Kiểm chứng tự động các hệ thờI gian thực xác suất

Kiểm chứng tự động các hệ thờI gian thực xác suất Kiểm chứng tự động các hệ thờI gian thực xác suất Kiểm chứng tự động các hệ thờI gian thực xác suất luận văn tốt nghiệp,luận văn thạc sĩ, luận văn cao học, luận văn đại học, luận án tiến sĩ, đồ án tốt nghiệp luận văn tốt nghiệp,luận văn thạc sĩ, luận văn cao học, luận văn đại học, luận án tiến sĩ, đồ án tốt nghiệp

ĐẠI HỌC QUỐC GIA HÀ NỘI TRƯỜNG ĐẠI HỌC CÔNG NGHỆ NGUYỄN ĐỨC THỌ KIỂM CHỨNG TỰ ĐỘNG CÁC HỆ THỜI GIAN THỰC XÁC SUẤT Ngành: Công nghệ thông tin Chuyên ngành: Kỹ thuật phần mềm Mã số: LUẬN VĂN THẠC SỸ CÔNG NGHỆ THÔNG TIN NGƯỜI HƯỚNG DẪN KHOA HỌC: TIẾN SỸ ĐẶNG VĂN HƯNG Hà Nội - 2016 LỜI CAM ĐOAN Tôi xin cam đoan cơng trình nghiên cứu tơi tìm hiểu, nghiên cứu, tham khảo tổng hợp từ tài liệu nghiên cứu trước làm theo hướng dẫn người hướng dẫn khoa học Phần nội dung đóng góp luận văn thực Các số liệu, kết nêu luận văn trung thực chưa cơng bố cơng trình khác, nội dung trích dẫn có tham chiếu đầy đủ Tơi xin chịu hồn tồn trách nhiệm lời cam đoan Nếu có điều sai trái, tơi xin chịu hình thức kỷ luật theo quy định nhà trường Tác giả Nguyễn Đức Thọ LỜI CẢM ƠN Đầu tiên xin gửi lời cảm ơn sâu sắc tới thầy TS.Đặng Văn Hưng, Bộ môn Kỹ thuật Phần mềm, Khoa Công nghệ Thông tin, Trường Đại học Công nghệ, Đại học Quốc gia Hà Nội, người định hướng đề tài tận tình hướng dẫn, bảo cho tơi suốt q trình thực luận văn tốt nghiệp Tơi xin trân trọng cảm ơn thầy cô Khoa Công nghệ Thông tin, Trường Đại học Công nghệ, Đại học Quốc Gia Hà Nội tận tình giảng dạy, hướng dẫn nghiên cứu khoa học cho suốt thời gian theo học trường trình làm luận văn Xin cảm ơn anh, chị, em bạn học viên môn Kỹ thuật Phần mềm, người giúp đỡ, động viên tinh thần chia sẻ kinh nghiệm quý báu giúp tơi vượt qua khó khăn, vướng mắc để hồn thành luận văn Mặc dù cố gắng, tin luận văn cịn nhiều thiếu sót có nhiều nội dung hồn thiện tốt Tơi mong nhận ý kiến đánh giá, phê bình góp ý thầy cô, anh chị bạn Trân trọng, Tác giả Nguyễn Đức Thọ MỤC LỤC LỜI CAM ĐOAN LỜI CẢM ƠN Danh mục ký hiệu chữ viết tắt Các ký hiệu Danh mục bảng Danh mục hình vẽ, đồ thị MỞ ĐẦU Chương TỔNG QUAN Chương CƠ SỞ KHOA HỌC CỦA ĐỀ TÀI 11 2.1 Xích Markov thời gian rời rạc (DTMC) 11 2.2 Quá trình định Markov (MDP) 17 2.3 Xích Markov thời gian liên tục (CTMC) 19 Chương KIỂM CHỨNG TỰ ĐỘNG CÁC PTA 20 3.1 Các định nghĩa cho PTA 20 3.2 Đặc tả tính chất cho PTA (properties specification for PTAs) 27 3.3 Các phương pháp kiểm chứng tự động