CC BY
55
Труды ИСП РАН, том 27, вып. 6, 2015 г.
Проверяющие эксперименты с ненаблюдаемым древовидными автоматами
Н.Г. Кушик <ngkushik@gmail.com>
Томский государственный университет,
634050, Россия, г. Томск, пр. Ленина, дом 36.
Телеком Южный Париж,
91000, Франция, г. Еври, ул. Ш. Фурье, дом 9.
Аннотация. В работе исследуются особенности синтеза безусловных проверяющих экспериментов для ненаблюдаемых автоматов. Вводится соответствующая модель неисправности, в которой автоматы-реализации перечисляются явно. Показывается, что если автомат-спецификация обладает древовидной структурой, то можно построить проверяющий эксперимент полиномиальной длины, обнаруживающий все неконформные реализации автомат. В качестве неисправностей рассматриваются (одиночные) ошибки переходов и выходов автомата-спецификации.
Ключевые слова: конечный автомат, недетерминированный (ненаблюдаемый)
автомат, древовидный автомат, проверяющий эксперимент
1. Введение
Одним из распространенных приложений различных задач анализа конечных автоматов является проверка функциональных и нефункциональных требований для различных дискретных и гибридных систем [1, 2]. В этом случае модель конечного автомата является подходящей, поскольку она позволяет адекватно описывать поведение систем с конечным непустым множеством состояний, конечными алфавитами входных и выходных символов, которые переходят из состояния в состояние при подаче входных воздействий и производят при этом выходные реакции. Проверяющие эксперименты позволяют проверить, находится ли предъявленный автомат в заданном отношении с другим автоматом, и при построении таких экспериментов активно используются «умозрительные» эксперименты [3], позволяющие идентифицировать состояние автомата до или после эксперимента с эти автоматом. Известные точные (не эвристические) методы решения синтеза «умозрительных» экспериментов с автоматами, как правило, имеют очень высокую сложность даже для полностью определенных
441
Trudy ISP RAN [The Proceedings of ISP RAS], vol. 27, issue 6, 2015.
детерминированных автоматов [4, 5]. Вместе с тем, современные технические системы, для которых строятся проверяющие эксперименты, как правило, описываются недетерминированными автоматами, и поэтому сложность синтеза таких экспериментов только повышается.
В данной работе исследуется синтез проверяющих экспериментов для ненаблюдаемых недетерминированных автоматов. Рассматривается модель исправности, в которой отношением конформности выступает отношение неразделимости, в качестве неисправностей исследуются (одиночные) ошибки переходов и выходов, и все неисправные автоматы перечисляются явно (модель белого ящика). Отношение неразделимости предполагает, что два инициальных автомата имеют хотя бы одну общую реакцию на каждую входную последовательность. Исследуется специальный случай, когда эталонный ненаблюдаемый недетерминированный автомат имеет древовидную структуру, и показывается, что в этом случае можно построить кратный проверяющий эксперимент полиномиальной длины (относительно числа состояний автомата-спецификации).
Структура работы следующая. В втором разделе вводятся основные определения и обозначения, используемые в статье. Третий раздел посвящен исследованию синтеза проверяющих экспериментов для ненаблюдаемых древовидных спецификаций. Четвертый раздел включает иллюстративный пример, и последний - пятый - содержит заключение работы.
2. Основные определения и обозначения
Под конечным автоматом (или просто автоматом) [6] понимается пятерка S = (S, I, О, hs, Sm), где S — конечное непустое множество состояний с выделенным непустым множеством начальных состояний Sin, 1 и О — конечные непустые входной и выходной алфавиты соответственно, такие, что 1 Г) О = 0 и hs^SxIxOxS - отношение или множество переходов. Автомат называется инициальным, если Sin - одноэлементное множество, т.е. |.S)„| = 1, в противном случае автомат называется слабо инициальным. Автомат называется неинициалъным, если Sin = S. Четверка (s, /', о, s') е hs называется переходом в автомате в состоянии s или переходом из состояния s в состояние s'. Если в автомате S для любой пары (,v, i) е Sxl существует, по крайней мере, одна пара (о, s') е О х S такая, что (,v, /', о, s') е hs, то автомат называется полностью определенным, в противном случае автомат называется частично определенным или частичным. В полностью определенном автомате из каждого состояния существует переход под действием любого входного символа. В частичном автомате из некоторого состояния может не быть ни одного перехода под действием некоторого входного символа. Автомат S называется детерминированным, если для любой пары (s, i) е Sxl существует не более одной пары (о, s') е О х S такой, что (5, /, о, s') е hs. В противном случае автомат называется недетерминированным. Если в недетерминированном автомате S для любой тройки (5, /, о) е S х I х О 442
Труды ИСП РАН, том 27, вып. 6, 2015 г..
