状态图的形式语义与自动证明1.pdfVIP

基于Kripke 结构的UML 状态图的形式语义和自动证明1 赵也非，杨宗源，谢谨奎 华东师范大学信息学院计算机系，上海 (200241) E-mail: derekzhaoecnu@ 摘 要：给UML 赋予形式化的动态语义，可以在软件生命过程早期，对系统进行自动推导 和证明。把模型检测应用于UML ，是在软件架构中引入形式化方法的一个重要方向。本文 使用UML 状态图表示变量值的迁移，而非系统状态的迁移，以处理不能穷举系统有限状态 自动机的情况；显式的提出了UML 状态图和Kripke 结构语义的映射关系；最后，用实验验 证了该理论的有效性。本文提出的映射规则是双射的，因此，既可以应用于设计阶段的软件 正向工程，又可以应用于实现阶段的逆向软件工程。 关键词：UML；状态图；Kripke 结构；模型检测；软件架构 中图分类号：TP311.5 1. 引言 UML(Unified Modeling Language)是一种图形化的面向对象建模语言，包括类图，对象 图，状态图，序列图，构件图等，可以描述系统的静态拓扑结构和动态行为。现在UML ([1], [2])已经成为工业界事实的标准建模语言。但是，UML 是一种元模型，只有静态语义，没有 形式化的动态语义，不能对系统进行自动推理和证明。 模型检测([3], [4])技术使用时态逻辑描述系统属性，使用Kripke 结构表示系统状态空间， 可以自动的穷举证明系统属性是否在状态空间上成立。现在模型检测技术已经广泛应用于硬 件验证，通信协议分析，临界安全系统验证等。但是 Kripke 结构的抽象层次较低，模型检 测通常是以文本（代码）的形式，出现在系统实现阶段，而非设计阶段。 近年来，把模型检测应用于软件架构，已成为一个重要方向。P. Inverardi([5],[6])在设计 阶段引入类UML 图符，构造UML 图符到ADL 的映射，通过层层模型精化，转换为SPIN 代码。该理论已形成一套框架CHARMY，应用于软件设计阶段。V.S.W. Lam([7])提出，把 UML 状态图转换为pi-calculus ，再根据LTS 结构到Kripke 结构的映射关系，将其转换为SPIN 代码。文献([8],[9],[10])首先给UML 状态图、活动图赋予操作语义，然后将其转换为模型检 测代码。这些研究的主要思路是：首先给出UML 图符的操作语义，然后构造系统状态迁移 图，最后生成模型检测代码。 本文的研究内容和意义在于： (1) UML 状态图的某些子集和Kripke 结构之间，具有隐式的映射关系。本文明确的给 出了定义和映射规则，显式的提出了UML 状态图和Kripke 结构之间一对一的映射关系，给 UML 状态图赋予了形式化语义。 (2) 在把模型检测应用于软件架构的研究工作中，通常把UML 状态图（序列图等）的 状态进行泛化处理，使用一个变量记录系统的状态迁移，在很多情况下是有效的。但是，在 不能显式的画出系统的有限状态机时，例如摆渡问题，该方法无效。本文用UML 状态图表 示变量值的迁移，而非状态的迁移，解决了不能穷举所有系统状态的问题。 (3) 实现了UML 状态图到Kripke 结构语义的映射之后，使用时态逻辑描述系统的关键 属性。模型检测器可以自动证明该系统属性是否在系统状态空间上成立。 1 本课题得到国家自然科学基金 ；高等学校博士点基金(20060269002); 华东师范大学2007 年优 秀博士研究生培养基金的资助。 - 1 - (4) 本文提出的理论，不但可以应用于软件正向工程，即用UML 状态图以图形化的方 法进行系统设计，再根据映射规则，自动生成 Kripke 结构语义；还可以应用于软件逆向工 程，即已知系统的Kripke 结构语义，可以将其自动转换为UML 状态图，呈现给用户直观的 图形化设计方案。 本文的结构是：第2 节给出了Kripke 结构的形式化描述，NuSMV 输