PTA 30 3.3.1 Xây dựng đồ thị miền (region graph contruction) 31 3.3.2 Đồ thị miền biên (boundary region graph) 32 3.3.3 Phương pháp đồng hồ số (digital clock method) 33 3.3.4 Phương pháp đạt lùi (backward reachability) 34 3.3.5 Làm mịn trừu tượng với trò chơi ngẫu nhiên (abstraction refinement with stochastic games) 35 3.3.6 So sánh phương pháp kiểm chứng 36 3.3.7 Các cài đặt thực tế công cụ hỗ trợ 36 3.4 Công cụ kiểm chứng mơ hình PRISM 37 3.4.1 Giới thiệu công cụ PRISM 37 3.4.2 Sử dụng PRISM kiểm chứng tính chất PTA 38 Chương KIỂM CHỨNG MỘT SỐ PTA BẰNG PRISM 39 4.1 Kiểm chứng giao thức ABP 39 4.1.1 Giới thiệu giao thức bít luân phiên 39 4.1.2 Mơ hình hóa giao thức ABP PTA 41 4.2 Cài đặt hệ truyền tin ABP công cụ PRISM 44 4.2.1 Kết kiểm chứng đánh giá 47 4.2.1.1 Pmax = ? [F “finished”] 47 4.2.1.2 Pmax = ? [F “lost”] 48 4.3 Hệ điều khiển tự động đường ngang 52 4.3.1 Mơ hình hóa PTA 52 4.3.2 Cài đặt PRISM 56 4.3.3 Kết kiểm chứng 57 4.3.3.1 Kiểm chứng Pmax = ?[F “success”] 58 4.3.3.2 Kiểm chứng Pmax = ?[F “safe”] 58 4.3.3.3 Kiểm chứng Pmax = ?[F “jam”] 59 KẾT LUẬN 60 TÀI LIỆU THAM KHẢO 61 Danh mục ký hiệu chữ viết tắt Thuật ngữ, chữ viết tắt STT PTA DTMC CTMC MDP TA CTL PCTL PTCTL Diễn giải Probability Timed Automata Ơ tơ mát thời gian xác suất Discrete Time Markov Chain Xích Markov thời gian rời rạc Continuous Time Markov Chain Xích Markov thời gian liên tục Markov Decision Process Quá trình Quyết định Markov Timed Automata Ô tô mát thời gian Computation Tree Logic Cây logic tính tốn Probability Computation Tree Logic Cây logic tính tốn xác suất Probability Timed Computation Tree Logic Cây logic tính toán thời gian xác suất Các ký hiệu STT Ký hiệu ℒ ℕ ℝ Giá trị biểu diễn Tập nhãn gắn cạnh Tập số nguyên Tập số thực Tập số hữu tỉ, biểu diễn dạng a/b với a, b số nguyên ℚ  Quan hệ tập ⊨ Thỏa mãn điều kiện 𝒳 Tập đồng hồ PTA χ Ràng buộc thời gian PTA Danh mục bảng Bảng 4.1 : Cài đặt hệ thực thi ABP PRISM 45 Bảng 4.2 : Quy mơ tính tốn DATA = 10 30; RETRY = 49 Bảng 4.3 : Cài đặt hệ điều khiển đường ngang PRISM 56 Danh mục hình vẽ, đồ thị Hiǹ h 2.1: Markov chain 12 Hiǹ h 2.2 Minh họa MDP với trạng thái (s0, s1, s2) tập phân bố xác suất Steps (0-5) 18 Hình 3.1: Minh họa PTA 24 Hình 4.1: Các thành phần hệ thực thi giao thức bit luân phiên 39 Hình 4.2: Hoạt động Bên gửi/Bên nhận ABP 40 Hình 4.3: Biểu đồ mô tả trạng thái Bên gửi, Bên nhận 41 Hình 4.4: Biểu đồ trạng thái Nguồn gửi trình truyền tin 43 Hình 4.5: Biểu đồ trạng thái Bên gửi trình truyền