JP2000181939A

JP2000181939A - 論理装置の検証方法、検証装置及び記録媒体

Info

Publication number: JP2000181939A
Application number: JP10358695A
Authority: JP
Inventors: Hiroaki Iwashita; 洋哲岩下
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 1998-12-17
Filing date: 1998-12-17
Publication date: 2000-06-30
Anticipated expiration: 2018-12-17
Also published as: US6654715B1; JP3663067B2

Abstract

(57)【要約】【課題】状態数の大きい論理装置を検証装置のメモリ容
量や計算時間を適切に調整しながら有効に検証しうる論
理装置の検証方法及び装置を提供する。【解決手段】最初に、論理装置をモデル化した有限状
態機械が満たすべきプロパティを表現する遷移系列集合
のグラフを作成する。次に、処理すべき節点を該グラフ
から選択し、その節点に接続している枝の１つを選ぶ。
選んだ枝の始点側の節点の状態集合に写像を施し、結果
を終点側の節点の状態集合に追加する。そして、写像の
結果、目的のプロパティを満たしている状態集合が得ら
れたか否か、すなわち、遷移系列の実例を発見したか否
かを判断する。該実例を発見した場合には、遷移系列あ
りとして処理を終了する。該実例が発見されなかった場
合には、当該節点に接続されている未処理の枝があるか
否かを判断し、ある場合には上記処理を繰り返す。未処
理の枝がない場合は、遷移系列なしとして処理を終了す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、有限状態機械でモ
デル化可能なもの全般の検証、例えば、順序回路やプロ
トコルの検証に利用可能な論理装置の検証方法及び検証
装置に関する。

【０００２】

【従来の技術】順序回路やプロトコルの設計が、それら
に要求される性質（プロパティ）を満たしているか否か
を検証する手法として、モデル検査が知られている。こ
れは、有限状態機械が時相論理で表現されたプロパティ
を満足する／満足しないことを数学的に証明するもので
ある。

【０００３】有限状態機械の一般形式は、Ｍ＝（Ｑ、
Σ、Φ、δ、λ、Ｉ）で与えられる。括弧内の各記号の
意味を以下に示す。・Ｑ：状態の集合（有限）・Σ：入力アルファベット（有限）・Φ：出力アルファベット（有限）・δ：遷移関係式・λ：出力関係式・Ｉ：初期状態集合遷移関係式は、現状態、入力、次状態が与えられたとき
に、現状態と入力から次状態に遷移する場合があれば値
として“１”、なければ“０”をとるような関数であ
る。遷移関係式は次の状態を決める関数であるが、ある
現状態と入力に対して次状態が一意に定まらないような
非決定的な遷移を表現することもできる。なお、遷移が
決定的である場合には、現状態、入力から次状態を求め
る関数として状態遷移を表すことが可能となる。出力関
係式も同様に、出力が非決定的な場合にも対応する。

【０００４】原則的に、全ての順序回路は有限状態機械
でモデル化できる。このため、論理装置を設計する際
に、仕様として有限状態機械を用いる方法が広く用いら
れている。例えば、論理合成においては、装置の仕様を
設計記述言語で記述した後、合成システムでその記述を
有限状態機械に変換し、状態をフリップフロップ回路や
レジスタで、遷移関係式δや出力関係式λを組み合わせ
回路で実現する方法が一般的である。

【０００５】なお、有限状態機械の基礎理論に関しては
後記参照文献１の第２章で詳しく論じられている。論理
装置の検証では、論理装置の時間的動作が要求される性
質（プロパティ）を満足しているかどうかを調べる。こ
の目的で用いられる技術としては、論理シミュレーショ
ンとモデル検査を挙げることができる。

【０００６】論理シミュレーションとは、回路のモデル
（設計記述言語による記述、ゲートレベルの回路図等）
に対して適当な入力列を与えて動作を模擬する処理であ
る。この際に、得られる動作がプロパティを満たしてい
ることを確認する。

【０００７】モデル検査とは、論理装置を有限状態機械
あるいは複数の有限状態機械のネットワークとしてモデ
ル化し、モデルがプロパティを満たしているかどうかを
数学的に判定するアプローチである。モデル検査に関し
ては、情報処理１９９４年９月号の特集記事（後記参照
文献２，３，４，５，６）で詳しく述べられている。

