е. рассмотрим исполнение как последовательность состояний, где у каждого состояния указаны истинные в нем элементарные высказывания, а также указана метка перехода в следующее состояние последовательности.
Теперь рассмотрим проблему определения соответствия последовательности а : N 2Р х Т формуле р логики LTLA, определенной над множеством элементарных высказываний Р и множеством меток переходов Т. Эта проблема может быть решена посредством пометки состояний последовательности подформулами формулы р в соответствии с семантикой логики LTLA.
Определим необходимое множество подформул формулы р. Это множество cl(p) называется замыканием формулы р и определяется следующим образом:
р Е с1(р);
рх ^p2 е cl(p)рх,р2 Е cl(p);
рх V р^ Е cl(p) =^ pXl р2 Е cl(p);
Ot^i ^ сКр) =^ tTue\t\px Е cl(p);
5 Е.В. Кузьмин, В. А. Соколов
р\ • (Л) V ... V <^п • (tn) и -ф е с1фр) =>
<11Д1Щ1,... ,у?пДп),¥?п,-^ е ti(^);
<£1 U фх • (<i) V ... V V’n • М Е с1фр) =>
Рьфг^ф),-фь • • •,'Фп'йпУ'Ф-п, е Нфрф
Пример. с1(р[-(р U рф = {ргЛ U р2, pv(tp pi, p2}.
Правила пометки последовательностей. Следующий шаг состоит в описании множества правил, определяющих истинность разметки A: N ^Wt^ для последовательности a; N 2Р х Т. Критерий истинности состоит в том, что, если формула рх Е cl(p) помечает позицию г (т. е. (/ц Е А(г)), тогда последовательность сгг должна удовлетворять формуле 991, т. е. аг |= 99ц Чтобы это было верно, правила разметки должны отображать семантику правил построения формул логики LTLA.
Рассмотрим разметку А : N —> ^Ар последовательности а: N 2Р х Т для формулы 99, определенной над множеством элементарных высказываний Р и множеством меток переходов Т. Чтобы разметка А была правильной, необходима выполнимость следующих правил для каждого г > 0:
false ^ А(г);
для р Е Р, если р Е X(if тогда р Е а(г);
если 991 А 992 6 А(г), тогда 991 Е Х(г) и 992 6 Х(г);
если 9^1 V 9^2 G X(if тогда 991 Е Х(г) или 992 Е X{if
Необходимо отметить, что правила пометки работают в одну сторону, т. е. выполняется логическая связка =^, а не ^=^;
если Ot^i WY тогда true\t^ Е Х(г) и рх Е Х(г + 1).
Поскольку для операторов U и U выполнены тождества
р = ^1Д1) v ... V у?п-(^п) и
Ф = ф V (pi A Oti^) V • • • V (фп л Ot„r
и_
р = рх и ^г(Л) V ... V 'Фп-ед,
ч? = Ф\ л Щ v Ot,^) v... v фпл (pi v СХрФ
имеем следующие правила для корректной разметки А;
если р = рх • (ii) V ... V рп • (^) U ф Е Хф), тогда или ф Е Хфф или рх • (П) Е Хф) и р Е Хф + 1), или . . . , или Рпфтф е Хф^ и р е Хф + 1);
если р = рх U ^Нй) V ... V фп-фф) Е Хфф тогда или либо фх Е Хф) и рх Е Хф), либо фх*фх) Е Хф) и р е А(г+1), или . . . , или либо фп Е Хф) И Рх Е Хф), либо фп’Фф Е Хф) и р Е Хф + 1)•
Правила для оператора U достаточно, чтобы проверить корректность разметки А. К сожалению, то же самое не верно для оператора U. Действительно, правило 6 не выражает существование точки, в которой появляется ф: такая точка может откладываться бесконечно. Таким образом, необходимо добавить еще одно правило разметки (для U), которое будет учитывать эту ситуацию;
если рх • фх) V ... V Рп-фф U ф Е Хф), тогда существует у ^ г такой, что ф Е Хф);
если р-ф) Е Хф), тогда р Е Хф) и для всех формул вида р'-фф Е Хф), должно выполняться условие t = tr.
Теперь может быть формализован тот факт, что данные правила разметки характеризуют корректную разметку. Сначала покажем, что правила разметки допускают только корректные разметки.
Лемма 3.1.1. Рассмотрим формулу р логики LTLA над множествами Р и Т, последовательность a; N 2Р х Т и разметку A: N 2cZ(^, которая удовлетворяет правилам 1-9. Для каждой формулы р1 Е cl(p) и г ^ 0 имеем, что, если р1 Е Е Хф), то аг |= р!.
Доказательство проводится структурной индукцией по формулам из множества cl(рф Рассмотрим наиболее интересный случай, когда рг имеет вид
px*(tx) V рпф!^ U ф.
По правилу 8 должен быть такой j ^ г, что ф Е Хфф и по индуктивному предположению а^ |= ф. Рассмотрим наименьший j, г I < j. Так как р’ Е Х(ф, и для всех Г, г Г I,
^ X(UY из правила 6 следует, что pf 6 A(Z) и либо ^r(<i) 6 е X(JY либо . . . , либо PnYt^ Е X(lY Зафиксируем к, \ ^к ^п, соответствующий одному из истинных включений. Отсюда по индуктивному предположению а1 |= Pk*(HY □
Затем необходимо установить, что если последовательность соответствует формуле, то существует разметка, удовлетворяющая правилам 1-9.
Лемма 3.1.2. Рассмотрим формулу р логики LTLA над множествами Р и Т и последовательность a: N 2Р х Т. Если выполняется а |= р, тогда существует такая разметка A: N 2cZ^\ удовлетворяющая правилам 1-9, что р 6 А(0).
Доказательство. Рассмотрим разметку А такую, что
р' Е Х(г) аг |= р'
для всех р1 Е с1{р). Из а |= р следует, что р Е А(0). Более того, выполнимость правил 1-9 прямо следует из семантики логики LTLA. □
Следующая теорема вытекает из предыдущих лемм.
Теорема 3.1.1. Пусть р — это формула логики LTLA над множествами Р и Т, a a: N 2Р хТ — последовательность. Тогда а |= р <=^ существует разметка A: N 2cZ(^ для последовательности а, удовлетворяющая правилам 1-9, такая, что р Е А(0).
Построение автомата Бюхи. Из теоремы 3.1.1 почти непосредственно следует процедура построения обобщенного автомата Бюхи, принимающего последовательности, соответствующие формуле р. Идея состоит в том, чтобы просто использовать множество 2с1^ как множество состояний автомата (и в то же время как метки этих состояний). Остается лишь выразить требуемые свойства разметки соответствующим определением структуры автомата.
Для некоторой формулы р темпоральной логики LTLA обобщенный автомат Бюхи, принимающий только те последовательности а : N 2Р х Т, которые удовлетворяют формуле р,
может быть определен следующим образом. Этот автомат есть Av = (S, Q, Qo, 5, Л\ где
К = 2Р х Т;
множество состояний Q — это множество всех возможных различных меток, где каждая метка соответствует подмножеству q множества ^^ такому, что
false q;
-еслиу1 Лу2 Е q, то</?1 Е q и у2 Е q;
-если9^1 V 9^2 Е Q, то991 е q или 9^2 Е q;
еслиf)-(t) е q, то ^Е q и W 7^ t и V^: ^‘(^О^ Q
Таким образом, состояния (точнее, допустимые метки) представляют собой подмножества множества 2с1^\ которые соответствуют правилам 1, 3, 4 и 9;
функция переходов 6 проверяет, чтобы элементарные высказывания в рассматриваемой последовательности соответствовали элементарным высказываниям в метках состояний (правило 2), а также чтобы правила 5-7 для темпоральных операторов выполнялись. Пусть а е X, а = = (Раз ^а), где Ра С Р, ta Е Т. Таким образом, q' Е 5(q, а) тогда и только тогда, когда
для любого р Е Р, если р Е q, то р Е Ра;
если Qt^ Е q, то Е q' и ta = t;
если ^-(f) Е q, то ta = t;
если р’ = pxftx) V... V pn-(fn) U ^ Е q, то или Е q, или ^г(й) Е q и ^ Е q\ или . . . , или pu\tn) Е q и q';
если р’ = рх U ^г (И) V ... V ^п (^) Е q, то или либо ^i Е q и 9^1 Е q, либо ^r^i) Е q и р1 Е q', или . . . , или либо ^п Е q и 9^1 е q, либо Vv(^n) Е q и р’ Е q';
• множество У с соответствующими условиями приема последовательностей необходимо для адекватной реализации правила 8. Для любого состояния q, содержащего в себе формулу
^г(^) V ... V U ip = е(^) е cl^,
в дальнейшем на принимаемом пути должно быть состояние, которое содержит в метке формулу
Правило 6 требует, если формула е^) находится в метке состояния, тогда на принимаемом пути е^) должна появляться до тех пор, пока не встретится состояние с ^- Чтобы избежать ситуции, когда е^) на принимаемом пути появляется бесконечно часто при отсутствии на этом пути ^, достаточно потребовать, чтобы автомат допускал последовательности, проходящие бесконечно часто через состояния, в которых встречаются обе формулы е^) и ^ или в которых нет е^)- Таким образом, множество У имеет следующий вид. Если ei^i), ек(Фк) — это формулы, построенные при помощи оператора U, тогда множество Л =где
Fi = {q е Q | et, V>i € q V a ф q}.
Итак, мы отобразили семантику логики LTLA в терминах правил пометки и данного обобщенного автомата Бюхи, корректность которого следует непосредственно из указанных выше построений.
Необходимо отметить, что, если формула 99 построена без применения оператора U, тогда У = {F}, где F = Q. Следовательно, любая формула логики LTLA^ выражается посредством замкнутого w-автомата. Получили следующее
Утверждение 3.1.2. Для любой формулы р логики LTLA^ может быть построен замкнутый ш-автомат, принимающий только те последовательности, которые удовлетворяют р.
Рассмотрим логику LTLAj, в рамках которой интерес представляют только префиксы бесконечных исполнений, т. е. не допускается использование в формулах оператора U.
Утверждение 3.1.3. Для любой формулы р логики LTLAj может быть построен конечный автомат, принимающий только те последовательности (исполнения системы перехо- дов\ которые удовлетворяют р.
Доказательство. Искомый конечный автомат Ау имеет ту же самую структуру, что и обобщенный автомат Бюхи А^д, принимающий бесконечные исполнения, удовлетворяющие формуле р. Отличие состоит лишь в условии приема последовательностей. По построению существует состояние, которое помечается пустым множеством, т. е. qj = 0. Это состояние имеет (помимо других переходов) петлю, у которой нет подписи. Это означает, что при попадании в это состояние далее допустйм любой путь (любое исполнение). Поэтому достаточно сделать это состояние финальным для конечного автомата, чтобы принимать конечные префиксы бесконечных исполнений.
=> Пусть А^д — обобщенный автомат Бюхи, соответствующий формуле р. Покажем, что если А^д принимает последовательность (исполнение системы переходов 5), то это же исполнение принимает и автомат А^. Рассмотрим последовательность а, которая принимается А^д, т. е. бесконечно часто проходит через множества Fx,... ,Fp. По построению получается, что, как только конечная часть принимаемого пути удовлетворяет формуле р, из текущего состояния есть переход в состояние qy = 0, что означает допустимость любой оставшейся части пути.
Ф= Поскольку qy = 0, то qy е Fi П ... П Fp. Следовательно, если принимаемая последовательность попадает в состояние qy и навсегда зацикливается в этом состоянии, то это не противоречит уловию приема последовательностей для обобщенного автомата Бюхи А^д. □
Существуют методы уменьшения размера обобщенного автомата Бюхи. И обычно после всех улучшений автомат имеет весьма небольшие размеры. Примером улучшения может служить избавление от некоторых переходов.
Поскольку метки состояний построенного автомата являются подмножествами множества ^^^ То на множестве состояний можно естественным образом определить частичный порядок по включению множеств. Более того, любой переход из состояния qi также существует и из любого состояния q2 С qi.