tin 44 Hình 4.6: Biểu đồ trạng thái Bên nhận trình truyền tin 44 Hình 4.7: Pmax = ? [F "finished"] 48 Hình 4.8: Pmax = ? [F "lost"] 49 Hình 4.9: Pmax =? [F Việc lựa chọn trạng thái định phân bố xác suất steps, lựa chọn steps trạng thái phụ thuộc trạng thái mà khơng phụ thuộc vào trình trạng thái qua, trình định Markov MDP có tính chất Markov 18 0.1 s1 steps5 0.7 0.2 steps1 0.95 steps4 1.0 0.05 s0 0.3 0.5 Steps0 0.4 steps2 steps3 0.5 0.6 0.4 s2 0.3 Hình 2.2 Minh họa MDP với trạng thái (s0, s1, s2) tập phân bố xác suất Steps (0-5) Hình 2.2 minh họa MDP đơn giản với tập S gồm trạng thái s0, s1, s2, s0 trạng thái ban đầu, tập phân bố xác suất S gồm steps Tại bước dịch chuyển MDP, steps chọn, MDP chuyển sang trạng thái theo phân bố xác suất steps chọn Định nghĩa lập lịch (adversary) MDP ℳ hàm A ánh xạ hành trình hữu hạn ω ℳ tới phân bố xác suất A(ω) S cho A(ω) có giá trị trạng thái cuối ω Hành vi MDP ℳ với lập lịch chọn trước mơ tả xích Markov rời rạc DTMC PA, với trạng thái hành trình hữu hạn ℳ xác suất chuyển cho phân bổ xác suất A: Với hai hành trình hữu hạn ω, A(ω) ω’, ta có PA(ω, ω’) = A(ω)(s) ω’ có dạng ω → s trường hợp khác PA(ω, ω’) = Vì ta định nghĩa phân bố xác suất 𝑃𝑟𝑠𝐴 tập hành trình 𝑃𝑎𝑡ℎ𝑠𝐴 lập lịch A Các phát biểu xác suất liên quan tới MDP thường bao gồm giá trị định lượng lập lịch MDP, tính xác suất lớn xác suất nhỏ để quan sát kiện tập lập lịch Kiểm chứng tính chất MDP Logic tính tốn xác suất (PCTL - Probabilistic Computation Tree Logic) định nghĩa cho MDPs tương tự DTMC, với khác biệt ngữ nghĩa tham số hóa lớp Adv lập lịch tốn tử xác suất chứa định lượng tường minh 19 s ⊨ Adv 𝒫⋈ρ (∝) PrA{ω ∈ PathAs | ω ⊨ Adv ∝} ⋈ρ với lập lịch A ∈ Adv 2.3 Xích Markov thời gian liên tục (CTMC) Xích Markov DTMC q trình định Markov MDP mơ hình hóa thời gian rời rạc Xích Markov thời gian liên tục có trạng thái rời rạc, tham số thời gian tập ℝ≥0, không cho phép lựa chọn bất định Mỗi q trình chuyển đổi có độ trễ ngẫu nhiên phân bố theo cấp số nhân, đua điều kiện sử dụng để mô tả dịch chuyển trạng thái đồng thời kích hoạt Định nghĩa xích Markov thời gian rời rạc CTMC Theo [10], Chuỗi Markov thời gian rời rạc (gắn nhãn) C (S, s0, R, L), đó: - S tập hữu hạn trạng thái s0 trạng thái ban đầu - R: S x S → R≥0 ma trận tốc độ - L: S → 2AP nhãn mệnh đề logic với giá trị true trạng thái s E(s) = ∑s’∈S R(s,s’) biểu diễn xác suất thực chuyển dịch từ s t đơn vị thời gian – e-E(s).t Trong trường hợp R(s,s’) > với nhiều trạng thái s’, có đua điều kiện chuyển dịch