Esempio - Controllo di un ascensore

Transcript

1 Costruiamo un modello ground a partire dai requisiti. Dimostriamo le proprietà di correttezza desiderate n ascensori m piani che soddisfano i seguenti requisiti: 1. Ogni ascensore ha per ogni piano un bottone che, se premuto, si illumina e causa la visita dell ascensore a quel piano (visita: muoversi verso e fermarsi al). L illuminazione viene cancellata quando il piano viene visitato dall ascensore. 2. Ogni piano (eccetto piano terra ed ultimo piano) ha due bottoni. Essi vengono cancellati quando un ascensore visita il piano e, o viaggia nella direzione desiderata, oppure visita il 1

2 piano senza richieste pendenti. 3. Un ascensore senza richieste deve rimanere nella sua destinazione finale ed aspettare ulteriori richieste 4. Ogni ascensore ha un bottone di emergenza che, se premuto, causa l invio di un messaggio di avvertimento al sito di gestione. L ascensore viene allora considerato fuori servizio. Ogni ascensore ha un meccanismo per cancellare il suo stato di fuori servizio. 2

3 Proprietà di correttezza (buon funzionamento): 1. Tutte le richieste per i piani dentro gli ascensori devono essere soddisfatte a un certo punto, con i piani serviti in maniera sequenziale nella direzione del viaggio 2. Tutte le richieste per gli ascensori dai piani devono essere soddisfatte a un certo punto, dando a tutti i piani una eguale priorità 3

4 Consideriamo una prima modellazione del funzionamento dell ascensore sotto forma di macchina a stati finiti (FSM) guardando alla relazione fra ascensori e piani, un ascensore si muove fra un piano e l altro, si ferma in un piano per passare dallo stato halting a moving, un ascensore deve partire (Depart) viceversa si deve fermare (Stop) nel suo stato di movimento un ascensore può anche continuare (Continue) quando è nello stato halting può anche cambiare direzione (Change) 4

5 Il comportamento di un singolo ascensore viene modellato come una macchina a stati finiti con: 1. Due stati di controllo: halting e moving 2. Quattro transizioni (operazioni): Depart, Stop, Continue e Change Lemma Per ogni ascensore le computazioni non vuote hanno la forma (Depart Continue Stop) + (Change (Depart Continue Stop) ) 5

6 Metodo di raffinamento Il metodo di raffinamento ASM è orientato al problema. Principio di sostitutività La sostituzione di un programma con un altro è accettabile ammesso che sia impossibile per un utente osservare che la sostituzione è stata effettuata. Le ASM supportano un uso del raffinamento molto aperto e disciplinato, tale da riflettere in maniera corretta e documentare esplicitamente una decisione di design ben precisa 6

7 Schema di un passo di raffinamento Per raffinare una macchina M ad una macchina M si ha la libertà (e il compito) di definire i seguenti elementi la nozione di stato raffinato la nozione di stati di interesse e di corrispondenza fra M-stati S ed M -stati S (di interesse) la nozione di segmenti di computazione astratta τ 1,...,τ m, dove ogni τ i rappresenta un singolo M-passo, e di corrispondenti segmenti di computazione raffinata σ 1,...,σ n, di singoli M passi la nozione di locazioni di interesse e di locazioni corrispondenti la nozione di equivalenza dei dati nelle locazioni di interesse 7

8 Raffinamento corretto Si fissi una nozione di equivalenza e di stati iniziali e finali. Una ASM M è un raffinamento corretto di una ASM M se e solo se per ogni M -run S0,S 1,... ci sono una M-run S 0,S 1,... i 0 < i 1 <..., j 0,j 1,... tali che i 0 = j 0 = 0 ed S i k = S j k per ogni k e, o entrambe le run terminano e i loro stati finali sono l ultima coppia di stati equivalenti, oppure entrambe le run e sequenze sono infinite 8

9 Raffiniamo la FSM assegnando alle transizioni astratte un significato più dettagliato riguardante i piani visitati Aggiungiamo il parametro L ai nomi delle transizioni per indicare la loro dipendenza dall elemento considerato nell insieme astratto Lift Assumiamo un insieme statico e ordinato di piani Floor con funzioni +1, 1, ground e top La funzione controllata floor(l) è a valori in Floor La direzione dir(l) di L è up oppure down 9