Это наблюдение может быть полезным в том смысле, что, если из некоторого состояния есть переход в состояния qi и q2 такие, что q2 С qi, то можно оставить только переход в состояние q2- Но остается проблема с принимающими состояниями: если qi содержит формулу е^) так же, как и ^, но S2 содержит только формулу е^), то q2 может не входить в множество принимающих состояний, в которое включается qi. Правило упрощения, таким образом, можно сформулировать так.
Исключение переходов. Предположим, что из состояния q существуют два одинаково помеченных перехода в состояния qi и q2 такие, что q2 С qi и для всех формул е^) Е qi, если е^) Е е q2 и ^ Е qi, то также ^ Е q2- Тогда переход из q в qi может быть исключен.
Перевод CTLA в автоматную логику. Рассмотрим теперь, каким же образом формулы логики СТЕА могут быть представлены в виде конечных автоматов и автоматов Бюхи.
Утверждение 3.1.4. Пусть р — формула логики СТЕА над множествами действий Т и элементарных высказываний Р. Тогда для р может быть построена эквивалентная формула логики AL.
Доказательство. Покажем наиболее интересные случаи, а именно, как выражаются формулы логики СТЕА, построенные с помощью операторов U и U.
Рассмотрим формулы
V AU Н • (ii) v • • • v ^п • (in),
V EU фх • (ti) V ... V ^п • (in)-
Построим замкнутый ^-автомат для tpU ^\ • (ii) V ... V ^n • (in), а затем укажем для него соответствующий квантор А или Е. Автомат Бюхи Ашс над алфавитом
S = Л х Т, Л = {Н, у?Л^1,..., ^п, 9?Л^п, trueY
имеет вид (S, Q, qq, 5, F), где
F = Q; Q = По, 91};
МоЛФхФхУ) = {до}, ^доЛФ^Л^ = {д0};
^tET: 5(q0, (^Лфьф) = {gj, ..., 5(q0, (^Л-фп,1^ = {gi};
Ф1ЕТ: 5(q\, (true, £)) = {gi}.
Пример автомата для формулы
^U ^1 • (й) V ^2 • (Д)
представлен на рис. 3.1.
(Ф1,Ф\ (^2,^)(Ф1,Ф\ (^2,^)truex^t | tET^truex^t | tET^
(Ф1,Ф\ (^2,^)
(Ф1,Ф\ (^2,^)
truex^t | tET^
truex^t | tET^
{</7Л^ь V’A^Jx {< I КГ}{</7Л^ь V’A^Jx {< I КГ}
{</7Л^ь V’A^Jx {< I КГ}
{</7Л^ь V’A^Jx {< I КГ}
Рис. 3.1. Автомат Бюхи (замкнутый cj-автомат) для темпоральнойформулы p U ф\ • (й) V ^2 • (^2); все состояния автомата финальные
Ы1), (^2^2)
V>x{t | t£T\V>x{t | t£T\
V>x{t | t£T\
V>x{t | t£T\
Рис. 3.2. Конечный автомат для формулы р)\ • (t\) V 922 • (£2) U ф
Теперь рассмотрим формулы
<11 • (Н) V ... V у?п • (Д) AU -ф,
<р\ • (Л) V ... V у?п • (^п) EU ф.
Построим конечный автомат для tp\ • (Н) V ... V у?п • (in) U ф, и укажем для него соответствующий квантор. Конечный автомат Ар над алфавитом
S = Л х Т, К = фрх, ..., ipn,
имеет вид (S, Q, q^, 6, F), где
Q = По, 91}; F = <^1};
5(до,Щ,£1)) = По}, 8(д0,((рпЛпУ) = По};
WeT: 6(q0, «Щ) = Hi}.
Пример конечного автомата для формулы
‘/’l • «1) v v?2 • (Д) и ф
представлен на рис. 3.2.□
Темпоральные свойства систем переходов
В этом разделе для класса вполне структурированных систем переходов автоматного типа и классов вполне структурированных систем переходов с сильной и транзитивной совместимостью исследуется разрешимость темпоральных свойств. В качестве базовых темпоральных логик, с помощью которых выражаются темпоральные свойства систем переходов, используются автоматная логика и логики СТЕА и LTLA. Элементарные высказывания интерпретируются верхними и нижними конусами.
Важно отметить, что в данной главе для всех классов вполне структурированных систем переходов предполагается выполнимость условий разрешимости квазипорядка и эффективности предбазиса, а также условия эффективности по пересечению.
Системы переходов автоматного типа.
Разрешимые темпоральные свойства. Сначала мы рассмотрим такие подмножества темпоральных логик, в рамках которых любая формула будет отображать разрешимое темпоральное свойство для класса вполне структурированных систем переходов автоматного типа.
Лемма 3.2.1. Пусть S — вполне структурированная система переходов автоматного типа. Если формула модального pi-исчисления у с переменной Z не содержит конструкций
неподвижных точек (и отрицаний), а все элементарные высказывания р £ Р интерпретируются верхними конусами, то функция т(Н) = [[^J.se[^//?] является монотонной относительно включения множеств, т. е. из Si С S^ следует, что т(5])Ст(52).
Доказательство. Легко проводится индукцией по структуре формулы р модального //-исчисления. □
Лемма 3.2.2. Пусть S — вполне структурированная система переходов автоматного типа, р — формула р-подмножества модального p-исчисления с переменной Z без операторов неподвижных точек, находящаяся в позитивной нормальной форме с интерпретацией всех элементарных высказываний как верхних конусов. Тогда функция t(R) = [92]5e\Z(R\ имеет наименьшую неподвижную точку рН.т(Й) такую, что существует n е N, для которого рН.т(Й) = тп$У где т°(0) = 0, а тк^х(фЬ^ = т(т/с(0)).
Доказательство. Рассмотрим произвольную вполне структурированную систему переходов автоматного типа S = (LTS, <), где LTS = (S,T,^,soy
Множество состояний ^ по условию является верхним конусом. Если [^1] и [99 2] — это верхние конусы, то [921] А [99 2], [^1] V [9^2] также верхние конусы.
Пусть [99] — верхний конус. Тогда [(<)^] = Pred^^J), т. е. — верхний конус.
Построим множество состояний [ИН- Это множество включает в себя состояния, из которых либо нет перехода с пометкой t, либо все переходы t формируют (переводят в) состояния из множества [99]. Построим множество Sf состояний первого вида. Из утверждения 1.2.11 следует, что если существует переход t из некоторого состояния s Е S, то должен быть переход из меньшего состояния sr Е min(S), s' < s. Следовательно, исключая из базиса множества S «плохие» состояния, т. е. состояния, из которых существует переход t, можно построить базис множества Sf. Теперь построим множество SH состояний второго вида. Множество Sn представляет собой множество Predt^]]), из базиса которого исключены все такие состояния s, что существует
переход s sf ф [99]. Таким образом, [[[^Н = 5' U Sn является верхним конусом и имеет конечный базис.
Пусть [99] — пустое множество, т. е. у = false. Тогда [(i)^] = = 0, а множество S' = [|ХМ представляет собой множество всех состояний S, за исключением состояний, из которых существует переход t. Проводя рассуждения, аналогичные представленным выше, получаем, что Sf — верхний конус.
Рассмотрим множество состояний \щ^-уУ представляющее собой наименьшую неподвижную точку функции
т: 2S^2S, T(fl) = W/fl].
По лемме 3.2.1 функция t(R) является монотонной по включению, т. е. 51 С 52 =^ T(Si) С t(S2Y К тому же если S’ является верхним конусом, то и t(SY — верхний конус. Более того, из доказанного выше следует, что и т(0) — верхний конус.
Поскольку 0 С т(0), то из монотонности функции т имеем т(0) С т(т(0)). Повторяя это рассуждение, получим цепочку: 0 О т(0) С т2(0) С где t^QS') = t^t^S^Y Из утверждения 1.1.4 следует существование к Е N такого, что т^(0) = = тк^х(0Г). Докажем, что это наименьшая неподвижная точка. Очевидно, yR.r(R) С т^(0) по определению наименьшей неподвижной точки. С другой стороны, имеем 0 С yR.r^RY из монотонности получаем т(0) С T(yR.r(RY = yR.T^R), и так далее, т. е. тк(Ф) С р,Н.т(Н) для любого к.
Таким образом, получаем итеративный алгоритм нахождения наименьшей неподвижной точки: [/zB.^J = |Ji T4®Y Отсюда следует, что Ц/хТ?^] — верхний конус, представимый своим конечным базисом. □
Лемма 3.2.3. Предыдущую лемму можно распространить на произвольную формулу у-подмножества модального у-исчис- ления, находящуюся в позитивной нормальной форме с интерпретацией элементарных высказываний как верхних конусов.
Доказательство. Важно заметить, что для функций нескольких переменных, монотонных по всем своим аргументам, выполняется следующее соотношение:
Sx С S2 yZ.r(Sx,Z) С yZ.T^ZY
Это также легко доказывается с помощью итеративного алгоритма построения наименьшей неподвижной точки: поскольку t^S\,^ С t(S2i 0), то т(5ь т(5ь 0)) С т^82, т^82, 0)) и так далее, пока не достигнем неподвижной точки. □
Теорема 3.2.1. Задача глобальной проверки модели разрешима для класса вполне структурированных систем переходов автоматного типа и формул у-подмножества модального у-исчисления, находящихся в позитивной нормальной форме, при интерпретации элементарных высказываний как верхних конусов, т. е. Мр е Р: s |= р =^ MP s\ sr |= р.
Доказательство. Следует из лемм 3.2.2 и 3.2.3. Мы имеем алгоритм, который для любой формулы //-подмножества модального //-исчисления р указанного вида строит множество состояний [< образующее верхний конус, в виде конечного базиса minQ^J). Система переходов удовлетворяет формуле р, если начальное состояние sq М’ что возможно проверить с помощью конечного базиса minQ^J). □
Пример. Для взаимодействующих раскрашивающих процессов (см. раздел 1.3.3) мы имеем разрешимость следующего свойства
yZ.^Z V yY.^ }Y V р Л ^true)),
выражающего то, что в любом исполнении есть состояние, из которого существует исполнение в состояние, удовлетворяющее элементарному высказыванию р, где переход t является активным (т. е. такой переход t возможен из этого состояния). Операторы [] и () допускают переходы с произвольными пометками, а р интерпретируется верхним конусом. Элементарное высказывание р может выражать, например, наличие в пакете данных секретных сообщений (сообщений определенного цвета, т. е. р = = «х^ ^ 1», где х — переменная, содержащая пакет данных, с — цвет секретного сообщения), а переход t означает отправку этого пакета данных в открытую небезопасную среду.
Следствие 3.2.1. Задача глобальной проверки модели разрешима для класса вполне структурированных систем переходов автоматного типа и логики CVIA^PucY
Доказательство. Из определений модального p-исчисления и логики CTLA и доказательства леммы 3.2.2 следует выполнимость следующих тождеств (при условии, что формулы и pi,..., рп определены над элементарными высказываниями, которые интерпретируются верхними конусами, т. е. Vp 6 Рис)-
Гх^Р)^---^^^) EU ^ = //Z.^VpiA^ZV.. .VpnA(tn)Z),
Pr(^i)V.. .Vpn-(tn) AU ^ = pZ.(^VpiA[#i ]ZV.. .VpnA[tn]Z).
□
Теорема 3.2.2. Задача локальной проверки модели разрешима для класса вполне структурированных систем переходов автоматного типа и автоматной логики kLq^Pnc)-
Доказательство проводится структурной индукцией по вложению подформул в формуле р автоматной логики XX^Pdc)-
Базис индукции. Рассмотрим разрешимость данной задачи для произвольного состояния sq системы переходов S автоматного типа и формул вида ЭЛу(р1,..., рп) и \/Л/(рь ..., рп), где pi — формула логики kLq^PncY построенная только из элементарных высказываний, принадлежащих множеству Pdc, и допустимых булевских операторов. Поскольку пересечение и объединение нижних конусов являются также нижними конусами, будем считать формулы pi элементарными высказываниями, т.е. pi =pi е Pdc-
Итак, рассмотрим произвольную вполне структурированную систему переходов автоматного типа S = (LTS,<), где LTS = = (S^T^^sq), а также автомат Aq = (JAQ^qoA, F), где X = = Pdc х Т. Построим вполне структурированную систему переходов S' = ((S\T^ z,Sq),^) с сильной совместимостью, представляющую собой произведение системы S и конечного автомата Aq. Состояния системы Sr имеют вид sr = (s^q), где s — состояние системы S, q — состояние автомата Aq. Зададим на множестве S’ правильный квазипорядок < таким образом, что Si = (si,^i) < (s2lq2) = s2 (si < s2) A (qx = q2). Начальное состояние Sq = (sq,^o)- Состояние sr = (s,q) системы Sr является финальным, если состояние q автомата Aq финальное. Переход
t е Т’ из s' = (si,^i) в некоторое состояние s^ = (52,92) существует тогда и только тогда, когда одновременно существуют t,
переходы si S2 , 9192 и при этом si |= р.