существует не более одного состояния s' е S такого, что (5, о, s') е hs, то автомат называется наблюдаемым, в противном случае автомат называется ненаблюдаемым. В данной статье рассматриваются недетерминированные, возможно, ненаблюдаемые автоматы, диаграммы переходов которых имеют форму дерева (далее - древовидные автоматы).
Вместе с отношением переходов в автомате часто используют две функции: функцию переходов (функцию next stated) и функцию выходов (функцию outs), определенных следующим образом next_states(s, /') э s', если 3 о е О, (s, /, о, s') е outs(s, i) э о, если 3 s' е S, (s, i, о, s') е hs.
Для детерминированных полностью определенных автоматов функции next_states и (>u,s однозначно определяют поведение (отношение переходов) автомата. Недетерминированные автоматы с различным поведением могут иметь одни и те же функции выходов и переходов next_states и outs [6]. Отношение переходов обычным образом распространяется на последовательности (слова) в алфавитах / и О. Обозначим через / множество всех последовательностей конечной длины в алфавите /, включая пустую последовательность е. Как обычно, через Г мы обозначаем множество всех последовательностей из / длины т. Соответственно, функции переходов next_states и выходов outs можно распространить на последовательности входных и выходных символов. В этом случае множество next_states(s, а) включает те и только те состояния, которые достижимы в автомате S из состояния s по входной последовательности а, т.е. next_states(s, а) есть а-преемник состояния s. Соответственно, множество outs(s, а) включает все возможные выходные последовательности (реакции) автомата S в состоянии ,v на входную последовательность а.
Под экспериментом с автоматом [3] понимается подача некоторой входной (-ых) последовательности (-ей) на вход автомата, предъявленного к эксперименту, наблюдение выходной (-ых) реакции (-ий) на эту (эти) последовательность (-ти) и формирование заключения о некоторых свойствах автомата. В работе исследуется возможность синтеза проверяющих экспериментов для недетерминированных, возможно, ненаблюдаемых автоматов. При проведении проверяющего эксперимента рассматривается некоторый класс автоматов, т е. предполагается, что имеется некоторое множество автоматов, и один из этих автоматов предъявлен к эксперименту (тестируемый автомат или реализация). Требуется установить, находится ли тестируемый автомат в определенном отношении с некоторым другим автоматом, который называется эталонным автоматом или автоматом-спецификацией. Отношение соответствия в данном случае называют также отношением конформности.
Синтез проверяющих экспериментов проводится на основе построения различающих экспериментов или различающих / диагностических (разделяющих для недетерминированных автоматов [7]) последовательностей, позволяющих идентифицировать начальное состояние автомата до
443
Trudy ISP RAN [The Proceedings of ISP RAS], vol. 27, issue 6, 2015.
эксперимента. Проверка существования различающего эксперимента и его последующий синтез для недетерминированного (полностью определенного) автомата сводится к проверке того факта, что множество начальных состояний этого автомата является разделимым. Иными словами, необходимо проверить, что существует последовательность а, которая является разделяющей последовательностью для любых двух различных состояний s\ и л2 множества Sin, т.е. V sb s2 е Sin имеет место out(s\, а) п out(s2, а) = 0.