10 MoveLift(L) = if dir(l) = up then floor(l) := floor(l) +1 if dir(l) = down then floor(l) := floor(l) -1 Depart(L) = if Attracted(dir(L), L) then MoveLift(L) Continue(L) = if CanContinue(L) then MoveLift(L) Stop(L) = if not CanContinue(L) then CancelRequest(dir(L),L) 10

11 Change(L) = let d = dir(l) and d = opposite(dir(l)) in if not Attracted(d, L) and Attracted(d, L) then dir(l) := d CancelRequest(d,L) Quindi arriviamo al seguente raffinamento per l ascensore Lift(Self ) = FSM(halting, Depart(Self ), moving) FSM(moving, Continue(Self ), moving) FSM(moving, Stop(Self ), halting) FSM(halting, Change(Self ), halting) 11

12 Lemma A partire da un qualunque stato raggiungibile dallo stato iniziale, Lift(Self ) si muove piano per piano nella sua direzione di viaggio fino al punto di attrazione dinamicamente più lontano in quella direzione dove, dopo al più 2 Floor passi, si ferma e aspetta oppure cambia direzione e si muove nella nuova direzione 12

13 Prossimo passo di raffinamento: definizione più dettagliata delle guardie delle regole per CancelRequest viene inserita una macro Le guardie delle regole vengono derivate da: Funzione di richiesta interna hastodeliverat(l,floor) Funzione di richiesta esterna existscallfromto(floor,dir) 13

14 HasToVisit(L, floor) hastodeliverat(l,floor) or dir: existscallfromto(floor,dir) Attracted(d,L) d = up and f > floor(l) : HasToVisit(L,f ) or d = down and f < floor(l) : HasToVisit(L,f ) CanContinue(L) Attracted(dir(L),L) and not hastodeliverat(l,floor(l)) and not existscallfromto(floor(l), dir(l)) and CancelRequest(dir,L) = hastodeliverat(l,floor(l)) := false existscallfromto(floor(l),dir) := false 14

15 Lemma Nelle computazioni del Lift, quando si muove verso il punto di attrazione più lontano nella sua direzione di viaggio, si ferma ad ogni piano dove viene attratto, rispetto alla sua direzione di viaggio, e spegne la richiesta di consegna (interna) e la chiamata da quel piano (esterna) per andare nella direzione corrente di viaggio. Quando cambia, spegne la chiamata dal piano corrente (esterna) per andare nella nuova direzione di viaggio Proposizione La macchina Lift soddisfa le proprietà di buon funzionamento 1 e 2 15

16 Gestione delle eccezioni Esempio - Controllo di un ascensore Si definisca la condizione per il nuovo caso in cui la nuova macchina deve essere eseguita e la macchina data non ha un comportamento ben definito (oppure le deve essere impedita l esecuzione). Questa condizione viene espressa attraverso una funzione booleana condivisa error che diventa vera quando accade un emergenza Si definisca la nuova macchina con il comportamento aggiuntivo desiderato. La nuova macchina consiste di due regole una regola di entrata per gestire il caso fuori servizio con guardia error(l) = true e un operazione SendWarning al manager del sito, e una 16

17 regola di uscita, con guardia repaired(l) = true, per cancellare lo stato di fuori servizio e tornare alla macchina nel caso normale. si aggiunga la nuova macchina e si restringa la macchina data al caso vecchio mettendo sulla sua regola principale, come guardia, error(l) true 17

18 Analisi dello scheduling per un insieme di più ascensori Tutte le istanze di Lift vengono sincronizzate in parallelo, garantendo l indipendenza delle loro azioni e il soddisfacimento delle proprietà di correttezza ParLift = forall L Lift do Lift(L) Questa macchina fa attrarre tutti gli ascensori da tutte le chiamate esterne, cioè dove existscallfromto(floor,d) è vera per qualche direzione d, la stessa richiesta viene servita da ogni ascensore 18

19 Questo può essere evitato introducendo uno scheduler scheduledto che assegna esattamente un ascensore ad ogni chiamata esterna Raffiniamo i predicati di interfaccia HasToVisit CanContinue CancelRequest 19

20 HasToVisit(L, floor) hastodeliverat(l,floor) or dir: existscallfromto(floor,dir) and L = scheduledto(floor,dir) CanContinue(L) Attracted(dir(L),L) and not hastodeliverat(l,floor(l)) and not existscallfromto(floor(l), dir(l)) and L = scheduledto(floor,dir) CancelRequest(dir,L) = hastodeliverat(l,floor(l)) := false if L = scheduledto(floor,dir) then existscallfromto(floor(l),dir) := false 20