từ s đến s’ để chọn chuyển dịch thực Do P(s,s’) biểu diễn xác suất chuyển s đến s’ bước chuyển với xác suất độ trễ việc chuyển s đến s’ cho độ trễ kết thúc trước độ trễ đến s’ khác Một hành trình CTMC chuỗi khơng rỗng s0t0s1t1s2t2… R(si, si+1) >0 ti ∈ ℝ≥0 với i ≥ Giá trị ti biểu diễn độ dài thời gian trạng thái si Việc phân tích xích CTMC thường dựa trạng thái tức thời thời gian cụ thể trạng thái kỳ vọng (trạng thái CTMC thời gian đủ lớn) Xác suất tức thời πs,t(s’) định nghĩa xác suất bắt đầu s, s’ thời điểm t Xác suất kỳ vọng πs(s’) định nghĩa giá trị limt→∞πs,t(s’) 20 Chương KIỂM CHỨNG TỰ ĐỘNG CÁC PTA Một hàm phân bổ xác suất rời rạc tập đếm Q hàm μ:Q→ [0,1] với ∑𝑞∈𝑄 𝜇(𝑞) = Với hàm μ:Q→ℝ≥0, định nghĩa Support(μ)={q∈Q | μ(q) > 0} Với tập đếm Q bất kỳ, Dist(Q) tập hàm μ:Q→[0,1] cho Support(μ) tập đếm được, μ giới hạn Support(μ) phân bố xác suất Với q∈Q gọi điểm phân bố q Gọi AP tập mệnh đề nguyên tử, ta giả sử mệnh đề cố định suốt tài liệu luận văn 3.1 Các định nghĩa cho PTA Cấu trúc thời gian xác suất (Timed Probabilistic Systems – TPS1) Một cấu trúc thời gian xác suất (TPS, gọi hệ thời gian xác suất) T (S, s0, Act, Steps, lab) S tập trạng thái (có thể vơ hạn), s0 ∈S trạng thái ban đầu, Act tập hữu hạn hành động, Steps:S x (Act  ℝ≥0) → Dist(S) hàm xác suất chuyển lab: S → 2AP hàm gắn nhãn Một TPS T trạng thái s0, s∈S, có lựa chọn không xác định trước việc thực thi hành động để thời gian trôi qua khơng hành động (letting time pass) a ∈ (Act  ℝ≥0) (là lý Steps(s,a) định nghĩa) Sau lựa chọn thực (một hành động cho khoảng thời gian trôi), trạng thái s’ chọn ngẫu nhiên theo phân bổ xác suất Steps(s,a) Ta giả thiết s∈S, ln có lựa chọn hành động để thời gian trôi Một chuỗi Markov định MDP M trường hợp đặc biệt TPS bỏ qua yếu tố thời gian hàm chuyển, ví dụ hàm chuyển có dạng StepsM: S x Act → Dist(S) Một đường TPS thể chuỗi hành động hệ thống, gồm định theo xác suất định không xác định (a0,μ0) ω= s0 → (a1,μ1) s1 → (a2,μ2) s2 → … Một số tài liệu gọi Timed Probabilistic Structures 21 Trong a2i∈ ℝ≥0 a2i+1 ∈Act với i∈ℕ Ký hiệu ω(i) trạng thái si thứ (i+1) ω tổng lũy kế thời gian đến trạng thái ω(i) xác định durω(i) ≝ Σ0≤j c}) = Với trạng thái s thuộc T Ta ký hiệu AdvT tập tất adversary có thời gian phân kỳ T Khi thực toán kiểm chứng với TPS, đặc tính xét kiểm chứng dễ với cấu trúc thưởng (reward structrure, gọi chi phí hay giá) Cấu trúc thưởng (reward structrure) Một cấu trúc thưởng TPS T=(S, s0, Act, Steps, lab) cặp r = (rS, rAct) rS: S→ℝ≥0 hàm thưởng