Таким образом, к проверяющему эксперименту предъявлен автомат-спецификация S, класс автоматов с теми же входным и выходным алфавитами, как автомат S, который обозначается FD (Fault domain) и называется множеством «тестируемых» автоматов (мутантов) или областью неисправности, и отношение конформности да. Ставится задача синтезировать такой эксперимент (такую последовательность или конечное множество входо-входных последовательностей), что всякий автомат М из множества FZ), который находится в отношении ~ со спецификацией S выдает «ожидаемые» (-ую) выходные (-ую) реакции (-ню) на входные (-ую) последовательности (-ность) эксперимент. С другой стороны, всякий автомат М\ который не является конформным спецификации S в соответствии с введенным отношением да. должен быть отличим от S, т.е. выходные (-ая) реакции (-ия) М' не должны (-а) ожидаемыми (-ой), по крайней мере, для одной входной последовательности эксперимента. В этом случае говорят о полном проверяющем эксперименте (тесте) относительно модели неисправности <S, да, FD>. В данной работе автомат S является недетерминированным и, возможно, ненаблюдаемым, однако с древовидной диаграммой переходов. Отношение да есть отношение неразделимости. Все автоматы-мутанты перечисляются явно, каждый из которых есть результат внесения в автомат S ошибки перехода или выхода. Под ошибкой выхода понимают изменение перехода вида (s, i, о, s’) е hs на переход вида (,v, i, o', s') e hs для о Ф o'. Под ошибкой перехода, в свою очередь, понимают изменение состояния-преемника по некоторой входо-выходной паре, т.е. замену перехода вида (,v, i, о, s') € hs на переход вида (s, i, о, s") е hs для s' Ф s". В данной работе мы рассматриваем одиночные ошибки переходов и выходов, однако отмечаем, что приведенные результаты естественным образом распространяются на случай кратных неисправностей.
3. Синтез проверяющих экспериментов для древовидных спецификаций
Пусть S недетерминированный (возможно, ненаблюдаемый) инициальный древовидный автомат S = (S, I, О, hs, {s0}), в котором в каждом нетупиковом состоянии определены переходы по каждому входному символу. Построим кратный проверяющий эксперимент TS относительно модели неисправности <S, ~t FD> и оценим максимальную длину каждой разделяющей последовательности, входящей в эксперимент TS. Отметим, что для 444
Труды ИСП РАН, том 27, вып. 6, 2015 г..
диаграммы переходов автомата S все ветви имеют одинаковую длину. Корнем соответствующего дерева выступает узел, помеченный состоянием s0. Рассмотрим некоторый мутант М е FD автомата S, который получается внесением одиночной ошибки перехода или выхода. Следует отметить, что если М был получен внесением ошибки перехода, то диаграмма переходов данного автомата не может иметь форму дерева, поскольку внесенная ошибка перехода обеспечивает присутствие двух входящих дуг в некотором узле дерева.
Как отмечалось выше, синтез проверяющего эксперимента для данной модели неисправности может проводиться на основе синтеза соответствующих различающих последовательностей для эталонного автомата S и всякого его мутанта М. В предположении, что и эталонный автомат, и его реализация является инициальными автоматами, синтез соответствующей разделяющей последовательности для пары автоматов S и М сводится к синтезу таковой для прямой суммы этих автоматов М© S [8].
Таким образом, последовательная генерация автоматов-мутантов М для автомата-спецификации S и синтез соответствующих разделяющих последовательностей позволяют построить проверяющий тест относительно модели неисправности <S, т, FD>, в которой автомат S является инициальным полностью определенным недетерминированным, возможно, ненаблюдаемым автоматом. Отметим еще раз, что в этом случае рассматривается модель белого ящика, т.е. все мутанты М е FD перечисляются явно. С другой стороны, не всякий мутант М может оказаться отличимым от спецификации S, в этом случае данный мутант не будет обнаружен кратным проверяющим экспериментом.
Поскольку эталонный автомат является недетерминированным и, возможно, ненаблюдаемым, длина разделяющей последовательности для прямой суммы М 0 S экспоненциально зависит от числа состояний этой прямой суммы. С другой стороны, если длина каждой входо-выходной последовательности в автомате S полиномиально зависит от числа п состояний данного автомата, то и максимальная длина разделяющей последовательности для прямой суммыМ © S также полиномиально зависит от числа п состояний автомата-спецификации, | S | = п.
