Temporale Logik der Aktionen

Die Temporale Logik der Aktionen (TLA, Vorlage:EnS) wurde von Leslie Lamport entwickelt. Sie baut zum einen auf der Temporalen Logik (engl. Vorlage:Lang) und zum anderen auf der Logik der Aktionen (engl. Vorlage:Lang) auf, ist folglich im Ansatz eine Verknüpfung einer Erweiterung der Aussagenlogik durch die Temporale Logik mit der Sprache Logik der Aktionen, in der sich Prädikate, Zustandsfunktionen und Aktionen beschreiben lassen. Es handelt sich um eine Variante der von Amir Pnueli eingeführten temporalen Logik für Programme.

Die Temporale Logik der Aktionen wird in der Informatik zur Spezifikation, Argumentation und Verifikation von Systemen (z. B. Programmen) verwendet. Eine Spezifikation in TLA ist eine logische Formel, die jedes mögliche und korrekte Verhalten eines Systems beschreibt. Anhand dieser logischen Formel können Systeme auf unerwünschte und gewünschte Eigenschaften geprüft werden.

Logik der Aktionen

Die Logik der Aktionen in der theoretischen Informatik beschäftigt sich mit der Korrektheit von Ausführungen von Computerprogrammen und ermöglicht die Untersuchung der Korrektheit von Programmen.

Notationsgrundlagen

• Sei $F$ ein syntaktisches Objekt, dann ist $[[F]]$ seine semantische Bedeutung.
• $\widehat{=}$ ist eine andere Schreibweise für $:=$ und bedeutet „gleich per definitionem“.
• $s[[v]]/v$ bedeutet, dass $v$ durch $s[[v]]$ ersetzt wird.

Variablen, Werte und Zustände

Die Logik der Aktionen verwendet die folgenden drei Klassen:

$\mathbf{\text{Var}}$ – die Klasse aller Variablennamen

$\mathbf{\text{Val}}$ – die Klasse aller möglichen Werte für die Variablen (z. B. 10, „string“, $\mathrm{True}$)

$\mathbf{\text{St}}$ – die Klasse aller möglichen Zustände

Ein Zustand ist eine Abbildung $s:\mathbf{\text{Var}}\to \mathbf{\text{Val}},x\mapsto s(x)$, das heißt, der Variablen $x$ wird der Zustand $s(x)$ zugewiesen. Die Zustände beschreiben die Semantik. Man verwendet $s[[x]]$ statt $s(x)$. Mit $[[x]]$ bezeichnet man somit die Abbildung $[[x]]:\mathbf{\text{St}}\to \mathbf{\text{Val}}$.

Somit ist die Schreibweise $s[[x]]$ in polnischer Notation und bedeutet Anwendung von $s$.

Zustandsfunktion

Eine Zustandsfunktion (engl. state function) ist ein nicht-boolescher Ausdruck aus Variablen und Konstanten, zum Beispiel $f:=x^2+y+4$, dazu gehören auch Variablen $x$ (da eine Variable als die Identitätsabbildung $x\mapsto x$ interpretiert werden kann). Der Ausdruck $[[f]]$ ist dann die Abbildung $[[f]]:\mathbf{\text{St}}\to \mathbf{\text{Val}},s\mapsto s[[f]]$, das heißt, $[[f]]$ oder $[[x^2+y+4]]$ ist eine Abbildung, die dem Zustand $s$ den Wert ${(s[[x]])}^2+s[[y]]+4$ zuordnet. Die Notation $s[[f]]$ bezeichnet den Wert, den $[[f]]$ dem Zustand $s$ zuordnet.

Die semantische Definition von $s[[f]]$ lautet

$s[[f]]\widehat{=}f(\mathrm{\forall }v:s[[v]]/v)$.

Der Ausdruck $f(\mathrm{\forall }v:s[[v]]/v)$ bedeutet somit den Wert von $f$, wenn man alle $v$ durch $s[[v]]$ ersetzt.