Для системы Sr построим дерево покрытия с корнем в начальном состоянии Sq. Состояние sq системы S будет удовлетворять формуле р = 3Aj(px,... ,рп) тогда и только тогда, когда в дереве покрытия будет хотя бы одно финальное состояние. Действительно, поскольку элементарные высказывания интерпретируются нижними конусами, если из дерева покрытия достраивать дерево достижимости, то новые состояния будут только покрывающими (новых состояний может и не быть в случае тупикового листа) и поэтому будут принадлежать к тому типу, к какому принадлежат покрываемые состояния. Следовательно, если в дереве покрытия не будет ни одного финального состояния, то не будет финальных состояний и во всем дереве достижимости.
Состояние sg системы переходов S удовлетворяет формуле р = VAf^px, • • • ,Рп) тогда и только тогда, когда в дереве покрытия с корнем в начальном состоянии Sq системы S' будет существовать поддерево с тем же корнем, удовлетворяющее следующим свойствам. Во-первых, каждое состояние s' = (sx,qx) поддерева для всех состояний S2 и переходов t системы S таких, что si -Y S2, должно иметь переходы (si,Qi) (52,92)- Во- вторых, каждая ветка поддерева должна содержать финальное состояние. Действительно, первое требование необходимо для выполнения условия всеобщности. Нарушение второго требования хотя бы для одной ветки означает наличие конечного или бесконечного исполнения системы S', не содержащего в себе финальных состояний, т. е. исполнение системы S не принимается конечным автоматом А/.
Необходимо отметить, что так как все элементарные высказывания интерпретируются нижними конусами, если для состояния sg формула р вида ЗА^рх, • • • ,Рп) или ^Aj(px, ♦ ♦ ♦ ,рп) не выполнена, т. е. sq ^ р, то эта формула будет также неверна и ДЛЯ любого СОСТОЯНИЯ S > SQ.
Предположение индукции. Рассмотрим конечный автомат Aj(px, • • •, Рп) с алфавитом X = {991,..., р^ х Т, где pi — произвольные формулы логики KL^PdcY Предполагая, что для произвольного состояния s системы S и формулы pi существует
алгоритм проверки s |= р^ и проводя построения и рассуждения, аналогичные указанным выше, получим алгоритм проверки формул в общем случае.□
Из теоремы 3.2.2 и утверждений 3.1.4 и 3.1.3 имеем
Следствие 3.2.2. Задача локальной проверки модели разрешима для класса вполне структурированных систем переходов автоматного типа и темпоральных логик CTLAj (Pdc\ UYLApPoc) и -^WLAXPdcY
Пример. Для взаимодействующих раскрашивающих процессов имеем разрешимость формулы логики CTLAj (Pdc)
([t^false • (й) V \t3\false • (й)) EU (p AU p A ^trueY
выражающей свойство, что существует исполнение, составленное из переходов t\ и t^ и из каждого состояния которого критический для системы переход £3 не может сработать, в некоторое состояние, из которого все исполнения ведут в состояние, где переход t^ является активным, причем все состояния на протяжении этих исполнений удовлетворяют элементарному высказыванию (нижнему конусу) р. Нижний конус р может, например, задавать предельный объем пакета данных (максимальное количество сообщений каждого цвета), который формируется до отправки в следующий процесс или внешнюю среду посредством перехода £4.
Разрешима также формула логики LTLAj (Pdc)
Р'ХЫР' Ю U р A Qtjrue, утверждающая, что все исполнения системы состоят из переходов ti и ^2 и ведут в состояние, в котором переход £4 активен. Состояния всех исполнений системы должны удовлетворять элементарному высказыванию р. Это свойство можно интерпретировать, например, как формирование с помощью переходов tx и £2 некоторого пакета данных, а затем его отправку посредством перехода 1^ в другой процесс или внешнюю среду. При формировании и отправке пакет данных не должен превышать предельно допустимый объем, заданный нижним конусом р = = «х(а) < ЗЛх(&) < 5Лх(с) < 7», где а, Ь, с — цвета сообщений в пакете данных, х — переменная, содержащая этот пакет данных.
Теорема 3.2.3. Задача локальной проверки модели разрешима для класса вполне структурированных систем переходов автоматного типа и автоматной логики XL^PucY
Доказательство. Проводится по аналогии с доказательством теоремы 3.2.2 структурной индукцией по вложению подформул в формуле р автоматной логики AL^PhcY
Базис индукции. Рассмотрим разрешимость данной задачи для произвольного состояния sq системы переходов S и формул вида ЭА,с(рь ... ,рп) и УЛЩрь • • • ,Рп), где pi е Рис-
Как и ранее (см. доказательство теоремы 3.2.2), построим вполне структурированную систему переходов с сильной совместимостью S' = (S^T,^ ^S^Y представляющую собой произведение системы S = (S,T, ^,sg) и замкнутого w-автомата Ашс = = (^Q^A, FY где S = Рис * Т, F = Q. Затем для системы Sr построим дерево покрытия с корнем в начальном состоянии Sq = ЫЛоУ
Состояние sg системы переходов S удовлетворяет формуле р = ЗАшс(ры... ,рп) тогда и только тогда, когда в дереве покрытия будет существовать лист, представляющий собой покрывающее состояние для некоторого предыдущего состояния на этой же ветке. Действительно, поскольку элементарные высказывания интерпретируются верхними конусами, наличие такого покрывающего состояния (листа) обеспечивает существование бесконечного пути, состоящего из финальных состояний. Все состояния этого пути будут покрывающими и, следовательно, будут удовлетворять тому же элементарному высказыванию, что и покрываемое состояние. Если же не все листья дерева покрытия являются покрывающими, т. е. существуют тупиковые состояния, которые не имеют потомков, это означает, что не существует бесконечных исполнений системы переходов S, удовлетворяющих формуле р.
Состояние sg системы переходов S удовлетворяет формуле р = ^Ашс(ры • • • ,Рп) тогда и только тогда, когда в дереве покрытия с корнем в начальном состоянии системы Sf будет существовать поддерево с тем же корнем, удовлетворяющее следующим свойствам. Во-первых, каждое состояние поддерева s^ = (si, qi) для всех состояний S2 и переходов t системы S таких, что si -^ S2, должно иметь переходы (si, Qi) -^ (52,^2)- Во-вторых,
каждая ветка поддерева должна заканчиваться покрывающим состоянием, т. е. не должно быть ни одного тупикового листа. Действительно, первое требование необходимо для выполнения условия всеобщности. Нарушение второго требования хотя бы для одной ветки означает наличие конечного исполнения системы S', т. е. некоторое бесконечное исполнение системы S в этом направлении (этой веткой) не принимается А^о
Необходимо отметить, что так как все элементарные высказывания интерпретируются верхними конусами, если для состояния s0 формула 99 вида ЗАшс(ръ... ,рп) или ^Ашс(рх,... ,pn) выполнена, т. е. sq |= р, то эта формула будет также верна и для любого СОСТОЯНИЯ S > SQ.
Предположение индукции. Рассмотрим замкнутый ^-автомат АсДрь • • • ,Рп) С алфавитом S = {991,...,^} х Т, где pi — произвольные формулы логики ХЪшс(РусУ Предполагая, что для произвольного состояния s системы S и формулы pt существует алгоритм проверки s |= р^ и проводя построения и рассуждения, аналогичные указанным выше, получим алгоритм проверки формул в общем случае. □
Непосредственно из теоремы 3.2.3 и утверждений 3.1.4 и
3.1.2 имеем
Следствие 3.2.3. Задача локальной проверки модели разрешима для класса вполне структурированных систем переходов автоматного типа и темпоральных логик CALX^PucY LTLMPuc) и AALX^PUCY
Пример. Для взаимодействующих раскрашивающих процессов разрешима формула логики LTLX^^Pyc)
false U р- (t2) V р • (t3),
означающая, что все состояния любого исполнения системы удовлетворяют элементарному высказыванию р, причем исполнения системы состоят только из переходов И, £2 или ^з- Это свойство при р = «х(&) > 1» можно интерпретировать, например, таким образом, что на протяжении любого исполнения каждый пакет данных, хранящийся в переменной ж, обязательно содержит сообщения цвета Ь.
Теорема 3.2.4. Задача глобальной проверки модели разрешима для класса вполне структурированных систем переходов автоматного типа и формул автоматной логики kL^Puc^ вида ЗА^рх,... ,Рп) и \/Af(px,... ,pnY
Доказательство. Рассмотрим произвольную вполне структурированную систему переходов S = (S, Т, ^,sg) автоматного типа, а также конечный автомат А/ = (S, Q, t/o, 5, F) с алфавитом X = {pi,... ,рп} х Г, где pi 6 Рис- Как и ранее (см. доказательство теоремы 3.2.2), построим вполне структурированную систему переходов S' = (Sf,TY^ Y Sq) с сильной совместимостью, представляющую собой произведение системы переходов S и конечного автомата А/.
Построим множество состояний [pj^ системы переходов S, где формула р = ЗА/(рь... ,pnY Рассмотрим множество SrF = = {(s,q) I s e S, q E F} финальных состояний системы Sr. Множество SrF представляет собой верхний конус. Для SrF построим множество состояний-предшественников
Pred(Sp) = J
где Pred^p^(Sp) = И5/ П PreAt(SFY Множество Pred(Sp) также является верхним конусом. Построим последовательность Sq, SfXl .Sfk1 где Sq = Sp, 8-лх = S-U S", a S” представляет собой множество Pred(S-). Из утверждения 1.1.4 следует, что эта последовательность верхних конусов стабилизируется при некотором к. Выберем из множества Sk только те состояния, в которых второй компонент является начальным состоянием конечного автомата Ду, и спроецируем полученное множество на множество состояний системы S. Получим верхний конус [99J5 состояний, которые удовлетворяют формуле р = ЗА^(рх,... ,puY
Теперь построим множество состояний [99J5 для формулы р = = Х/АДрх,... ,PnY Рассмотрим множество
Pred(Sp) = [J (Ms'DPred^S^)).
В данном множестве Pred(S^) необходимо оставить только те состояния, которые удовлетворяют условию всеобщности. Удалим «плохие» состояния, для которых условие всеобщности не
выполнено. Рассмотрим элементы базиса min(Pred(5p)). Пусть состояние s’ = (si, Qi) Е min(Pred(5p)). Если из состояния si системы переходов S существует такой переход t в некоторое состояние S2, что не существует перехода (рД) Е X из ^ в финальное состояние ^2 конечного автомата Лу, то s' необходимо исключить из базиса тт(Ргеб(5р)). Чтобы получить искомое множество состояний Sn, достаточно исключить из базиса все такие плохие состояния, так как система S является вполне структурированной системой переходов автоматного типа, т. е. любое состояние sg > si имеет точно такие же переходы, что и состояние si. Множество Sn является верхним конусом. Аналогичным образом, как и выше, строится стабилизирующаяся при некотором к последовательность верхних конусов, состоящих только из «хороших» состояний, которые удовлетворяют условию всеобщности. Выбирая из множества 8^ только те состояния, в которых второй компонент является начальным состоянием конечного автомата А^ и проецируя полученное множество на множество состояний системы переходов 5, получим верхний конус [99J5 состояний, которые удовлетворяют формуле р = = VAf(pi,... ,рп\□
Следствие 3.2.4. Задача глобальной проверки модели разрешима для класса вполне структурированных систем переходов автоматного типа и логик -iLTLAj(Рис) и LTLAj(Рис)-
Пример. Для взаимодействующих раскрашивающих процессов разрешима следующая простая формула логики линейного времени LTLAf (Рис)
true U р,утверждающая, что все исполнения рано или поздно попадаютв состояние, удовлетворяющее элементарному высказыванию р,которое интерпретируется верхним конусом. При р = «х(Ь)1»
это свойство может соответствовать ситуации, когда любое исполнение системы достигает состояния, в котором переменная х содержит пакет с не менее чем одним сообщением цвета Ь.