Имеет место следующее
Утверждение Для недетерминированного (возможно, ненаблюдаемого) древовидного автомата S = (S, I, О, hs, {So}), I s I = n, И > 1, у которого в каждом нетупиковом состоянии определены переходы по всем входным символам, длина каждой непустой трассы не превосходит величины logn. Доказательство данного утверждения опирается на тот факт, что дерево, представляющее граф переходов автомата S, является полным Парным для |/| < d с числом узлов, равным п. Соответственно, высота данного дерева не превосходит логарифма вида log^ri. Поскольку входной алфавит древовидного
445
Trudy ISP RAN [The Proceedings of ISP RAS], vol. 27, issue 6, 2015.
автомата S является двух-буквенным (или выше), длина каждой непустой входо-выходной последовательности автомата S ограничена величиной logn.
Отметим, что чем выше степень каждой из вершин дерева, представляющего диаграмму переходов автомата S, тем меньше его высота. Следовательно, длина входо-выходной последовательности в данном автомате тем короче, чем выше степень недетерминизма и ненаблюдаемости данного автомата, поскольку увеличение степени недетерминизма/ненаблюдаемости в некотором состоянии автомата повышает степень соответствующего узла в его графе переходов. Таким образом, трассы древовидного автомата тем короче, чем сложнее его структура.
Как отмечалось ранее, при синтезе проверяющего эксперимента относительно модели неисправности <S, FD> строятся разделяющие последовательности для прямой суммы вида М © S. Вместе с тем, максимальная длина трассы в автомате-спецификации ограничена величиной logn. Таким образом, если для древовидного недетерминированного (возможно, ненаблюдаемого) автомата S = (S, I, О, hs, {s0}), | S | = n, в котором в каждом нетупиковом состоянии определены переходы по всем входным символам, и его мутанта М е FD существует разделяющая последовательность а, то |а| < logn.
Следовательно, если число мутантов, включаемых в множество FD, полиномиально зависит от числа состояний п эталонного автомата S, то общая длина кратного проверяющего эксперимента относительно отношения неразделимости « также зависит полиномиально относительно данной величины п = | S \.
Отметим также, что в случае древовидных автоматов генерация мутантов и синтез соответствующих разделяющих последовательностей могут производиться одновременно. Иными словами, два этих действия могут быть совмещены в одно, за счет одновременного синтеза автомата-мутанта и входовыходной последовательности, которая покрывает неисправный переход автомата, предъявленного к эксперименту. Эго может быть сделано, например, следующим образом. После внесения ошибки перехода или выхода в автомат S строится входо-выходная последовательность у, которая переводит автомат S из начального состояния в состояние s', в случае внесения ошибки выхода (замена перехода вида (s, /, о, s') е hs на переход вида (s, /, o', s') е hs для оф o') или ошибки перехода (замена перехода вида (s, /, о, s') е hs на переход вида (s, /, о, s") е hs для s' Ф s"). Договоримся, что далее для обозначения состояний автомата-мутанта М будем использовать алфавит М, и состояние s, автомата S соответствует состоянию да, автомата М. Пусть последовательность у имеет вид у = ос/р, тогда последовательность ос может выступать преамбулой синтезируемой разделяющей последовательности для прямой суммы М 0 S. Далее эта последовательность ос продляется (если это возможно) постамбулой 5, различающей множества состояний S' и М\ являющихся a-преемниками начальных состояний s0 и т0 автоматов S и М, 446
Труды ИСП РАН, том 27, вып. 6, 2015 г..