Zusammenfassend:

Zustand	$s$	$\mathbf{\text{Var}}\to \mathbf{\text{Val}},x\mapsto s(x)=:s[[x]]$
Zustandsfunktion	$f$	$x^2+y+4$
Semantik	$[[f]]$	$\mathbf{\text{St}}\to \mathbf{\text{Val}},s\mapsto s[[f]]=(s[[x]]{)}^2+s[[y]]+4$

Zustandsprädikat

Ein boolescher Ausdruck $P$ aus Variablen und Konstanten wird Zustandsprädikat (oder kurz Prädikat) genannt, ein Beispiel ist der Ausdruck $x=3+y$. Mit $[[P]]$ bezeichnet man die Abbildung $[[P]]:\mathbf{\text{St}}\to \mathrm{Booleans}$ und $s[[P]]$ ordnet entweder $\mathrm{True}$ oder $\mathrm{False}$ dem Zustand $s$ zu. Wenn $s[[P]]=\mathrm{True}$ gilt, dann sagt man $s$ erfüllt das Prädikat $P$.

Aktion und Schritte

Eine Aktion $𝒜$ ist ein boolescher Ausdruck, der die Beziehung zwischen einem alten Zustand $s$ und einem neuen Zustand $t$ beschreibt. Die Aktion besteht aus „alten Variablen“ und „neuen Variablen“, wobei letztere mit einem ${\displaystyle }$ markiert sind. Zum Beispiel ist $x^{\prime }+2=y$ eine Aktion, die sagt, dass $y$ im alten Zustand um $2$ größer ist als $x$ im neuen Zustand.

Der Ausdruck $[[𝒜]]$ beschreibt die Beziehung zwischen zwei Zuständen, das heißt einen binären Operator, der den beiden Zuständen $s,t$ einen booleschen Wert $s[[𝒜]]t$ zuweist, dabei wird per definitionem links der alte Zustand und rechts der neue Zustand geschrieben. Die semantische Bedeutung $s[[𝒜]]t$ von $𝒜$ erhält man, indem man $v$ durch $s[[v]]$ und $v^{\prime }$ durch $t[[v]]$ ersetzt. Ist $s[[𝒜]]t=\mathrm{True}$, dann nennt man $s,t$ einen $𝒜$-Schritt (engl. $𝒜$-step).

Der Ausdruck $s[[y=x^{\prime }+1]]t$ bedeutet somit das Gleiche wie der boolesche Ausdruck $s[[y]]=t[[x]]+1$.

Die semantische Definition von $s[[𝒜]]t$ lautet

$s[[𝒜]]t\widehat{=}𝒜(\mathrm{\forall }v:s[[v]]/v,t[[v]]/v^{\prime })$.

Variablen die unterschiedliche Werte in verschiedenen Zuständen besitzen können, werden flexible Variablen (engl. flexible variables) genannt. Variablen die konstant bleiben (aber auch unbekannt sein könne) werden rigide Variablen (engl. rigid variables) genannt. Beispielsweise sei $x$ eine flexible Variable, dann besitzt die Aktion

$\mathrm{\exists }m\in \mathbb{N}:m{x}^{\prime }=n+x$

zwei rigide Variablen $m,n$, die nicht verändert werden.

Prädikat als Aktion

Ein Prädikat kann als Aktion ohne Variablen mit ${\displaystyle }$ verstanden werden. Die Aktion $s[[P]]t$ ist gleich dem booleschen Ausdruck $s[[P]]$ für alle $s,t$. Für Zustandsfunktionen und Prädikate $F$ definiert man $F^{\prime }$ als den Ausdruck, den man erhält, wenn man alle Variablen durch deren neue Variable ersetzt, das heißt also

$F^{\prime }\widehat{=}F(\mathrm{\forall }v:v^{\prime }/v)$.

Des Weiteren ist $s[[P^{\prime }]]t$ der gleiche Ausdruck wie $t[[P]]$, für alle Zustände $s,t$.