Неразрешимые темпоральные свойства. Рассмотрим машину Минского с двумя счетчиками 2сМ. Построим для машины 2сМ ее «слабую» модель 2сМш следующим образом. Добавим
оператор недетерминированного выбора []. И в 2сМ заменим каждое правило перехода
if Xj > 0 then commi else сошш2
на правило
С0ШШ1 [] С0ШШ2.
В выражении Xj := Xj — 1 оператор «—» заменим оператором вычитания до нуля «О». Таким образом, мы получили недетерминированную счетчиковую машину 2cMw.
Рассмотрим 2cMw как систему помеченных переходов. Для каждого счетчика Xj все переходы (из состояний первого типа) с выражением Xj := Xj + 1 пометим как incj, переходы (из состояний второго типа) с выражением Xj := Xj О 1 — как decj, а переходы, не изменяющие значения счетчика х^ обозначим nulj (7 = 1,2). Если переходы гпср decj, тшЦ переводят машину в финальное состояние, то обозначим (переименуем) их соответственно halfj , haltj , halt®. В соответствии с новыми правилами переходов определим отношение переходов на множестве конфигураций S х Т х S, где
Т = {тщ, гтю^ dec\, dec^, null, пи^} U
U ^halt^, halt^, halt^, halt^, halt®, halt®Y
Зададим естественным образом отношение < частичного порядка на множестве конфигураций S машины 2cMw. Для двух конфигураций системы 2cMw имеем
О, Cl, с2) < (д', cj, 4) -<=> q = q' и а < с', г = 1, 2.
Это отношение является правильным квазипорядком по лемме Диксона.
Система переходов (2cMw, <) является вполне структурированной системой переходов автоматного типа (см. теорему 2.4.1).
Теорема 3.2.5. Задача проверки модели неразрешима для класса вполне структурированных систем переходов автоматного типа и логик ЗКЪ^Рис^ Pdc) и ЗкЪшс^РиСтРпсУ
S1
Рис. 3.3. Конечный автомат Л/ с алфавитом S = Si U S2, где Si = {(P^mc?), (ppdecj), (pj.nulj); j=l,2}, S2 = {(p^, halt^), (p^haltj), (pj ^cilt^'J = X, 2}
Доказательство. Предположим противное. Допустим, что существует алгоритм, позволяющий ответить на вопрос о разрешимости произвольных формул автоматных логик BALj^Pucr Pdc) и ЗАЪшс(Рис, Pdc) для произвольной системы автоматного типа.
Рассмотрим двухсчетчиковую машину Минского 2сМ с начальной конфигурацией (до,О,О) и построенную на ее основе недетерминированную систему переходов 2сМш.
Для доказательства этого утверждения достаточно построить конечный автомат Ар и автомат Бюхи Ашс такие, что выполнимость (или же невыполнимость) формул автоматных логик 3A^Puc,Pdc) и ЗАРшс^Рис,Рпс^ для состояния s0, т. е. s0 |= ЗАрРис,Рпс^ и s0 |= ЗАшс(Рис,Рпср означала бы существование у системы 2cMw исполнения, равного соответственно конечному и бесконечному (или, наоборот, в случае, если формулы не выполняются) исполнениям машины Минского 2сМ.
Итак, построим конечный автомат Aj = (S, Q, </q, 5, F) НЗД алфавитом S (рис. 3.3), где
S = ^pj.mcj), (p^decjY {pj,nulj),
(j)j, halt+), (р^\ haltjY (pjЛаН^; 7 = 1,2},
Рис = {ppp^} U {рьрг}, p+ = «Xj > 0», Pj = «Xj > 0» 0 = 1,2),
Pdc = {pf’P2 }’ Pj = <<xd 0>> O' =1,2),
множество состояний Q = {^o^/}^ W ^0 — начальное состояние, a F = {q/}.
SS
S
S
Рис. 3.4. Автомат Бюхи Ашс с алфавитом £ = ^(pj, %TiCj\ (p^decj),^.nuljY j = 1, 2}
Функцию переходов определим следующим образом:
^Оо>(рь^С1)) = По}, S^o^Xnc^ = Цо}, 5(9о, <Р\Ыесх^ = {90}, 5(9о, (р2 ,^ес2)) = {90}, 5(9о, (p7,nuZi)) = {g0}, 5(9o, И2 ,^2)) = Ио},^Оо>(рь^С1)) = По}, S^o^Xnc^ = Цо}, 5(9о, <Р\Ыесх^ = {90}, 5(9о, (р2 ,^ес2)) = {90}, 5(9о, (p7,nuZi)) = {g0}, 5(9o, И2 ,^2)) = Ио},5Ц0,(Р1,^П)) = И/} 5Ц0,(Р2,^2)) = И/} 5Цо, (Щ^Д)) = {9/} 5(9о,(р2 ЛаНр) = П/} 5По,(рГ,^?)) = И/} 5(9о,(р2 ЛаН^)) = И/}5Ц0,(Р1,^П)) = И/} 5Ц0,(Р2,^2)) = И/} 5Цо, (Щ^Д)) = {9/} 5(9о,(р2 ЛаНр) = П/} 5По,(рГ,^?)) = И/} 5(9о,(р2 ЛаН^)) = И/}
^Оо>(рь^С1)) = По}, S^o^Xnc^ = Цо}, 5(9о, <Р\Ыесх^ = {90}, 5(9о, (р2 ,^ес2)) = {90}, 5(9о, (p7,nuZi)) = {g0}, 5(9o, И2 ,^2)) = Ио},
^Оо>(рь^С1)) = По}, S^o^Xnc^ = Цо}, 5(9о, <Р\Ыесх^ = {90}, 5(9о, (р2 ,^ес2)) = {90}, 5(9о, (p7,nuZi)) = {g0}, 5(9o, И2 ,^2)) = Ио},
5Ц0,(Р1,^П)) = И/} 5Ц0,(Р2,^2)) = И/} 5Цо, (Щ^Д)) = {9/} 5(9о,(р2 ЛаНр) = П/} 5По,(рГ,^?)) = И/} 5(9о,(р2 ЛаН^)) = И/}
5Ц0,(Р1,^П)) = И/} 5Ц0,(Р2,^2)) = И/} 5Цо, (Щ^Д)) = {9/} 5(9о,(р2 ЛаНр) = П/} 5По,(рГ,^?)) = И/} 5(9о,(р2 ЛаН^)) = И/}
По построению конечный автомат Ар допускает только те переходы системы 2cMw, которые соответствуют переходам машины Минского 2сМ, и формула 3Aj(Pucs Pdc) будет истинной для 2сМш тогда и только тогда, когда машина Минского останавливается. Следовательно, если существует алгоритм проверки истинности данной формулы BAp^Pucs Pdc) для системы 2сМш, то существует алгоритм решения задачи останова машины Минского. Пришли к противоречию.
Построим автомат Бюхи Ашс = (S,Q,yo>5, F) над алфавитом X = \^((PpmCg\ (p^decjY {pj,nulj\, j = 1,2} (рис. 3.4). Множество состояний Q = {^о}, Г = {^о}- Функцию переходов определим следующим образом:
5(90, (piJnci)) = Цо}, 5(9о, (ppdecV)) = {90}, 5(9о, (pf.nuZi)) = Цо},5(90, (piJnci)) = Цо}, 5(9о, (ppdecV)) = {90}, 5(9о, (pf.nuZi)) = Цо},5Цо, (Р2,«пс2)) = По}5(9о, (Р2 Лес^) = Цо}5(9о, ^^Ш = {90}5Цо, (Р2,«пс2)) = По}5(9о, (Р2 Лес^) = Цо}5(9о, ^^Ш = {90}
5(90, (piJnci)) = Цо}, 5(9о, (ppdecV)) = {90}, 5(9о, (pf.nuZi)) = Цо},
5(90, (piJnci)) = Цо}, 5(9о, (ppdecV)) = {90}, 5(9о, (pf.nuZi)) = Цо},
5Цо, (Р2,«пс2)) = По}
5(9о, (Р2 Лес^) = Цо}
5(9о, ^^Ш = {90}
5Цо, (Р2,«пс2)) = По}
5(9о, (Р2 Лес^) = Цо}
5(9о, ^^Ш = {90}
Формула ЗАшс(РиСз Pdc) будет истинной для 2cMw тогда и только тогда, когда машина Минского работает бесконечно долго. Следовательно, если существует алгоритм проверки истинности данной формулы для системы 2cMw, то вновь имеем алгоритм решения задачи останова машины Минского. □
Теорема 3.2.6. Задача проверки модели является неразрешимой для класса вполне структурированных систем переходов автоматного типа и темпоральных логик ветвящегося времени ЗаЪК^Рис^Рвс) и ЗСЕЪК^Рис^Рвс) и линейного времени -ЛЛЪК^Рис^Рвс^ и ~^^^(Рис,Рвс)-
Доказательство. Для доказательства этого утверждения достаточно построить такие формулы логик ветвящегося времени ECTLAj(F[/c, Рпс) и ЗСПАш(Рис, Рве) и линейного времени ^LTLkf (Рис, Рве) и ^ЪТЪкш(Рис,Рвс), которые будут соответствовать формулам автоматных логик ЗМщ(Рис, Рве) и 3XL^c(Puc, Рос) из доказательства теоремы 3.2.5.
Формула р логики ECTLAj(Рис, Рве) имеет вид
pi • (mci) Vp2 * (inc^) Vp+ • (dec\) Vp^ • (deco) Vpf • (nul\^O pf • (nuh) EU
pi A (halt^true V P2 A (halt^true V p+ A (haltf^trueV
Vp^ A (haltf)true V pp A (halt^true V pp A (halt2) true,
где p+ = «Xj > 0», pj = «Xj ^ 0», pj = «Xj < 0» (3 = 1,2). Система 2cMw удовлетворяет этой формуле тогда и только тогда, когда машина Минского 2сМ останавливается.
Для логики ЗСПАш(Рис, Рве) имеем формулу
false EU
Р1 • (mci) Vp2 • (mc2) Vp+ • (deed) Vp^ • (dec^) Vpp • (nulf) Vpf • (mip).
Система 2cMw удовлетворяет этой формуле тогда и только тогда, когда машина Минского 2сМ работает бесконечно долго.
Для логики ^LTLXj(Рус, Рве) формула имеет вид
^(pi • (тщ) Vp2 • (гпс2) Vp+ • (deed) Vp^" • (dec2) Vpp • (nulf) Vpf • (nuh) U
Pl Л Ohalt+ tTUe VP2^ OhaH* tTUe V А Л О halt- tTUe V
VP2Ohalq true Vpf A Ohait«tme V p^ Л Ohaltotrue).
Система 2cMw удовлетворяет этой формуле тогда и только тогда, когда машина Минского 2сМ не останавливается.
Для логики ^LTLA^Pycs Pdc) имеем
-^(false U
р\ • (mci) VР2 • (mc2) Vp+ • (deed) Vр^ • (dec2) Vр^ • (nul\) Vр^ • (тш^)). Машина Минского 2сМ не работает бесконечно долго. □
Рассмотрим счетчиковую машину с обнулениями гсМ, у которой правило переходов для состояний q^ второго типа имеет вид
6i- if Xj > 0 then (xj := Xj — 1; goto qp) [] Xj := 0; goto qpu где [] — оператор недетерминированного выбора. Счетчиковая машина с обнулениями (RCM — reset counter machine) принадлежит к классу счетчиковых машин с потерями.
Напомним, что для счетчиковых машин с потерями задача существования исполнения в состояние, из которого существует бесконечное исполнение, является неразрешимой (см. следствие 2.2.1).