соответственно. Заметим, что в случае, если была внесена ошибка выхода, то между множествами состояний S' и М' существует взаимно однозначное соответствие. В случае, если была внесена ошибка перехода, множество М’ содержит «ошибочное» состояние т", и соответствующая постамбула должна различать состояния s' и т” автоматов S и М. Синтез такой последовательности можно произвести явным моделированием поведения обоих автоматов в состояниях из множеств S' и М’ или же с использованием методов синтеза разделяющих последовательностей для (ациклических) недетерминированных автоматов. Можно рассчитывать, что чем дальше от корня находится ошибочный переход, тем короче постамбула 5 (если существует). Мы отмечаем, что эффективность предлагаемого упрощения (эвристики) синтеза разделяющей последовательности для эталонного автомата S и его мутанта-реализации М необходимо оценивать экспериментально, однако в данной работе такие эксперименты не проводились - они представляют интерес для дальнейших научных исследований.
4. Пример
В качестве примера рассмотрим инициальный автомат S = ({.v0, ,уь ..., ,v25\, {/), /2}, (оь о2}, hs, {s0}), приведенный на рисунке 1. Отметим, что в каждом состоянии автомата S определены переходы по входным символам ц и i2.
На следующем рисунке (рис. 2) приведен мутант М автомата S, который получается посредством внесения одиночной ошибки перехода на первом уровне дерева, представляющего диаграмму переходов автомата S. В частности, мутант М, который получается заменой перехода вида (,vi:i, /2, оь ,v3) € hs на переход вида (.v0, /2, оь .Si) е hs. Отметим еще раз, что состояния
447
Trudy ISP RAN [The Proceedings of ISP RAS], vol. 27, issue 6, 2015.
автомата-мутанта M переобозначены как элементы множестваМ = {то, пц, ..., т2ъ)-
Поскольку ошибка перехода внесена на первом ярусе дерева, представляющего диаграмму переходов эталонного автомата S, преамбула (входная последовательность) а, покрывающая неисправный переход, имеет длину один, а именно, а = /2. Далее эту преамбулу можно продлить последовательностью 5 такой же длины, в частности, можно выбрать 5 = /2. Действительно, после подачи последовательности а необходимо различить одноэлементные множества состояний S' = {.?3} иМ' = {т\}. Нетрудно видеть, что для состояний s3 и m-i входной символ /2 представляет собой разделяющую последовательность. Таким образом, входная последовательность вида i2h есть различающая последовательность для ненаблюдаемого связного древовидного автомата S и его мутанта М. Если при проведении проверяющего эксперимента при подаче входной последовательности /2/2 предъявленный автомат выдает выходную реакцию о\0]. то предъявленный автомат представляет собой неисправную реализацию М.
Следует отметить, однако, что в данном примере разделяющая последовательность оказалась короче любой трассы, определенной в автомате S, несмотря на то, что неисправный переход в автомате М' располагается достаточно близко к корню. Этот факт еще раз подтверждает необходимость проведения дальнейших экспериментальных исследований по установлению максимально достижимой/средней длины разделяющих последовательностей, формирующих кратных проверяющий эксперимент для модели неисправности <S, «5 FD>, где S - инициальный древовидный недетерминированный (возможно, ненаблюдаемый автомат), и множество FD включает автоматы-мутанты первого порядка, перечисленные явно.
448
Труды ИСП РАН, том 27, вып. 6, 2015 г..
5. Заключение
В статье рассмотрена задача синтеза кратных проверяющих экспериментов для недетерминированных (возможно, ненаблюдаемых) автоматов. Показано, что если эталонный автомат S является древовидным, таким, что в каждом его нетупиковом состоянии определены переходы по всем входным символам, то можно построить проверяющий тест относительно модели неисправности <S, I'D \ который имеет полиномиальную длину и обнаруживает всякую неконформную реализацию.
В статье также предложена эвристика для синтеза соответствующих разделяющих последовательностей для эталонного автомата и его мутантов, формирующих проверяющий эксперимент. Одним из будущих направлений работы является оценка эффективности предложенного упрощения метода синтеза проверяющего эксперимента для реальных технических систем.
С другой стороны, интерес представляет исследование других «хороших» классов автоматов с полиномиальными оценками длин проверяющих экспериментов. Перечисленные задачи формируют перспективы для дальнейших научных исследований.