trạng thái rAct: (SxAct)→ ℝ ≥0 hàm thưởng hành động Với cấu trúc thưởng r = (rS, rAct) hành động s, giá trị rS(s) xác định tốc độ (theo thời gian) mà giá trị thưởng tích lũy trạng thái 22 s Mặt khác, với trạng thái s hành động a, giá trị rAct(s,a) xác định giá trị phần thưởng có hành động a thực thi trạng thái s Một cách (a0,μ0) (a1,μ1) hình thức, với đường vơ hạn ω = s0 → s1 → …, phần thưởng tích lũy trình dịch chuyển ω từ trạng thái si đến si+1 xác định bởi: r(ω, i)≝ { 𝑟𝑆 (𝑠𝑖 ) 𝑎𝑖 𝑛ế𝑢 𝑎𝑖 ∈ ℝ≥0 (𝑡ươ𝑛𝑔 đươ𝑛𝑔 𝑖 𝑚𝑜𝑑 = 0) 𝑟𝐴𝑐𝑡 (𝑠𝑖 , 𝑎𝑖 ) 𝑡𝑟𝑜𝑛𝑔 𝑐á𝑐 𝑡𝑟ườ𝑛𝑔 ℎợ𝑝 𝑘ℎá𝑐 Một lựa chọn khác biểu diễn giá trị giải thưởng trạng thái giá trị giải thưởng thời điểm định Ví dụ áp dụng biểu diễn việc thể số lượng tin nằm hàng đợi thời điểm cụ thể Khi sử dụng cách diễn dịch này, giá trị thưởng theo hành động khơng xét tới Ơ tơ mát thời gian xác suất PTA Ơ tơ mát thời gian xác suất (PTA) mơ hình hóa thời gian theo cách ô tô mát thời gian (cổ điển) thực hiện, sử dụng đồng hồ Đồng hồ biến thuộc miền thời gian thực khơng âm, có giá trị tăng giá trị thời gian thực Trong phần tiếp theo, ta giả định có tập đồng hồ 𝒳 Một hàm v: 𝒳 →ℝ≥0 gọi giá trị đồng hồ, tập giá trị 𝒳 𝒳 đồng hồ ℝ≥0 Với v∈ℝ≥0 , t∈ℝ≥0 X  𝒳, gọi v+t giá trị đồng hồ X sau t thời gian kể từ, v[X:=0] tập giá trị đồng hồ, đồng hồ thuộc X đặt Tập ràng buộc thời gian tập 𝒳, ký hiệu CC(𝒳), định nghĩa cú pháp: χ::= true | x ≤ d | c≤x | x+c ≤ y+d |  χ | χ  χ Trong x, y ∈𝒳 c, d ∈ℕ Một giá trị thời gian v thỏa mãn ràng buộc thời gian χ, ký hiệu v⊨ χ, thay giá trị v vào biến đồng hồ tương ứng χ có giá trị true Tập giá trị thỏa mãn ràng buộc thời gian gọi vùng Các ràng buộc thời gian sử dụng để định nghĩa cú pháp PTA sử dụng đặc tả tính chất PTA Định nghĩa Một ô tô mát thời gian xác suất (PTA) T (L, l0, 𝒳, Act, inv, enab, prob, ℒ), đó: - L tập hữu hạn vị trí 23 - l0∈L vị trí ban đầu - 𝒳 tập hữu hạn đồng hồ, có giá trị thực khơng âm Act tập hữu hạn hành động - inv: L → CC(𝒳) hàm điều kiện ràng buộc - enab: L x Act → CC(X) tập điều kiện thực (các hành động) - prob: L x Act → Dist(2 x L) hàm xác suất chuyển - ℒ: L → 2AP hàm gắn nhãn, ánh xạ vị trí với tập mệnh đề logic Một trạng thái PTA cặp (l,v)  L x ℝӼ≥0 cho v ⊨ inv (l) Trong trạng thái (l,v) bất kỳ, khoảng thời gian tℝ≥0 trôi qua, hành động aAct thực thi Khi lựa chọn thời gian, giá trị t phải đảm bảo ràng buộc inv(l) thỏa mãn liên tục khoảng t thời gian Trạng thái PTA sau trình chuyển (l, v+t), để đơn giản, ký hiệu trạng thái (l,v) + t Trong trường hợp lựa chọn