Построим для счетчиковой машины с обнулениями гсМ ее «слабую» модель rcMw следующим образом. В машине тсМ во всех правилах второго типа переходов заменим выражение Xj := Xj — 1 на Xj := Xj О 1 и уберем условие if Xj > 0 then. Как и ранее, рассмотрим недетерминированную счетчиковую машину rcMw как вполне структурированную систему переходов автоматного типа. Для каждого счетчика Xj все переходы (из состояний первого типа) с выражением Xj := Xj + 1 пометим как incj, переходы (из состояний второго типа) с выражением Xj := = XjQ 1 — как decj, а переходы с выражением Xj := 0 обозначим Tiulj (j = 1,... ,m). В соответствии с новыми правилами переходов определим отношение переходов на множестве конфигураций
S xTxS, где Т — множество, состоящее из меток переходов incj, decj, Tiulj (j = 1,..., m).
Теорема 3.2.7. Задача проверки модели неразрешима для класса вполне структурированных систем переходов автоматного типа и автоматной логики ЗКЪш^Рис\
Доказательство. Рассмотрим m-счетчиковую машину с обнулениями тсМ с начальной конфигурацией (до, 0,..., 0) и построенную на ее основе недетерминированную систему rcMw.
Рис. 3.5. Автомат Бюхи Аш с алфавитом £ = ytrue, incf), (p^,decj), (true, nulp; j = 1,..., m}Рис. 3.5. Автомат Бюхи Аш с алфавитом £ = ytrue, incf), (p^,decj), (true, nulp; j = 1,..., m}
Рис. 3.5. Автомат Бюхи Аш с алфавитом £ = ytrue, incf), (p^,decj), (true, nulp; j = 1,..., m}
Рис. 3.5. Автомат Бюхи Аш с алфавитом £ = ytrue, incf), (p^,decj), (true, nulp; j = 1,..., m}
Для доказательства этого утверждения достаточно построить автомат Бюхи Аш такой, что выполнимость формулы автоматной логики ЗАш(Рус) для начального состояния sq, т. е. sg |= ЗАш(Рис\ означала бы существование у системы rcMw исполнения, равного исполнению машины гсМ, существование которого проверить алгоритмически невозможно.
Итак, построим автомат Бюхи Аш = (^,Q,qo, 5,F) над алфавитом X = Рис х Т (рис. 3.5), где
Рис = {^rue, рр ..р+}; р* = «Xj > О» (у = 1,..., m);
Т = {тщ,..., incm, dec\,..., decm, null,..., nulmy,
множество состояний Q = {^o^/}^ где Qo — начальное состояние, a F = {q/}.
Функция переходов определяется следующим образом (j = = 1,..., m):
5(^о. (^^е, mcj)) = Q, 5(д^,(1тие,пи1дУ = Q, 5(qoAPj,decj)) = Q,5(^о. (^^е, mcj)) = Q, 5(д^,(1тие,пи1дУ = Q, 5(qoAPj,decj)) = Q,5(qj, (true, mej)) = F 5(qf, (Рие,тшЦУ) = F 5(qf,(ppdecP =F5(qj, (true, mej)) = F 5(qf, (Рие,тшЦУ) = F 5(qf,(ppdecP =F
5(^о. (^^е, mcj)) = Q, 5(д^,(1тие,пи1дУ = Q, 5(qoAPj,decj)) = Q,
5(^о. (^^е, mcj)) = Q, 5(д^,(1тие,пи1дУ = Q, 5(qoAPj,decj)) = Q,
5(qj, (true, mej)) = F 5(qf, (Рие,тшЦУ) = F 5(qf,(ppdecP =F
5(qj, (true, mej)) = F 5(qf, (Рие,тшЦУ) = F 5(qf,(ppdecP =F
По построению автомат Бюхи Аш допускает только те переходы системы rcMw, которые соответствуют переходам машины гсМ. И следовательно, автомат Аш допускает для машины гсМ существование исполнения в конфигурацию, из которой существует бесконечное исполнение. Задача существования такого исполнения для счетчиковых машин с потерями является алгоритмически неразрешимой [66] (см. следствие 2.2.1). □
Теорема 3.2.8. Задача проверки модели является неразрешимой для класса вполне структурированных систем переходов автоматного типа и темпоральных логик ЗСПА(Рис) и ^ЪЦРис\
Доказательство. Как и ранее, для доказательства этого утверждения достаточно построить такие формулы темпоральных логик 3CTLX(Puc) и ^LTLA(F[/c), которые будут соответствовать формуле автоматной логики ЗХЪш(Рис) из доказательства теоремы 3.2.7.
Формула р логики 3CTLX(Puc) имеет вид
true • (mci) V ... V true • (гпст) V pf • (deed) V ... V р+ • (decm) V
V true • (nul\) V ... V true • (nulm) EU
(false EU true • (mci) V ... V true • (incm) Vp+ • (deef) V ... Vp+ • (decm) VV true • (nul\) V ... V true • (nulm)),
где p+ = «Xj > 0», j = 1,..., m.
Для логики -^LTLX(Puc) формула имеет вид
^(true • (mci) V ... V true • (гпст) V p+ • (deef) V... VpF (decm) V
V true • (nulf) V ... V true • (nulm) U
(false U true fined v • • • V true • (гпст) V pf • (deef) V ... Vp+ • (decm) VV true • (nul\) V ... V true • (nulm))),
где p^ = «Xj > 0», j = 1,..., m.
Если система rcMw удовлетворяет этим эквивалентным формулам, тогда у машины геМ существует исполнение в конфигурацию, из которой существует бесконечное исполнение. □
Системы переходов с сильной и транзитивной совместимостью.
Разрешимые темпоральные свойства. Теперь мы рассмотрим подмножества темпоральных логик, в рамках которых любая формула будет отображать разрешимое темпоральное свойство для классов вполне структурированных систем переходов с сильной и транзитивной совместимостью.
Теорема 3.2.9. Задача глобальной проверки модели разрешима для класса вполне структурированных систем переходов с сильной совместимостью и формул у-подмножества модального у-исчисления, находящихся в позитивной нормальной форме без модального оператора [i], при интерпретации элементарных высказываний как верхних конусов.
Доказательство почти полностью повторяет доказательство теоремы 3.2.1 с поправкой на случай вполне структурированных систем переходов с сильной совместимостью. Также доказательство этой теоремы может быть найдено в [60, 61]. □
Следствие 3.2.5. Задача глобальной проверки модели разрешима для класса вполне структурированных систем переходов с сильной совместимостью и логики ЗСТ1А^Рис\
Пример. Для вполне структурированных систем переходов с сильной совместимостью мы имеем разрешимость формулы
true • (й) V true • (й) V true • (ig) EU р,
выражающей существование у системы некоторого исполнения, составленного только из переходов й, t^ или tg, ведущего в верхний конус р. При глобальной проверке строится множество всех состояний, из которых такое исполнение возможно. Для обыкновенных сетей Петри или сетей Петри с обнуляющими дугами конус р может означать наличие определенного количества ресурсов (фишек) в соответствующих местах сети, причем конус р легко представляется своим базисом, который выражает минимальные требования к ресурсам мест, например, вектором (щ, С2,..., cnf где Ci = M(xi) минимальное количество фишек, которое должно содержать место Xi (1 < г < п).
Пусть S = ((S, Т, sg), <) — вполне структурированная система переходов с транзитивной совместимостью и эффективным транзитивным предбазисом, где S = Q х D. Рассмотрим специальное подмножество модального //-исчисления следующего вида:
у ::= true | false | р | Z | у V у | у Л у | (ft^y | yZ.y,
где р е Р, Z е V и
= {s | 3s' е И5е [s si . sn Л s' и s,sb...,sn^ s", s" ± s'", s'" <s']}.
Так как множество [((t^J^e = TrPredtQ^J^e) представляет собой верхний конус, то наряду с предыдущей теоремой можно утверждать разрешимость задачи глобальной проверки модели для класса вполне структурированных систем переходов с транзитивной совместимостью и данного специального подмножества модального //-исчисления.
Таким образом, например, для FIFO-канальных систем с потерями имеем разрешимость формулы
означающей существование пути, составленного из переходов ti, ^2 или £3, между которыми возможны переходы потери (сообщений), в некоторый верхний конус р. Элементарное высказывание р может задавать и некоторую критическую ситуацию, достижимость которой является отрицательным свойством для системы переходов. Обратимся к модели протокола АВР, рассмотренной в п. 1.3.2. Напомним, что эта модель представляет собой FIFO- канальную систему с потерями. Пусть элементарное высказывание р = «w(cm) 01», что соответствует множеству глобальных состояний, в которых канал для сообщений см содержит подряд два сообщения: сначала 0, а затем 1. Очевидно, что р интерпретируется верхним конусом. Если система находится в одном из таких глобальных состояний, значит, произошла недопустимая отправка передатчиком Sender сообщения с чередующимся битом 1 без подтверждения от Receiver о приеме сообщения с чередующимся битом 0. Таких ситуаций в рассматриваемой модели протокола АВР нет, поэтому для нее свойство, заданное следующей темпоральной формулой р, не выполняется:
р = pZ.^CM^A V cmW V саИ V сл!0 V
см?1 V см?0 V са?1 V ca?0 V Snd V Rcu^Z V р\
где для краткости вместо подформулы ^t\^Z V ...V {{tn))Z мы пишем ((И V V tu^Z.
Теорема 3.2.10. Задача локальной проверки модели разрешима для класса вполне структурированных систем переходов с сильной совместимостью и логики ЗкЪшс^Рис\
Доказательство. Проводится по аналогии с доказательством теоремы 3.2.3 структурной индукцией по вложению подформул в формуле р автоматной логики ЗАЪшс(Рис\
Базис индукции. Рассмотрим разрешимость данной задачи для произвольного состояния sq вполне структурированной системы переходов S с сильной совместимостью и формулы вида ЗЛшс(рь. • -,PnY где pi Е Рис-
Как и ранее (см. доказательство теоремы 3.2.2), построим вполне структурированную систему помеченных переходов S' = = (Sf,Tf,^ \ Sq) с сильной совместимостью, представляющую собой произведение системы переходов S = (S,T, ^,sg) и замкнутого w-автомата Ашс = (S, Q. ^о^ 6, F), где X = РисхТ, F = = Q. Затем для системы S' построим дерево покрытия с корнем в начальном состоянии Sq = (sq,^o)-
Состояние sq системы переходов S удовлетворяет формуле р = ЗАшс^Рь • • • ^Рп) тогда и только тогда, когда в дереве покрытия будет существовать лист, представляющий собой покрывающее состояние для некоторого предыдущего состояния на этой же ветке. Действительно, поскольку элементарные высказывания интерпретируются верхними конусами, наличие такого покрывающего состояния (листа) обеспечивает существование бесконечного пути, состоящего из финальных состояний. Все состояния этого пути будут покрывающими и, следовательно, будут удовлетворять тому же элементарному высказыванию, что и покрываемое состояние. Если же все листья дерева покрытия не являются покрывающими, т. е. все листья — тупиковые состояния, которые не имеют потомков, это означает, что не существует бесконечных исполнений системы S, удовлетворяющих р.
Так как все элементарные высказывания интерпретируются верхними конусами, если для состояния sq формула р вида ЗАшс(рь • • • ,Рп) выполнена, т. е. sq |= р, то эта формула будет также верна и для любого состояния s > sq.
Предположение индукции. Рассмотрим некоторый автомат Ашс^р\,... ,рп) с алфавитом S = {^i,...,^} х Т, где pt — произвольные формулы логики ЗАЪшс(Рис\ Предполагая, что
ДЛЯ Произвольного СОСТОЯНИЯ 8 системы S И формулы фг существует алгоритм проверки s |= ^, и проводя построения и рассуждения, аналогичные указанным выше, получим алгоритм проверки формул в общем случае.□
Следствие 3.2.6. Задача локальной проверки модели разрешима для класса вполне структурированных систем переходов с сильной совместимостью и темпоральных логик ^ЪХ^(Рис} и ^LK^Puc}
Пример. Для обыкновенных сетей Петри или сетей Петри с обнуляющими дугами разрешимо свойство
false EU ft^true • (И) V (t^true • (#2) V (t^true • (ig), выражающее существование бесконечного исполнения, построенного с помощью только лишь переходов /щ £2 или ^з, в любом состоянии которого переход £4 является активным. Разрешимое свойство, утверждающее, что у системы переходов все исполнения отличные от указанного, можно задать в виде формулы логики линейного времени следующим образом:
^(false U ft^true • (й) V (t^true • (#2) V (t^true • (tg)).