Beweisbarkeit und Gültigkeit

Eine Aktion $𝒜$ ist gültig (engl. valid), geschrieben $\models 𝒜$ (siehe Tautologie), falls jeder Schritt ein $𝒜$-Schritt ist, das heißt also, $s[[𝒜]]t$ ist $\mathrm{True}$ für alle $s,t\in \mathbf{\text{St}}$. Die semantische Definition lautet

$\models 𝒜\widehat{=}\mathrm{\forall }s,t\in \mathbf{\text{St}}:s[[𝒜]]t$

und für ein Prädikat $P$

$\models P\widehat{=}\mathrm{\forall }s\in \mathbf{\text{St}}:s[[P]]$.

Ein Beispiel für eine gültige Aussage ist

$(x^{\prime }+y\in \mathbb{N})⟹(x^{\prime }+y\ge -x^{\prime }+-y)$.

Beweisbare Formeln $F$ werden wie in der mathematischen Logik mit $⊢F$ notiert (siehe Ableitung).

Enabled-Prädikate

Sei $𝒜$ eine Aktion, dann ist $Enabled𝒜$ ein Prädikat, das genau dann für einen Zustand wahr ist, falls es in dem Zustand möglich ist, einen $𝒜$-Schritt auszuführen. Die semantische Definition lautet

$s[[Enabled𝒜]]\widehat{=}\mathrm{\exists }t\in \mathbf{\text{St}}:s[[𝒜]]t$

für jeden Zustand $s$.

Temporale Logik

Die temporale Logik ist ein System von Regeln und Symbolen, durch die man zeitliche Abläufe erfassen kann. Die Semantik der temporalen Logic baut auf „Verhalten“ (engl. behaviors) auf, wobei damit eine unendliche Folge von Zuständen gemeint ist.

Temporale Formeln

Temporale Formeln bestehen aus elementaren Formeln sowie booleschen Operatoren und dem unären Operator $◻$, der „immer“ (engl. always) oder „global“ (engl. global) bedeutet. Mit $\sigma [[F]]$ wird der boolesche Ausdruck bezeichnet, den das $F$ dem Verhalten $\sigma$ zuweist. Mit $⟨s_0,s_1,\dots ⟩$ wird das Verhalten bezeichnet, das im Zustand $s_0$ beginnt. Man sagt $\sigma$ erfüllt $F$ genau dann, wenn $\sigma [[F]]=\mathrm{True}$.

Da alle booleschen Ausdrücke durch $\wedge$ und $\mathrm{\neg }$ beschrieben werden können, genügt es, die Ausdrücke $[[\mathrm{\neg }F]],[[F\wedge G]]$ und $[[◻F]]$ zu definieren. Die semantischen Definitionen sind somit

$\sigma [[F\wedge G]]\widehat{=}\sigma [[F]]\wedge \sigma [[G]]$

$\sigma [[\mathrm{\neg }F]]\widehat{=}\mathrm{\neg }\sigma [[F]]$

$⟨s_0,s_1,\dots ⟩[[◻F]]\widehat{=}\mathrm{\forall }n\in \mathbb{N}:⟨s_n,s_{n+1},s_{n+2},\dots ⟩[[F]],$

wobei der erste Ausdruck bedeutet, dass ein Verhalten $F\wedge G$ erfüllt, falls es beide Formeln $F$ und $G$ erfüllt. Der zweite Ausdruck bedeutet, dass das Verhalten $\mathrm{\neg }F$ erfüllt, wenn es $F$ nicht erfüllt. Die linke Seite des dritten Ausdruckes $⟨s_0,s_1,\dots ⟩[[◻F]]$ bedeutet, dass die Formel $F$ ab Zustand $s_0$ gültig ist. Das heißt, die letzte Definition sagt, dass $F$ immer gültig ist (da es per Induktionsschritt definiert ist).