hành động thực hiện, hành động a chọn thỏa mãn điều kiện thực hiện, cụ thể điều kiện enab(l, a) thỏa mãn thời điểm v Khi hành động a chọn, tập đồng hồ reset vị trí chọn ngẫu nhiên theo phân bổ xác suất prob(l,a) Ta gọi thành phần (X, l’)(2xL) Ta giả sử PTA chuyển đến trạng thái thỏa mãn tiêu chuẩn, tức với trạng thái (l,v) hành động a cho v thỏa mãn enab(l,a), cạnh (X, l’)  edges(l,a) cho kết chuyển đến trạng thái hợp lệ, tức v[X:=0] ⊨ inv(l’) Để thỏa mãn điều kiện trên, bước chuyển PTA cần kiểm tra ràng buộc vị trí thỏa mãn điều kiện chuyển (l,v) Ngữ nghĩa PTA Cho P = (L, l0, 𝒳, Act, inv, enab, prob,ℒ) PTA Ngữ nghĩa PTA định nghĩa TPS (số trạng thái không giới hạn) TPS [P] = (S, s0, Act, StepsP, lab) đó: - S = {(l,v) ∈ L x ℝӼ≥0 | v⊨ inv(l) } s0 = (l0, {Ӽ0}), với {Ӽ0} trạng thái khởi đầu với tất đồng hồ thuộc Ӽ có giá trị 0; - Với (l,v) ∈ S a∈Act  ℝ≥0, ta có StepsP((l,v),a) =  nếu: 24 + Dịch thời gian: a∈ℝ≥0, v+t’⊨ inv(l) với 0≤t’≤a,  = μ(l,v+a) + Thực thi hành động: a∈Act, v⊨ enab(l,a) với (l’,v’)∈S: (l’,v’) = {|prob(l,a)(X,l’)| X∈2  v’ = v[X:=0]} - Với (l,v) ∈S ta có lab (l,v) = ℒ (l) Ví dụ PTA Trong Hình 3.1, PTA thực mơ hình giao thức mạng đơn giản Các bước chuyển đường nối trạng thái Phân bố xác suất thể đường nối xuất phát từ nơi, giá trị xác suất thể đường nối PTA có đồng hồ x y, giá trị Tại vị trí bắt đầu, hệ thống đợi tối thiểu đơn vị thời gian (thể điều kiện x>=1 đường nối thực thi hành động Gửi) tối đa đơn vị thời gian (thể điều kiện x 100), hệ thống ngừng gửi việc gửi tin thất bại Bên gửi (S): Bên gửi nhận gói liệu vào gửi sang Bên nhận theo giao thức ABP Mỗi lần gửi tin, có số tin khơng đến Bên nhận, đến giá trị alternating bit không khớp, gọi tin không thành công Tỉ lệ tin không thành công gửi thể tham số LOST_DATA_RATE Sau nhận gói tin từ Nguồn liệu, thời gian S cần xử lý gửi tin thời gian 1-2 (1 x (s' = 1) & (x' = 0) & (retries' = 0); [transmit_data] (s = 1) & (x > 1) -> (s' = 2); [transmit_ack] (s = 2) & (x > 1) -> (1 - LOST_ACK_RATE): (s' = 3) & (x' = 0) + LOST_ACK_RATE: (s' = s); [success] (s = 3) & (x > 1) -> (s' = 0) & (x' = 0); [timeout] (s = 2) & (x > ACK_TIMEOUT) -> (s' = 4) & (x' = 0); 46 [retry] (s = 4) & (retries < RETRY) -> (s' = 1) & (x' = 0) & (retries' = retries + 1); [msg_lost] (s = 4) & (retries = RETRY) -> (s' = 5); [lost] (s = 5) & (x > 1) -> (s' = 0); endmodule module receiver r: [0 2] init 0; // 0: idle, ready for data // 1: received data // 2: send ack y: clock; invariant (r = => y y (1 - LOST_DATA_RATE): (r' = 