Теорема 3.2.11. Задача глобальной проверки модели разрешима для класса вполне структурированных систем переходов с сильной совместимостью и формул логики XLj (Ри с) вида ЗЛ/(р1,.. .,рп\
Доказательство. Полностью повторяет первую часть доказательства теоремы 3.2.4.□
Следствие 3.2.7. Задача глобальной проверки модели разрешима для класса вполне структурированных систем переходов с сильной совместимостью и логики -^LTLXj (Ри с\
Пример. Для сетей Петри с обнуляющими дугами возможно построение множества состояний, для которых будет истинной формула
Щп/е • (ti) v Ot2 Oti ^ue • (t2) V Qt3 Ot, true • (£3) U pY
выражающая, что все исполнения должны быть отличными от исполнения, ведущего в верхний конус р и составленного только из переходов ii, £2 или ^з, причем после переходов #2 и ^з обязательно должен следовать переход t\. Если для некоторого состояния эта формула не выполняется, значит, из него существует указанное исполнение.
Для того чтобы приведенные выше теоремы были верны и в случае вполне структурированных систем переходов с транзитивной совместимостью, например, для систем с потерями, необходимо, чтобы формулы автоматной логики имели специальный вид, а именно: каждое состояние автомата формулы должно иметь петли, соответствующие переходам потери.
Неразрешимые темпоральные свойства. И, наконец, мы рассмотрим такие подмножества темпоральных логик, в рамках которых могут быть построены формулы, выражающие неразрешимые свойства (проблемы) для класса вполне структурированных систем переходов с сильной совместимостью (и, следовательно, для систем переходов с транзитивной совместимостью).
Теорема 3.2.12. Задача проверки модели неразрешима для класса вполне структурированных систем переходов с сильной совместимостью и логик ECTLAj (PdcY SCTLA^ (PdcY -.LTLKj(PDc) и ^LK^PDcY
Доказательство. Рассмотрим двухсчетчиковую машину с обнулениями 2rcM как вполне структурированную систему переходов с сильной совместимостью. Для каждого счетчика Xj все переходы из состояний первого типа с выражением Xj := Xj + 1 пометим как incj, переходы (из состояний второго типа) с выражением Xj := Xj — 1 — как decj, а переходы с выражением Xj := 0 обозначим тшЦ (j = 1, 2). Если переходы mcj, decj, тшЦ переводят машину в финальное состояние, то переименуем их соответственно в haltp haltj, halt®.
Для доказательства этого утверждения достаточно построить формулы соответствующих темпоральных логик, такие, что выполнимость каждой такой формулы означала бы существование у системы 2тсМ исполнения, равного исполнению счетчиковой
машины Минского 2сМ, существование которого проверить алгоритмически невозможно.
Для логики ECTLAj(Pdc) такая формула имеет вид
pf • (nulf) V pf • ^nul^ V
V true • (тщ) V true • (mc2) V true • (deci) V true • ^dec^ EUpf A (Jialt^ true V pf A (halt®) true V
V (halt^)true V (halt^true V (haltf)true V (haltf)true, где элементарное высказывание pj = «Xj ^ 0», j = 1, 2. Система 2rcM удовлетворяет этой формуле тогда и только тогда, когда машина Минского 2сМ останавливается.
Для логики ЭСТЕА^(Рпс) имеем следующую формулу:
false EU pf • (nulf) V pf • (пи^) V
V true • (mci) V true • (mc2) V true • (decf) V true • ^dec^Y где pj = «Xj 0», j = 1, 2. Система 2rcM удовлетворяет этой формуле тогда и только тогда, когда машина Минского 2сМ работает бесконечно долго.
Для логики -iLTLAj(Pdc) формула имеет вид
^(рГ ’ (^^^1) V pf • (п^) V
V true • (тщ) V true • (mc<2) V true • (deci) V true • ^dec^ UРГ л Ohaliprue Vp^ ^ O^true V
v Ohalt+ true v Ohalt+ true V Ohalt- true V Ohalt- true),
где pj = «Xj < 0», j = 1, 2 Система 2rcM удовлетворяет этой формуле тогда и только тогда, когда машина Минского 2сМ не останавливается.
Для логики -иLTLA^(Рпс) имеем
-^(false U pf • (nulf) V pf • (пи^) V
V true • (mci) V true • (mc2) V true • (dec\) V true • (dec2)),где pj = «Xj 0», j = 1, 2. Система 2rcM удовлетворяет этойформуле тогда и только тогда, когда машина Минского 2сМ неработает бесконечно долго.□
6 Е.В. Кузьмин, В. А. Соколов
CTLA(Puc,Pdc)CTLA(Puc,Pdc)CTLK^Puc^Pdc^ ^ГТЪА(Рис^Рпс)CTLK^Puc^Pdc^ ^ГТЪА(Рис^Рпс)СТЪАш(Рис,РВс)СТЪАш(Рис,РВс)СТЕАДР^с) ВСТЕАДР^^рс) ВСТЪА(Рис) ВСТЪАЦРис, Рпс) СТЪАш(Рис)CTLAy(Рис) СТЕАДР^с) ВСТЕАДР^^рс) ВСТЪА(Рис) ВСТЪАЦРис, Рпс) СТЪАш(Рис)CTLAy(Рис) AL(PUC, Pdc)AL(PUC, Pdc)-^LTLAj (Рис, Pdc) ^TLA(Puc) ^ТЪАш(Рис) Pdc)-^LTLAj (Рис, Pdc) ^TLA(Puc) ^ТЪАш(Рис) Pdc)LIL AJPUC) LTLAf(PDC) LTLAf (Puc)LIL AJPUC) LTLAf(PDC) LTLAf (Puc)^TLk^Pnc) -LTLAf(Puc) -ЫЪАш(Рис)^TLk^Pnc) -LTLAf(Puc) -ЫЪАш(Рис)Рис. 3.6. Границы разрешимости логик СТЕА и LTLA для класса вполне структурированных систем переходов автоматного типаРис. 3.6. Границы разрешимости логик СТЕА и LTLA для класса вполне структурированных систем переходов автоматного типаВСТЪА(РиС) Рос)ВСТЪА(РиС) Рос)BCTLAf(Puc) ВСТЪАш(Рис) BCTLAf(PDC) ВСТЪАш(Рпс)BCTLAf(Puc) ВСТЪАш(Рис) BCTLAf(PDC) ВСТЪАш(Рпс)-.LTLA(PucPdc)-.LTLA(PucPdc)-.LTLAf(Puc) -LIL AJPUC) -LTLAf(PDC) -LIL AJPDC)-.LTLAf(Puc) -LIL AJPUC) -LTLAf(PDC) -LIL AJPDC)Рис. 3.7. Границы разрешимости логик CTLA и LTLA для класса вполне структурированных систем переходов с сильной совместимостьюРис. 3.7. Границы разрешимости логик CTLA и LTLA для класса вполне структурированных систем переходов с сильной совместимостью
CTLA(Puc,Pdc)
CTLA(Puc,Pdc)
CTLK^Puc^Pdc^ ^ГТЪА(Рис^Рпс)
CTLK^Puc^Pdc^ ^ГТЪА(Рис^Рпс)
СТЪАш(Рис,РВс)
СТЪАш(Рис,РВс)
СТЕАДР^с) ВСТЕАДР^^рс) ВСТЪА(Рис) ВСТЪАЦРис, Рпс) СТЪАш(Рис)
CTLAy(Рис)
СТЕАДР^с) ВСТЕАДР^^рс) ВСТЪА(Рис) ВСТЪАЦРис, Рпс) СТЪАш(Рис)
CTLAy(Рис)
AL(PUC, Pdc)
AL(PUC, Pdc)
-^LTLAj (Рис, Pdc) ^TLA(Puc) ^ТЪАш(Рис) Pdc)
-^LTLAj (Рис, Pdc) ^TLA(Puc) ^ТЪАш(Рис) Pdc)
LIL AJPUC) LTLAf(PDC) LTLAf (Puc)
LIL AJPUC) LTLAf(PDC) LTLAf (Puc)
^TLk^Pnc) -LTLAf(Puc) -ЫЪАш(Рис)
^TLk^Pnc) -LTLAf(Puc) -ЫЪАш(Рис)
Рис. 3.6. Границы разрешимости логик СТЕА и LTLA для класса вполне структурированных систем переходов автоматного типа
Рис. 3.6. Границы разрешимости логик СТЕА и LTLA для класса вполне структурированных систем переходов автоматного типа
ВСТЪА(РиС) Рос)
ВСТЪА(РиС) Рос)
BCTLAf(Puc) ВСТЪАш(Рис) BCTLAf(PDC) ВСТЪАш(Рпс)
BCTLAf(Puc) ВСТЪАш(Рис) BCTLAf(PDC) ВСТЪАш(Рпс)
-.LTLA(PucPdc)
-.LTLA(PucPdc)
-.LTLAf(Puc) -LIL AJPUC) -LTLAf(PDC) -LIL AJPDC)
-.LTLAf(Puc) -LIL AJPUC) -LTLAf(PDC) -LIL AJPDC)
Рис. 3.7. Границы разрешимости логик CTLA и LTLA для класса вполне структурированных систем переходов с сильной совместимостью
Рис. 3.7. Границы разрешимости логик CTLA и LTLA для класса вполне структурированных систем переходов с сильной совместимостью
Дерево разрешимости темпоральных логик. В этом разделе подводится итог главы. На рис. 3.6 и 3.7 наглядно представлены границы разрешимости для темпоральных логик LTLA и CTLA и классов вполне структурированных систем переходов с сильной совместимостью и вполне структурированных систем переходов автоматного типа.
Заключение
В данной монографии основное внимание было уделено свойствам вполне структурированных систем помеченных переходов. В заключении нам бы хотелось обсудить проблему вполне структурированности систем переходов еще в более общем смысле. Обратимся к системам непомеченных переходов, которые также можно рассматривать как системы помеченных переходов, где используется всего лишь одна метка, т. е. все переходы помечаются одинаково. Тогда определения, касающиеся систем помеченных переходов, можно распространить и на рассматриваемый общий случай систем переходов. Оказывается [48], что любая система непомеченных переходов является вполне структурированной со строгой сильной совместимостью.
Действительно, для любой системы непомеченных переходов TS = (S', sg) существует на множестве ее состояний S правильный квазипорядок <^ такой, что система (TS, <^) является вполне структурированной системой переходов со строгой сильной совместимостью квазипорядка <т с отношением переходов Для каждого состояния s Е S определим T(s) как длину самого длинного исполнения системы TS, начинающегося в состоянии s. Значения функции T(s) принадлежат множеству — def
N = N|J{^}, где ио означает, что самое длинное исполнение из s — это бесконечное исполнение. Определим отношение следующим образом: s s’ ^=^ T(s) < Т(УУ Очевидно, что отношение <^ является правильным квазипорядком. Осталось проверить строгую сильную совместимость правильного квазипорядка <^ с отношением Итак, рассмотрим два состояния si и s' такие, что T^sx) < T(srx) и si S2- Если T(srx) = со, то s' допускает бесконечное исполнение и существует переход sj s^, причем T^s^ = со. Если же Т^) = n > T(si) и T^s^ < < T^s\\ то существует переход sj s^ с Т^) = п — 1, где п > 0. В любом случае получаем, что T(s2) < T^Y Более того, если T(si) < T(sxY то T(s2) < T^Y
Получается, что утверждение о вполне структурированности любой системы непомеченной переходов является верным даже в случае произвольной машины Минского, если рассматривать ее таковой. Но именно поэтому отношение правильного квазипорядка <^ не является разрешимым в общем случае (для любой системы непомеченных переходов), несмотря на то, что система переходов для машины Минского имеет конечное ветвление и эффективное отображение Succ. Случай разрешимости <^ устанавливается следующим утверждением [48].