Schlussendlich-Operator

Die Formel $\mathrm{\neg }◻\mathrm{\neg }F$ bedeutet, dass $F$ nicht immer falsch ist und wird mit $◊F$ abgekürzt und schlussendlich (engl. eventually) genannt:

$◊F\widehat{=}\mathrm{\neg }◻\mathrm{\neg }F$

Die Formel $◊◻F$ bedeutet, dass $F$ schlussendlich immer wahr ist.

Gültigkeit

Eine temporale Formel $F$ ist gültig, falls jedes Verhalten die Formel erfüllt:

$\models F\widehat{=}\mathrm{\forall }\sigma \in {\mathbf{\text{St}}}^{\mathrm{\infty }}:\sigma [[F]]$

Temporale Logik der Aktionen

Die temporale Logik der Aktionen erhält man, wenn temporale Formeln Aktionen sein können. Die Formeln der TLA bestehen somit aus den logischen Operatoren sowie dem temporalen Operator $◻$.

Ein einfaches Beispiel

Gegeben sei ein Algorithmus, der im Zustand $x=0$ und $z=0$ beginnt und dann nichtdeterministisch entweder $x$ inkrementiert und $z$ dekrementiert, oder umgekehrt. Als TLA würde das so aussehen:

$Ini{t}_{\varphi }\widehat{=}(x=0)\wedge (z=0)$

${𝒜}_1\widehat{=}(x^{\prime }=x+1)\wedge (z^{\prime }=z-1)$

${𝒜}_2\widehat{=}(x^{\prime }=x-1)\wedge (z^{\prime }=z+1)$

$𝒜\widehat{=}{𝒜}_1\vee {𝒜}_2$

$\varphi \widehat{=}Ini{t}_{\varphi }\wedge ◻𝒜$

Dabei bezeichnet $\varphi$ eine Formel, $Ini{t}_{\varphi }$ den Initialzustand und $𝒜$ eine Aktion.

Stotternde Schritte

Als stotternde Schritte (engl. stuttering steps) werden Schritte bezeichnet, die das Programm pausieren. In dem Beispiel oben würde das bedeuten, dass $x$ und $z$ nicht verändert werden. Ein solcher Schritt lässt sich zum Beispiel so implementieren:

$Ini{t}_{\varphi }\widehat{=}(x=0)\wedge (z=0)$

${𝒜}_1\widehat{=}(x^{\prime }=x+1)\wedge (z^{\prime }=z-1)$

${𝒜}_2\widehat{=}(x^{\prime }=x-1)\wedge (z^{\prime }=z+1)$

${𝒮}_1\widehat{=}(x^{\prime }=x)\wedge (z^{\prime }=z)$

$𝒜\widehat{=}{𝒜}_1\vee {𝒜}_2$

$\varphi \widehat{=}Ini{t}_{\varphi }\wedge ◻(𝒜\vee {𝒮}_1)$

Um stotternde Schritte einfach zu beschreiben, führt man weitere Notationen ein. Mit der Notation $⟨x^{\prime },z^{\prime }⟩=⟨x,z⟩$ wird $(x^{\prime }=x)\wedge (z^{\prime }=z)$ bezeichnet und statt $⟨x^{\prime },z^{\prime }⟩$ zu schreiben, notiert man einfach $⟨x,z{⟩}^{\prime }$. Für eine Zustandsfunktion $f$ und eine Aktion $𝒜$ definieren wir:

$[𝒜{]}_f\widehat{=}𝒜\vee (f^{\prime }=f)$

Dann bedeutet $[ℳ{]}_{⟨x,z⟩}$ somit:

$[ℳ{]}_{⟨x,z⟩}=ℳ\vee (⟨x,z{⟩}^{\prime }=⟨x,z⟩)=ℳ\vee ((x^{\prime }=x)\wedge (z^{\prime }=z))=ℳ\vee {𝒮}_1$

Somit lassen sich die beiden Zeilen

${𝒮}_1\widehat{=}(x^{\prime }=x)\wedge (z^{\prime }=z)$

$\varphi \widehat{=}Ini{t}_{\varphi }\wedge ◻(𝒜\vee {𝒮}_1)$

vereinfachen zu

$\varphi \widehat{=}Ini{t}_{\varphi }\wedge ◻[𝒜{]}_{⟨x,z⟩}$.