Список литературы
[1] . М.П. Василевский. О распознавании неисправности автоматов. Кибернетика, № 4,
1973 г. стр. 98-108.
[2] . F. Hennie. Fault-Detecting Experiments for Sequential Circuits. Proc. Fifth Ann. Symp.
Switching Circuit Theory and Logical Design, 1964. P. 95-110.
[3] . E. Moore. Gedanken-experiments on sequential machines Automata Studies, Annals of
Mathematical Studies, No.1,1956. P. 129-153.
[4] . D. Lee M. Yannakakis. Testing Finite-State Machines: State Identification and
Verification. IEEE Transactions on Computers, 1994, Volume 43, Issue 3. P. 306-320.
[5] . S. Sandberg. Homing and Synchronization Sequences. Lecture Notes in Computer
Science, № 3472,2005. P. 5-33.
[6] . H.B. Евтушенко, А.Ф. Петренко, M.B. Ветрова. Недетерминированные автоматы:
анализ и синтез Ч. 1: Отношения и операции : учеб, пособие. Томск : Том. гос. ун-т, 2006. 142 с.
[7] . N. Spitsyna, К. El-Fakih, N. Yevtushenko. Studying the separability relation between
finite state machines. Softw. Test., Verif. Rehab., 2007, Volume 17, Issue 4. P. 227-241.
[8] . N. Kushik, N. Yevtushenko, A. Cavalli. On Testing against Partial Non-observable
Specifications. Proceedings of the 9th International Conference on the Quality of Information and Communications Technology, 2014. P. 230-233.
449
Trudy ISP RAN [The Proceedings of ISP RAS], vol. 27, issue 6, 2015.
Checking experiments with non-observable
tree FSMs
N. Kushik <mkushik(d)smail. com>
Tomsk State University,
36 Lenin ave., Tomsk, 634050, Russian Federation Telecom SudParis,
9 rue Charles Fourier, Evry, 91000, France
Abstract. The paper addresses the problem of deriving preset checking experiments for nonobservable FSMs. The fault model is considered to be a ‘white box’ where all possible implementations are explicitly enumerated. We show that if the specification FMS has a tree structure then it is possible to derive a complete checking experiment that has polynomial length.
Keywords: finite state machine, FSM, non-deterministic (non-observable) FSM, tree FSM experiment, checking experiment
References
[1] . M.P. Vasilevskij. О raspoznavanii neispravnosti avtomatov [Failure diagnosis of
automata], Kibemetika [Cybernetics], № 4,1973, pp. 98-108 (inRussian).
[2] . F. Hennie. Fault-Detecting Experiments for Sequential Circuits. Proc. Fifth Ann. Symp.
Switching Circuit Theory and Logical Design, 1964. P. 95-110.
[3] . E. Moore. Gedanken-experiments on sequential machines Automata Studies, Annals of
Mathematical Studies, No.1, 1956. P. 129-153.
[4] . D. Lee M. Yannakakis. Testing Finite-State Machines: State Identification and
Verification. IEEE Transactions on Computers, 1994, Volume 43, Issue 3. P. 306-320.
[5] . S. Sandberg. Homing and Synchronization Sequences. Lecture Notes in Computer
Science, № 3472, 2005. P. 5-33.
[6] . N.V. Evtushenko, A.F. Petrenko, M.V. Vetrova. Nedeterminirovannye avtomaty: analiz
i sintez Ch. 1: Otnoshenija i operacii: ucheb. posobie [Nondeterministic FSMs : analysis and synthesis, Chapter 1 : relations and operations : course support book]. Tomsk : Tom. gos. un-t, 2006. 142 p. (in Russian)
[7] . N. Spitsyna, K. El-Fakih, N. Yevtushenko. Studying the separability relation between
finite state machines. Softw. Test., Verif. Reliab., 2007, Volume 17, Issue 4. P. 227-241.
[8] . N. Kushik, N. Yevtushenko, A. Cavalli. On Testing against Partial Non-observable
Specifications. Proceedings of the 9th International Conference on the Quality of Information and Communications Technology, 2014. P. 230-233.
450