Если система TS имеет эффективное отображение Succ, то правильный квазипорядок <^ разрешим на множестве состояний S тогда и только тогда, когда для TS разрешима проблема останова.
Действительно, очевидно, что в случае разрешимости <^ мы имеем разрешимость проблемы останова. Обратно, предположим разрешимость проблемы останова и рассмотрим произвольное состояние s. Если s не является финальным состоянием, то T(s) = ш. Если же s — это финальное состояние, то легко может быть вычислено значение T(s) 6 N с использованием эффективности Succ (и конечного ветвления). Таким образом, функция Т вычислима и, следовательно, отношение <т разрешимо.
Отношение правильного квазипорядка <т имеет следующие недостатки:
отношение <^ разрешимо только тогда, когда разрешима проблема останова;
отношение <^ выразительно очень слабое.
Поясним второй недостаток. Предположим, что отношение <т разрешимое для некоторой системы непомеченных переходов TS. Рассмотрим произвольные состояния s и q этой системы. По теореме 1.2.4 мы имеем разрешимость проблемы неизбежности: всякое ли исполнение из s приводит в состояние, которое не покрывает q. Это означает, что если для каждого исполнения из s существует такое достигаемое состояние sr, которое не покрывает q, то по видимому состояние s' находится ближе к финальному состоянию (ближе к концу исполнения), чем состояние q, так как выполняется sf <т q, т. е. T(sf) < T(q\ Причем может случиться так, что s само является непокрывающим состоянием для q. И тогда все остальные состояния всех исполнений
из s будут покрываться состоянием q и следовательно будут в определенном смысле находится ближе к финальному состоянию, чем q. Аналогичная ситуация с разрешимостью проблемы покрытия (теорема 1.2.1). И в этом случае покрытие или непокрытие состояния q не несет какой бы то ни было полезной информации. Это конечно же контрастирует, например, с проблемой покрытия при правильном квазипорядке <п (покоординатное сравнение) на множестве разметок для сетей Петри.
Список литературы
Ачасова С.М., Бандман О. Л. Корректность параллельных вычислительных процессов. — Новосибирск: Наука, 1990. — 253 с.
Борщев А. В., Карпов Ю.Г., Рудаков В. В. О корректности параллельных алгоритмов // Программирование. — 1996. — № 4. — С. 5-17.
Карпов Ю.Г. Теория автоматов. — СПб.: Питер, 2003. — 208 с.
Карпов Ю. Г. Формальное описание и верификация протоколов на основе CSS // Автоматика и вычислительная техника (Рига). — 1986. - №6. - С. 21-30.
Кларк Э.М., Крамберг О., Пелед Д. Верификация моделей программ: Model Checking. — М.: МЦНМО, 2002. — 416 с.
Котов В.Е. Сети Петри. — М.: Наука, 1984.
Кузьмин Е.В., Соколов В. А. Проверка модели для вполне структурированных систем переходов автоматного типа // Материалы Международного рабочего совещания «Распределенные информационно-вычислительные ресурсы и математическое моделирование» (DICR’04). — Новосибирск, 2004. — С. 73-85.
Кузьмин Е.В., Соколов В. А. Взаимодействующие раскрашивающие процессы // Моделирование и анализ информационных систем. - 2004. - Т. 11 (2). - С. 8-17.
Кузьмин Е. В. О разрешимости задачи проверки модели для автоматной логики и вполне структурированных систем переходов автоматного типа // Моделирование и анализ информационных систем. - 2004. - Т. 11 (1). - С. 8-17.
Кузьмин Е. В., Соколов В. А. Проверка свойств вполне структурированных моделей // Материалы Всероссийской научной конференции, посвященной 200-летию Ярославского госуниверситета им. П.Г. Демидова. — Ярославль: ЯрГУ, 2003. — С. 50-54.
Кузьмин Е.В. Недетерминированные счетчиковые машины // Моделирование и анализ информационных систем. — 2003. — Т. 10 (2). - С. 41-49.
Кузьмин Е.В. О разрешимости задачи проверки модели для модального //-исчисления и некоторых классов вполне структурированных систем переходов // Моделирование и анализ информационных систем. — 2003. — Т. 10 (1). — С. 50-55.
Ломазова И. А. Вложенные сети Петри: моделирование и анализ распределенных систем с объектной структурой. — М.: Научный мир, 2004. — 208 с.
Матиясевич Ю. В. Диофантовость перечислимых множеств // ДАН СССР. - 1970. - Т. 191, № 2. - С. 279-282.
Минский М. Вычисления и автоматы. — М.: Мир, 1971. — 268 с.
Непомнящий В. А. Практические методы верификации программ // Кибернетика. - 1984. - № 2. - С. 21-28, 43.
Питерсон Дж. Теория сетей Петри и моделирование систем. — М.: Мир, 1984. - 263 с.
Хоар Ч. Взаимодействующие последовательные процессы: Пер. с англ. — М.: Мир, 1989. — 264 с.
Хопкрофт Д., Мотвани Р., Ульман Д. Введение в теорию автоматов, языков и вычислений. 2-е изд.: Пер. с англ. — М.: Вильямс, 2002. - 528 с.
Abdulla Р.А., Cerans К., Jonsson В., Yih-Kuen Т. General decidability theorems for infinite-state systems // Proc. 11th IEEE Symp. Logic in Computer Science (LICS’96). — 1996. — P. 313-321.
Abdulla P.A., Cerans K., Jonsson B., Yih-Kuen T. Algorithmic analysis of programs with well quasi-ordered domains // Information and Computation. — 1997.
Abdulla P., Bouajjani A., Jonsson B. On-the-fly Analysis of Systems with Unbounded, Lossy Fifo Channels // Proc. 10th Intern. Conf, on Computer Aided Verification (CAV’98). LNCS 1427. — 1998.
Abdulla P., Jonsson B. Verifying Programs with Unreliable Channels // Proc. Logic in Comp. Science (LICS’93). — 1993. — P. 160— 170.
Abdulla P., Jonsson B. Undecidable verification problems for programs with unreliable channels // Information and Computation. — 1996. - 130(1). - P. 71-90.
Alur R., Kannan S., Yannakakis M. Communicating hierarchical automata // Proc. ICALP’99, Springer LNCS 1644. — 1999. — P. 169-178.
Alur R., Courcoubetis C., Dill D. Model-checking for real-time systems // Proc. 5th IEEE Int. Symp. on Logic in Computer Science, Philadelphia. - 1990. - P. 414-425.
Araki T., Kasami T. Some decision problems related to the reachability problem for Petri nets // Theoretical Computer Science. — 1977. - 3(1). - P. 85-104.
Bouajjani A., Habermehl P. Symbolic reachability analysis of FIFO- channel systems with nonregular sets of configurations // Proc, of ICALP’97, LNCS 1256. - 1997.
Bouajjani A., Mayr R. Model Checking Lossy Vector Addition Systems // Proc. 16th Intern. Symp. on Theoretical Aspects in Computer Science (STACS’99), LNCS 1563. — 1999.
Buehl J. R. On a decision method in restricted second order arithmetic // Proc. Int. Congr. Logic, Method and Philos. Sci. — 1960; Stanford, 1962. - P. 1-12.
Burkart 0., Caucal D., Moller F., Steffen B. Verification over Infinite States. Chapter in the Handbook of Process Algebra, Elsevier Publishers. - 2001. - P. 545-623.
Burkart 0., Esparza J. More infinite results // Electronic Notes in Theoretical Computer Science. — 1996. — 6.
Bartlett K., Scantlebury R., Wilkinson P. A note on reliable fullduplex transmissions over half duplex lines // Communications of the ACM. - 1983. - 2 (5). - P. 323-342.
Cece G., Finkel A., Purushothaman Iyer S. Unreliable channel are easier to verify than perfect channels // Information and Computation. - 1995. - 124 (1). - P. 20-31.
Clarke E., Grumberg O., Peled D. Model Checking. — The MIT Press. — 2001.
Clarke E.M., Emerson E.A. Design and synthesis of synchronization skeletons using branching time temporal logic // LNCS 131. — 1981. - P. 52-71.
Christensen S., Hirshfeld ¥., Moller F. Bisimulation equivalence is decidable for basic parallel processes // Proc. CONCUR’93, LNCS 715. - 1993. - P. 143-157.
Dam M. Fixpoints of Biichi automata // International Conference on the Foundations of Software Technology and Theoretical Computer Science (FST&TCS), LNCS 652. - 1992. - P. 39-50.
Daniele M., Giunchiglia E, Vardi M.Y. Improved automata generation for linear temporal logic // Computer-Aided Verification, Proc. 11th Int. Conference, LNCS 1633. - 1999. - P. 249-260.
Dickson L.E. Finiteness of the odd perfect and primitive abundant numbers with r distinct prime factors // Amer. Journal Math. — 1913. - 35. - P. 413-422.
Dufourd C., Jancar P., Schnoebelen Ph. Boundedness of Reset P/T nets // Proc. ICALP’99, LNCS 1644. - 1999. - P. 301-310.
Dufourd C., Finkel A., Schnoebelen Ph. Reset nets between decidability and undecidability // Proc. ICALP’98, LNCS 1443. — 1998. - P. 103-115.
Emerson E.A. Temporal and modal logic // Handbook of Theoretical Computer Science. — 1990. — v. В. — P. 995-1072.
Esparza J. On the decidabilty of model checking for several //-calculi and Petri nets // Proc. CAAP’94, Springer LNCS 787. — 1994. — P. 115-129.
Esparza J. Decidability of model-checking for infinite-state concurrent systems // Acta Informatica. — 1997. — 34. — P. 85-107.
Esparza J., Kiehn A. On the model checking problem for branching time logics and basic parallel processes // Proc. Of CAV’95, LNCS 939. — Springer-Verlag, 1995. — P. 353-366.
Finkel A. Reduction and covering of infinite reachability trees // Information and Computation. — 1990. — 89(2). — P. 144-179.
Finkel A., Schnoebelen Ph. Well-structured transition systems everywhere! // Theoretical Computer Science. — 2001. — 256(1-2). — P. 63-92.
Finkel A., Schnoebelen Ph. Fundamental structures in well- structured infinite transition systems // Proc. 3rd Latin American Theoretical Informatics Symposium (LATIN’98), Campinas, Brazil, Apr. 1998, LNCS 1380. - Springer, 1998. - P. 102-118.
Gerth R., Peled D., Vardi M.Y., Wolper P. Simple on-the-fly automatic verification of linear temporal logic // Proc, of the 15th Workshop on Protocol Specification, Testing, and Verification. — 1995.
Hack M. Decision problems for Petri nets and vector addition systems // Project MAC Memo 59. — Cambridge, 1975.
Hack M. The equality problem for vector addition systems is undecidable // Theoretical Computer Science. — 1976. — 2(1). — P. 77-96.
Hennessy M. Algebraic Theory of Processes. — MIT Press, 1988.
Hennessy M., Milner R. On observing nondeterminism and concurrency // Lecture Notes in Computer Science. — 1980. — 85. — P. 295-309.
Hennessy M., Milner R. Algebraic laws for nondeterminism and concurrency // Journal of Association of Computer Machinery. — 1985. - 32. - P. 137-162.
Higman G. Ordering by divisibility in Abstract Algebra // Proc. London Math. Soc. - 1952. - 3(2). - P. 326-336.
Hoare C. A. R. Communicating sequential processes. — PrenticeHall, 1985.
Hopcroft J.E., Ullman J. D. Introduction to Automata Theory, Languages and Computation. — Addison Wesley, 1979.
ISO. Data communications — HDLC procedures — elements of procedures. Technical Report ISO 4335, International Standards Organization. — Geneva, Switzerland, 1979.
Kouzmin Е. К, Shilov N. К, Sokolov КД. Model Checking //-Calculus in Well-Structured Transition Systems // Proc. 11th Int. Symposium on Temporal Representation and Reasoning. — Tatihou, France: IEEE Press, 2004. - P. 152-155.
Kouzmin E. K, Shilov N. K, Sokolov KA. Model Checking //-Calculus in Well-Structured Transition Systems // Joint Bulletin of NCC & IIS, Comp. Science. — Novosibirsk, 2004. — n. 20. — P. 49-59.