【０００８】現在最も多く実用化されているモデル検査
手法は、記号モデル検査法（後記参照文献７，８を参照
のこと）と呼ばれるものである。記号モデル検査手法で
は、有限状態機械の動作を論理式で表し、検証手続きを
論理関数処理で実現している。その際に、論理関数の表
現形式として二分決定グラフ（ＢＤＤ：Binary Decisi
on Diagram ；後記参照文献９，１０，１１，１２，１
３を参照のこと）を用いている。膨大な状態数を持つ有
限状態機械を取り扱うためには、論理関数を用いた非明
示的な表現手法とＢＤＤを用いた効率的な論理関数処理
が不可欠となっている。

【０００９】図１６は従来の技術の説明図であり、有限
状態機械の例を示す。前記モデル検査手法の内、記号モ
デル検査手法は、Kripke構造の論理装置モデルを論理関
数を用いて表現し、計算木論理（Computation Tree L
ogic：ＣＴＬ）で表された仕様を満足する空でない状態
集合が存在するか否かを検査することにより、論理装置
のモデルが仕様を満足するか否かを検証する手法であ
る。

【００１０】ここで、Kripke構造とは、状態の有限集合
Ｓと、状態の遷移関係Ｒと、初期状態点の集合Ｓｉと、
各状態で真となる原始命題の集合Ｌとを用いて、次式の
ように表される非決定的有限オートマトンの一種であ
る。

【００１１】Ｋ＝（Ｓ、Ｒ、Ｓｉ、Ｌ）また、計算木論理は、時相論理の一種であり、通常の論
理演算に加えて、全称を表す演算子Ａ、存在を表す演算
子Ｅとともに、「いつか」を表す時相演算子Ｆ、「いつ
も」を表す時相演算子Ｇ、「次に」を表す時相演算子
Ｘ、及び「まで」を表す時相演算子Ｕを用いて表され
る。

【００１２】例えば、時相演算子ＡＧａは、初期状態か
ら到達可能な状態集合の全てにおいて論理式ａが成立す
る旨を示している。この場合は、論理装置のモデルにお
いて、初期状態から遷移可能な全ての道筋を辿ってい
き、その道筋の全てが論理式ａが成立している状態にた
どり着くか否かを調べれば良い。

【００１３】すなわち、記号モデル検査手法における検
証作業は、Kripke構造の状態遷移を辿り、各状態におい
て、仕様を表す計算木論理式が成立するかを確認する作
業であり、この作業は、計算木論理の式を用いたモデル
上の最小不動点、或いは最大不動点を求める集合演算に
帰着される。

【００１４】このような集合演算は、ある状態集合
｛ｑ｝から１回の遷移で到達可能な状態集合を求める像
計算Image （｛ｑ｝）と、ある状態集合｛ｑ｝に１回の
状態遷移で到達可能な状態集合を求める逆像計算Imager
ev（｛ｑ｝）とを組み合わせることによって実現され
る。

【００１５】例えば、図１６のように、９つの状態ｑ０
〜ｑ８間の状態遷移で表される有限状態機械の例におい
て、像計算及び逆像計算を行った結果の例を、以下に示
す。

【００１６】 Image （｛ｑ０｝）＝｛ｑ０、ｑ１、ｑ２、ｑ３｝ Image （｛ｑ０、ｑ２｝）＝｛ｑ０、ｑ１、ｑ２、ｑ
３、ｑ５｝ Imagerev（｛ｑ０｝）＝｛ｑ０、ｑ１｝ Imagerev（｛ｑ５｝）＝｛ｑ１，ｑ２，ｑ３、ｑ４｝図１６に示した有限状態機械において、例えば、状態ｑ
８を示す論理式ｐを用いた時相論理ＡＦｐを検証する際
には、初期状態ｑ０から順次に像計算を繰り返し、初期
状態から遷移可能な全ての道筋が状態ｑ８に到達するか
否かを調べれば良い。一方、時相論理ＥＦｐを検証する
場合には、状態ｑ８から逆像計算を繰り返して、初期状
態ｑ０に到達する道筋があるか否かを調べれば良い。

【００１７】ところで、実際の記号モデル検査法におい
ては、集合演算を論理関数処理に置き換える手法が一般
的であり、また、論理関数を二分決定グラフ（ＢＤＤ）
で表現することにより、論理関数処理の効率化が計られ
ている。

