[论文解读] MITL Model Checking via Generalized Timed Automata and a New Liveness Algorithm

S. Akshay, Paul Gastin+2 more|arXiv (Cornell University)|Jan 1, 2024

Formal Methods in Verification被引用 1

一句话总结

本文提出一种新颖的、直接从度量区间时态逻辑（MITL）到广义时序自动机（GTA）的转换方法，利用未来时钟原生编码未来模态的‘猜测-验证’机制。通过利用GTA对未来时钟的支持，并引入一种新型基于区域的活锁检测算法，绕过因对角约束和未来时钟导致的有限时间抽象 bisimulation 缺失问题，该方法在状态复杂度上相比现有最佳方法实现了指数级降低，尤其在时序直到模态上表现显著。

ABSTRACT

The translation of Metric Interval Temporal Logic (MITL) to timed automata is a topic that has been extensively studied. A key challenge here is the conversion of future modalities into equivalent automata. Typical conversions equip the automata with a guess-and-check mechanism to ascertain the truth of future modalities. Guess-and-check can be naturally implemented via alternation. However, since timed automata tools do not handle alternation, existing methods perform an additional step of converting the alternating timed automata into timed automata. This de-alternation step proceeds by an intricate finite abstraction of the space of configurations of the alternating automaton. Recently, a model of generalized timed automata (GTA) has been proposed. The model comes with several powerful additional features, and yet, the best known zone-based reachability algorithms for timed automata have been extended to the GTA model, with the same complexity for all the zone operations. We provide a new concise translation from MITL to GTA. In particular, for the timed until modality, our translation offers an exponential improvement w.r.t. the state-of-the-art. Thanks to this conversion, MITL model checking reduces to checking liveness for GTAs. However, no liveness algorithm is known for GTAs. Due to the presence of future clocks, there is no finite time-abstract bisimulation (region equivalence) for GTAs, whereas liveness algorithms for timed automata crucially rely on the presence of the finite region equivalence. As our second contribution, we provide a new zone-based algorithm for checking Buchi non-emptiness in GTAs, which circumvents this fundamental challenge.

研究动机与目标

• 为高效将MITL公式转换为时序自动机，特别是针对未来模态，提供解决方案。
• 克服现有方法依赖交替自动机及昂贵的去交替化步骤的局限性。
• 为GTA设计一种活锁检测算法，以应对因对角约束和未来时钟导致的有限时间抽象 bisimulation 缺失问题。
• 提供一种直接、简洁的MITL到GTA的转换方法，避免中间交替自动机构造。
• 与现有方法（如MightyL）相比，尤其在时序直到模态上，实现自动机规模的指数级提升。

提出的方法

• 利用GTA中的未来时钟原生建模MITL未来模态的‘猜测-验证’机制，其中时钟用于预测未来事件发生的时间，若事件未发生则超时。
• 设计一种直接从MITL到GTA的转换方法，无需经过交替自动机，从而避免先前方法中所需的复杂有限抽象步骤。
• 提出一种针对GTA中Büchi非空性问题的新型基于区域的活锁检测算法，通过为对角约束量身定制的新区域抽象，绕过有限时间抽象 bisimulation 的缺失。
• 通过MITL公式自动机与活锁监控自动机之间的同步产品构造，验证活锁性质。
• 采用排列机制管理活锁监控中的时钟重命名，通过仅追踪时钟之间的相对顺序，减少状态爆炸。
• 应用红/蓝/黑三色转换机制，处理复杂的定时检查，包括义务的延迟释放和动态时钟重分配。

实验结果

研究问题

• RQ1 能否在GTA中利用未来时钟，无需交替自动机，直接且简洁地编码MITL未来模态的‘猜测-验证’机制？
• RQ2 尽管缺乏有限时间抽象 bisimulation，是否仍可为GTA设计一种基于区域的活锁检测算法？
• RQ3 所提出的MITL到GTA的转换方法是否在自动机规模上相比现有最佳方法有显著减少？
• RQ4 使用未来时钟和直接构造方法，对包含时序直到模态的MITL公式的模型检测复杂度有何影响？
• RQ5 所提出的活锁算法能否处理GTA中因未来时钟交互而产生的对角约束？

主要发现

• 所提出的MITL到GTA转换方法在时序直到模态上相比现有最佳方法实现了指数级的状态复杂度提升，尤其体现在最终自动机的状态数量上。
• 该构造是直接的，避免了交替自动机的中间步骤及其后续的去交替化过程，简化了整体转换流程。
• 为GTA设计的新型活锁检测算法成功绕过了因缺乏有限时间抽象 bisimulation 而带来的根本障碍，通过引入一种新型基于区域的区域抽象实现。
• 公式 p UI q 的最终自动机最多包含 6k 个状态，其中 k = 1 + ⌈b/(c−b)⌉，相比先前方法有显著减少。
• 通过状态组合追踪时钟排列，该方法保持了可管理的状态空间，尽管存在 k 个未来时钟，状态爆炸仍被限制在 O(k²) 以内。
• 该方法实现了MITL模型检测通过GTA的清晰、模块化构造，通过未来时钟显式处理定时约束和未来事件预测。