Kouzmin E. K, Sokolov KA. Communicating Colouring Automata // Proc. Int. Workshop on Program Understanding (sat. of PSF03). - 2003. - P. 40-46.
Kouchnarenko O., Schnoebelen Ph. A model for recursive-parallel programs // Proc. 1st Int. Workshop on Verification of Infinite State Systems (INFINITY’96), Electronic Notes in Theor. Comp. Sci. — Elsevier, 1997. — v. 5.
Kozen D. Results on the propositional //-calculus // Theoretical Computer Science. — 1983. — 27. — P. 242-272.
Larsen K. Proof systems for satisfiability in Hennesy-Milner logic with recursion // Theoretical Computer Science. — 1990. — 72. — P. 265-288.
Mayr R. Lossy counter machines. — Tech. Report TUM-I9827, Institut fur Informatik, TUM, Germany, October 1998.
Mayr R. Decidability and complexity of model checking problems for infinite-state systems: PhD dissertation. — Technischen Universitat Munchen, 1998.
Milner R. К Calculus of Communicating Systems // LNCS 92. — Springer-Verlag, 1980.
Milner R. Communication and Concurrency. — Prentice Hall, 1989.
Minsky M. Computation: Finite and Infinite Machines. — Prentice Hall, 1967.
Moller F. Infinite results // Proc. CONCUR’96, LNCS 1119. - 1996. - P. 195-216.
Moller F., Birtwistle G. Logic for Concurrency // LNCS 1043. — 1996.
Peterson J. L. Petri Net Theory and the Modeling of Systems. — Prentice-Hall Int., 1981.
Pnueli A. The temporal logic of programs // FOCS’77, IEEE. — 1977.
Pratt К A decidable //-calculus // Proceedings of 22nd FOCS. — 1981. - P. 421-427.
Shilov N. V, Yi К. Puzzles for Learning Model Checking, Model Checking for Programming Puzzles, Puzzles for Testing Model Checkers // Electr. Notes Theor. Comput. Sci. — 2001. — 43.
Shilov N. I/., Yi K. On Expressive and Model Checking Power of Propositional Program Logics // Ershov Memorial Conference. — 2001. - P. 39-46.
Shilov N. I/., Yi K. How to find a coin: propositional program logics made easy // Bulletin of the European Association for Theoretical Computer Science. — 2001. — v.75. — P. 127-151.
Shilov N. I/. Program Schemata vs. Automata for Decidability of Program Logics // Theoretical Computer Science. — 1997. — 175(1). - P. 15-27.
Somenzi F., Bloem R. Efficient Biichi automata from LTL formulae // Computer-Aided Verification, Proc. 12th Intern. Conference. — 2000. - v. 1633. - P. 247-263.
Steffen B. Characteristic formulae // Proc. ICALP’89. — 1989.
Stirling C.P. Temporal logics for CCS. // Proc, of REX Workshop. — 1988.
Stirling С. P. Modal and temporal logics // Handbook of Logic in Computer Science. — Oxford University Press, 1992. — v. 2. — P. 477-563.
Stirling С. P. Modal and temporal logics for processes // LNCS 1043. - 1996. - P. 149-237.
Stirling C., Walker D. Local model checking in the modal ^-calculus // Theoretical Computer Science. — 1991. — 89. — P. 161-177.
Vardi M. Y. An automata-theoretic approach to linear temporal logic // Logics for Concurrency, LNCS 1043. — 1996. — P. 238-266.
Vardi M. Y, Wolper P. Reasoning about infinite computations // Information and Computation. — 1994. — 115(1). — P. 1-37.
Vardi M. Y, Wolper P. An automata-theoretic approach to automatic program verification // Proc, of the First Symposium on Logic in Computer Science. — 1986. — P. 322-331.
Wolper P. Temporal logic can be more expressive // Information and Control. — 1983. — 56.
Wolper P., Vardi M. Y, Sistla A. P. Reasoning about infinite computation paths // Proc. 24th IEEE Symposium on Foundations of Computer Science. — 1983. — P. 185-194.
Предметный указатель
Автомат
— Бюхи 123
обобщенный 128
— конечный 123
Взаимодействующие процессы, независимые от данных 63 — раскрашивающие процессы 67 Вполне структурированная система помеченных переходов 27 автоматного типа 43 с сильной рефлексивной совместимостью 43 с сильной
совместимостью по возрастанию 27 с сильной
совместимостью по убыванию 40 с транзитивной
совместимостью по возрастанию 28 с транзитивной
совместимостью по убыванию 40 со строгой сильной
совместимостью 37 со строгой
транзитивной совместимостью 38
Граф диофантова полинома 92
Дерево
— достижимости 27
разрешимости логик 162 Диаграмма переходов 26
Задача проверки модели 113
Замкнутый ^-автомат 123
Идеал 21
Исполнение 26
Квазипорядок 18
правильный 19
Конус
верхний 21
нижний 21
Логика
— автоматная 122
линейного времени слабая 125
— Хеннеси-Милнера 116
- CTL 117
- СТЕА 119
- LTL 125
- LTLA 126
Логики
ветвящегося времени 116
линейного времени 124
Лемма
Диксона 23
Хигмана 24
Метод
— насыщения 29
проверки модели 113
Модальное //-исчисление 120
Мультимножество 17
Отношение
<п 22
вложения С 23
обнуления 82
потери 81
>s 81
классическое ^с/ 82
Отношение потери 81
ограниченной -^ч^ 82
субклассическое —ц 82
Отображение
Pred 26, 29
Succ 26
Покрывающее дерево системы переходов 34
Последовательное исполнение 26
Предбазис эффективный 30
Предпорядок 18
Проблема
включения 91, НО
Гильберта (десятая) 91
достижимости 28, 78, 100 нулевой конфигурации 111
управляющего состояния 32
неизбежности 36
ограниченности 39, 76, 83, 106
рекуррентного состояния 84
— тотальной
ограниченности 77, 109
эквивалентности 91, НО
останова 37
— поддержки управляющего состояния 36
покрытия 29
субпокрытия 42
Проверка модели
глобальная 116
локальная 116
Протокол АВР 54
Сети Петри 46
с обнуляющими дугами 50
Система
— переходов, независимых
от данных 60
помеченных переходов 26
с ненадежными каналами 51
Слабое вычисление 94
Сравнение логик 127 Счетчиковая машина
Минского 76
Счетчиковая машина
недетерминированная
102, 103
слабо вычисляющая полином НО
с обнулениями 82
с обнулениями и ошибками проверки нуля 90
с потерями 80, 81
с ошибками 90
слабо вычисляющая полином 95
сложения 95, НО
умножения 94, 109
Темпоральные свойства
систем переходов 138
разрешимые 138, 155
неразрешимые 148, 160
Уравнение диофантово 92
Формул замыкание 129
FIFO-канальная система 52
с ошибочными вставками 59
с потерями 53
Список обозначений
ВРР - с. 12.
LCS - с. 12.
Real-Time Automata — с. 12.
EVAS - с. 14.
CCS - с. 15.
SCP - с. 15.
ССР - с. 15.
FIFO-канальные системы — с. 15.
LTS = (S,T,^,so) - с. 26.
Glts — с. 26.
Succ(s) — с. 26.
Pred(s) — с. 26.
Predt(s) — с. 29.
Pred*(Z) = ^А - с. 29.
Pred^Z) = Zi+i = Л U Pred(A) - с. 30.
Pred(Ts) = QteT Predt(Ts) — с. 30.
pb(s) = min(Pred(fs)) — c. 30.
TrPredt(s) — c. 33.
trpb(s) — c. 34.
Succ*(so) — c. 38.
Succ=(Zf) = К U Succ(ZC) - c. 41.
lub — c. 49.
Snd — c. 55.
Rev — c. 55.
LTL - c. 114.
CTL - c. 114.
CTLA - c. 119.
LTLA - c. 126.
Научное издание
КУЗЬМИН Егор ВладимировичСОКОЛОВ Валерий Анатольевич
СТРУКТУРИРОВАННЫЕ СИСТЕМЫ ПЕРЕХОДОВ
Редактор И.Л. ЛегостаеваОригинал-макет автораОформление переплета: А.Ю. Алехина
Подписано в печать 08.02.2006. Формат 60x90/16.
Бумага офсетная. Печать офсетная. Усл. печ. л. 11.
Уч.-изд. л. 11,0. Тираж 300 экз. Заказ №
Издательская фирма «Физико-математическая литература»МАИК «Наука/Интерпериодика»
117997, Москва, ул. Профсоюзная, 90
E-mail: fizmat@maik.ru, fmlsale@maik.ru;
http://www.fml.ru
Отпечатано с готовых диапозитивовв ОАО «Московская типография № 6»115088, г. Москва, Ж-88, ул. Южнопортовая, 24
Е. V. KUZMIN
V. A. SOKOLOV
WELL-STRUCTURED TRANSITION SYSTEMS
In the book we consider a class of well-structured labeled transition systems, representing a formalism for modeling and analysis of correctness of parallel and distributed systems, such as computers and complexes with a parallel and distributed architecture, parallel programs, data transmission protocols, models of technological and business processes. Special attention is paid to the solvability of the classical problems of boundedness, reachability, covering, inevitability, equivalence, control state maintainability, halt problem, and other important semantic and temporal properties.
The book is designed for scientists, professors and students, who are interested in formal methods of modeling, analysis and verification of parallel and distributed systems.
Е. В. Кузьмин
В. А. Соколов
СТРУКТУРИРОВАННЫЕСИСТЕМЫ ПЕРЕХОДОВ
2006
УДК 519.68, 519.69 рл Издание осуществлено при поддержке
ББК В18Российского фонда фундаментальных
Kggисследований по проекту 05-07-95008д
Кузьмин Е. В., Соколов В. А. Структурированные системы переходов. — М.: ФИЗМАТЛИТ, 2006. — 176 с. — ISBN 5-9221-0692-9.
В монографии рассматривается класс вполне структурированных систем помеченных переходов, представляющих собой формализм для моделирования и анализа корректности параллельных и распределенных систем, таких как вычислительные машины и комплексы с параллельной и распределённой архитектурой, параллельные программы, протоколы передачи данных, модели технологических и бизнес-процес- сов, при этом основное внимание уделяется разрешимости классических проблем ограниченности, достижимости, покрытия, неизбежности, поддержки управляющего состояния, останова, эквивалентности и других важных семантических и темпоральных свойств.
Для научных работников, преподавателей, аспирантов и студентов, интересующихся формальными методами моделирования, анализа и верификации параллельных и распределенных систем.
Ил. 23. Библиогр. 90 назв.
© ФИЗМАТЛИТ, 2006
ISBN 5-9221-0692-9ISBN 5-9221-0692-9© Е. В. Кузьмин, В. А. Соколов, 2006
ISBN 5-9221-0692-9
ISBN 5-9221-0692-9
ОГЛАВЛЕНИЕ
Предисловие 5
Введение 11
Глава 1. Вполне структурированные системы помеченных переходов 17
Предварительные сведения 17
Мультимножества 17
Квазиупорядоченные множества 18
Правильный квазипорядок 19
Системы помеченных переходов 25
Определение 25
Вполне структурированные системы помеченных переходов 27
Метод насыщения 28
Покрывающее дерево системы переходов 34
Строгая совместимость 37
Совместимость по убыванию 40
Системы переходов автоматного типа 43
Примеры вполне структурированных систем помеченных переходов 46
Сети Петри 46
Системы с ненадежными каналами 51
Системы переходов, независимых от данных 60
Глава 2. Счетчиковые машины 75
Счетчиковые машины Минского 76
Счетчиковые машины с потерями 80
Счетчиковые машины с обнулениями и ошибками проверки на нуль 90
Недетерминированные счетчиковыемашины102
Глава 3. Темпоральные свойства систем переходов . . . 113
Метод проверки модели113
44Оглавление
4
4
Логики ветвящегося времени 116
Логики линейного времени 124
Сравнение логик 127
Темпоральные свойства систем переходов138
Системы переходов автоматного типа 138
Системы переходов с сильной и транзитивной совместимостью 155
Дерево разрешимости темпоральных логик 162
Заключение 163
Список литературы 166
Предметный указатель172
Список обозначений174