【００１８】参照文献１：J.E.Hopcroft and J.D.Ullman, Introduction
to Automata Theory, Languages, and Computatio
n, Addison-Wesley Publishing Company,1979. ２：平石裕実、浜口政治、“論理関数処理に基づく形式
的検証手法、”情報処理、vol.35, no.8, pp.710-71
8,1994 ３：藤田昌宏、陳奔、山崎正実、“形式的検証手法の実
設計への適用例、”情報処理、vol.35,no.8,pp.719-72
5,1994. ４：木村晋二、“形式的タイミング検証について、”情
報処理、vol.35,no.8,pp726-735,1994. ５：高原厚、“プロセス代数を用いた形式的検証、”情
報処理、vol.35,no8,pp.736-741,1994. ６：谷口健一、北道敦司、“代数的手法による仕様記述
と設計及び検証、”情報処理、vol.35,no.2,pp.742-75
0,1994. ７：J.R.Burch,E.M.Clarke,K.L.McMillan,D.L.Dill, a
nd L.J.Hwang,“Symbolic Model Checking ：10²⁰
States and Beyond,”Information and Computatio
n,vol.98,no.2,pp.142-170,1992. ８：K.L.McMillan, Symbolic Model Checking, Klu
wer Academic Publishers, 1993. ９：R.E.Bryant, “Graph Based Algorithm for Bo
olean Function Manipulation,”ＩＥＥＥ Transact
ions on Computers, vol.C-35,no.8,pp.677-691,198
6. １０：石浦菜岐佐、“ＢＤＤとは、”情報処理、vol.3
4,no.5,pp.585-592,1993. １１：湊真一、“計算機上でのＢＤＤの処理技法、”情
報処理,vol.34,no.5,pp.593-599,1993. １２：渡部悦穂、久木元裕治、“ＢＤＤの応用、”情報
処理、vol.34,no.5,pp.600-608,1993. １３：藤田昌宏、Edmund M. Clarke, “ＢＤＤのＣＡ
Ｄへの応用、”情報処理、vol.34,no.5,pp.609-616,199
3.

【００１９】

【発明が解決しようとする課題】論理シミュレーション
で確認できる動作は選択された特定の入力列に対する結
果のみである。従って、状態数が多い場合、全ての動作
を試すことは膨大な長さの入力列とそれに比例した計算
時間を必要とすることになり、現実的には不可能である
場合が多い。

【００２０】一般的に論理シミュレーションでは、確認
済みの動作を数学的に記録／整理する機構がないため、
全ての動作を網羅したことを判定できず、従って、ある
動作が決して起こらないことを証明することはできな
い。

【００２１】モデル検査は有限状態機械の動作を数学的
に網羅する。ところが状態数が多く遷移の複雑な有限状
態機械に対しては、計算機のメモリ使用量または計算時
間の増大により、現実的には動作の確認が実行不可能と
なる場合が少なくない。これは、記号モデル検査におい
ては、遷移関係を表すＢＤＤの規模や、論理関数処理の
途中で生成されるＢＤＤの規模の問題となって現れる。
ＢＤＤの規模はＢＤＤのノード数で計ることができる
が、最悪の場合、変数に対して指数オーダで増大する可
能性がある。

【００２２】本出願人が、以前に出願した特願平９−４
５１１４号あるいは特願平１０−１３６４号の発明は、
検証手続きの途中で状態集合を分割することでＢＤＤ規
模増大の問題を解決するものである。しかしながら、上
記先願の発明は、ある特定の種類のプロパティに対する
検証方式であり、適用範囲は現実の問題に対して十分で
はなかった。

【００２３】本発明の課題は、順序回路などの論理装置
を有限状態機械でモデル化して検証する場合に、状態数
の大きい論理装置を、メモリ容量や計算時間を適切に調
整しながら有効に検証しうる論理装置の検証方法及び装
置を提供することである。

【００２４】

【課題を解決するための手段】本発明の論理装置の検証
方法は、（ａ）検証対象の論理装置をモデル化した有限
状態機械が満たすべき目的のプロパティを表す、有限長
または無限長の遷移系列の集合を、遷移関係式でラベル
付けされた、有向枝グラフに変換し、該有向枝グラフの
構成情報を第１のメモリに記憶し、（ｂ）該有向枝グラ
フ上の各節点属する状態集合を第２のメモリに記憶し、
（ｃ）該有向枝グラフ状の始点側とする節点に属する状
態集合を該第２のメモリから読み出し、該第１のメモリ
に記憶されている有向枝グラフの構成情報を参照して、
写像演算を行うべき枝を選択した後、該読み出した状態
集合に対して該枝に対応する写像演算を施し、（ｄ）該
写像演算の結果を該枝の終点側の節点に属する状態集合
に追加して、該第２のメモリに記憶し、（ｅ）ステップ
（ｃ）及び（ｄ）を繰り返し実行し、該第２のメモリに
記憶された状態集合を基に、該有向枝グラフの示す遷移
系列の集合が実際に要素を持つか否かを判定することに
よって、検証対象の論理装置が目的のプロパティを満た
しているか否かを検証することを特徴とする。