1) & (y' = 0) + LOST_DATA_RATE: (r' = r); [] (r = 1) & (y > 1) -> (r' = 2) & (y' = 0); [transmit_ack] (r = 2) & (y > 1) -> (r' = 0); endmodule module datasource ds:[0 5] init 0; // 0: init // 1: nextData // 2: waiting for sender to send message // 3: success, urgent location // 4: failed // 5: finished z: clock; z1: clock; data:[0 DATA]; invariant (ds = => z z z1 = 0) & (ds = => z1 z1 z1 1) -> (ds' = 1) & (z' = 0) & (data' = DATA); //gui ban tin xuong sender [newdata] (ds = 1) -> (ds' = 2) & (data' = data - 1); //trang thai gui tin cong [success] (ds = 2) -> (ds' = 3) & (z1' = 0); //gui cong het cac ban tin 47 [] (ds = 3) & (data = 0) -> (ds' = 5) & (z1' = 0); //van ban tin, chuyen ban tin tiep theo [] (ds = 3) & (data > 0) -> (ds' = 1); //mat ban tin nao day [lost] (ds = 2) -> (ds' = 4) & (z1' = 0); //time out [](ds = | ds = 2) & (z > TIMEOUT) -> (ds' = 4) & (z1' = 0); // change to init, for next data //[](ds = | ds = 5) & (z1 > 0)-> (ds' = 0); endmodule label "finished" = ds = 5; label "failed" = ds = 4; label "lost" = s = 5; Các tính chất hệ kiểm chứng với đặc điểm xác định trước hệ thống: - - - Xác suất lớn để hồn thành việc truyền liệu thành cơng bao nhiêu? Pmax = ? [ F “finished”] Xác suất lớn truyền liệu thành công T thời gian bao nhiêu? Pmin = ? [ F true; // thoat endmodule module controller sc:[0 3] init 0; // 0: ko co tau, idle // 1: nhan tin hieu tau vua den // 2: Vua gui lenh gac // 3: Nhan tin hieu tau vua thoat z: clock; //invariant 57 // (sc = => z < 1) //endinvariant [approach] (sc = 0) -> (1-SFR): (sc' = 1) & (z' = 0) + SFR: (z'= 0); [lower] (sc = 1) & (z < 1) -> (sc' = 2); [exit] (sc = 2) -> (1-SFR): (sc' = 3) & (z' = 0) + SFR: (sc' = 2); [raise] (sc = 3) & (z < 1) -> (sc' = 0); [raise] (sc = 3) & (z = 1) -> (sc' = 0); // endmodule module gate sg:[0 3] init 0; //0: khong co tau, gac mo //1: vua nhan lenh Ha tu controller //2: Da thuc hien chan gac, gac dong //3: Da nhan lenh nang gac tu controller //4: Gac tau mo cong, ket thuc qua trinh tau di qua jam: bool init false; y: clock; [lower] (sg = 0) -> (1-CFR): (sg' = 1) & (y' = 0) + CFR: (y' = 0);// nhan lenh chan [down] (sg = 1) & (y < 1) -> (1 - GFR): (sg' = 2) + GFR: (sg' = 1); //chan duoc xuong thoi gian (1-CFR):(sg' = 3) & (y' = 0) & (jam' = false) + CFR: (sg' = 2) & (jam' = true); //nhan lenh nang chan, xac suat loi Controller ko gui dc lenh [up] (sg = 3) & (y < 2) & (y > 1) -> (1-GFR): (sg' = 0) + GFR: (sg' = 3) & (jam' = true); //chan dc nang thoi gian 1