Syntax und Semantik

Für die TLA gelten die Symbole der booleschen Algebra sowie alle oben definierten Ausdrücke und zusätzlich

${[𝒜]}_f$	$\widehat{=}$	$𝒜\vee (f^{\prime }=f)$
${⟨𝒜⟩}_f$	$\widehat{=}$	$𝒜\wedge (f^{\prime }\ne f),$

wobei $𝒜$ eine Aktion ist, $f$ eine Zustandsfunktion ist und durch Anwendung logischer Gesetze $(𝒜\wedge (f^{\prime }\ne f))=\mathrm{\neg }(\mathrm{\neg }𝒜\vee (f^{\prime }=f))$ gilt.

Für die Formel-Syntax gilt:

$⟨Formel⟩$

$\widehat{=}$

$⟨Formel⟩\wedge ⟨Formel⟩$ $|$ $⟨Formel⟩\vee ⟨Formel⟩$ $|$ $\mathrm{\neg }⟨Formel⟩$ $|$ $◻⟨Formel⟩$ $|$ $◊⟨Formel⟩$ $|$ $⟨Pr\ddot{a}dikat⟩$ $|$ $◻{[Aktion]}_{⟨f⟩}$ $|$ $◻{⟨Aktion⟩}_{⟨f⟩}$

Das Symbol $|$ ist als Trennungszeichen zu verstehen.

Verhaltenseigenschaften

Eine Sicherheitseigenschaft (engl. safety property) garantiert, dass unerwünschte Zustände nicht passieren. Zum Beispiel ist der durch $Ini{t}_{\varphi }$ spezifizierte Start eine Sicherheitseigenschaft.

Eine Lebendigkeitseigenschaft (engl. liveness property) garantiert, dass erwünschte Zustände erreicht werden, was mit dem $◊◻𝒜$ formuliert werden kann. Möchte man eine Fairness und dass zwei Eigenschaften unendlich Mal wiederholt werden, so verwendet man stattdessen $◊◻{𝒜}_1\wedge ◊◻{𝒜}_2$. Somit würde man im obigen Beispiel Folgendes erhalten:

$\varphi \widehat{=}Ini{t}_{\varphi }\wedge ◻[𝒜{]}_{⟨x,z⟩}\wedge ◊◻{𝒜}_1\wedge ◊◻{𝒜}_2$

Schwache und starke Fairness

In einem nebenläufigen System unterscheidet man zwischen schwacher und starker Fairness.

Schwache Fairness $\mathrm{WF}$ (engl. weak fairness, justice) bedeutet, dass eine Aktion unendlich oft ausgeführt werden muss, wenn ihre Ausführung ab einem bestimmten Zeitpunkt immer möglich ist.

Starke Fairness $\mathrm{SF}$ (engl. strong fairness, compassion) bedeutet, dass eine Aktion ausgeführt werden muss, wenn ihre Ausführung so oft möglich ist.

Ist ein Verhalten stark fair bezüglich einer Aktion, so ist es auch schwach fair für diese Aktion.

Siehe auch

• Formale Systeme
• Formale Semantik
• Formale Sprache

Literatur

• Leslie Lamport: The Temporal Logic of Actions. ACM Transactions on Programming Languages and Systems, Band 16, Mai 1994, S. 872–892 (PDF; 485 kB).
• Leslie Lamport: Introduction to TLA. Digital System Research Center, Palo Alto 1997 (PDF; 121 kB).

Weblinks

• Stephan Merz: Temporal logic guide (englisch).
• TLA+ – The way to specify. Community website on TLA+ and PlusCal (englisch).
• Leslie Lamport: The TLA+ Home Page (englisch).
• Patricia Ulmer: Vorlage:Webarchiv. (PDF; 413 kB). Proseminar-Ausarbeitung, TU München.
• Leslie Lamport: My Papers About TLA and TLA+.