【００２５】本発明の論理装置の検証装置は、検証対象
の論理装置をモデル化した有限状態機械が満たすべき目
的のプロパティを表す、有限長または無限長の遷移系列
の集合を、遷移関係式でラベル付けされた、有向枝グラ
フに変換し、該有向枝グラフの構成情報を記憶する第１
の記憶手段と、該有向枝グラフ上の各節点に対応して、
該節点に属する状態集合を記憶する第２の記憶手段と、
該有向枝グラフ上の始点側とする節点に属する状態集合
を該第２の記憶手段から読み出し、該第１の記憶手段に
記憶されている有向枝グラフの構成情報を参照して、写
像演算を行うべき枝を選択した後、該読み出した状態集
合に対して該枝に対応する写像演算を施し、該写像演算
の結果を該枝の終点側の節点に属する状態集合に追加し
て、該第２の記憶手段に記憶させる写像演算手段と、該
写像演算手段の処理を繰り返し実行させ、該第２の記憶
手段に記憶された状態集合を基に該有向枝グラフの示す
遷移系列の集合が実際に要素を持つか否かを判定するこ
とにより、検証対象の論理装置が目的のプロパティを満
たすか否かを検証する判定手段とを備えることを特徴と
する。

【００２６】本発明によれば、ある枝について写像演算
を行う場合に、該枝の始点側の節点の状態集合を任意に
選択することができ、例えば、１つの状態についてのみ
写像演算を行うとか、部分集合についてのみ写像演算を
行う等の柔軟な写像演算処理を行うことができるので、
検証装置の使用メモリ容量や計算時間を適切に調整しな
がら処理することができる。また、写像演算を有向枝グ
ラフの枝毎に行うので、全ての枝について写像演算を終
えていなくても、目的の遷移系列が発見されればそこ
で、処理を終了して良いので、やはり、検証装置の使用
メモリ容量及び計算時間を節約することができる。従っ
て、従来では事実上不可能であった、状態数の非常に多
い論理装置についても検証を行うことが可能になる。

【００２７】

【発明の実施の形態】図１は、本発明の実施形態が適用
される有限状態機械の遷移関係を示す図である。

【００２８】同図のような遷移関係を持った有限状態機
械の検証を具体例として、本発明の実施形態を説明す
る。

【００２９】同図の例では、有限状態機械は３ビットの
状態変数ｖ１、ｖ２、ｖ３で構成される。以降、ｖ１＝
ａ、ｖ２＝ｂ、ｖ３＝ｃ（ａ，ｂ，ｃ∈｛０，１｝）の
状態をａｂｃと表記する。この有限状態機械は０００〜
１１１の８つの状態を持っている。説明を簡単にするた
め、ここでは入力を省略し、次状態は現状態に応じて非
決定的に選ばれるものとしている。例えば、現状態が０
００であれば、次状態は１００もしくは１１１となる。
また、現状態が０１０であれば、次状態は必ず０００で
ある。なお、この有限状態機械の初期状態は０００であ
る。

【００３０】有限状態機械は図１のような表で定義して
も良いし、ハードウェア記述言語で定義しても良い。有
限状態機械の遷移関係は明示的に（表形式のまま）保持
しても良いし、ＢＤＤ等を使って非明示的に（関数の形
で）保持しても良い。

【００３１】ここでは、図１の有限状態機械に対し、次
のように定義される遷移系列の集合Ｓに要素（実例）が
存在するか否かを調べる場合について考える。

【００３２】Ｓ＝｛ｓ｜ｓは、初期状態から任意の遷移
の後、ｖ１＝１かつｖ２＝０の状態を通り、以後ｖ２＝
１とｖ２＝０を交互に繰り返す無限長の遷移系列｝以下、このような遷移系列を目的のプロパティと呼ぶ。

【００３３】遷移系列の集合は正規表現またはω正規表
現を使って与えても良いし、表やハードウェア記述言語
などを使ったオートマトンまたはωオートマトンの記述
を与えても良い。これらについては、例えば、Y.Chouek
a,“Theories of Automataon ω-Tapes：A Simplif
ied Approach 、”Journal of Computer andSystem
Sciences, vol.8,pp.117-141,1974. 、あるいは、H.
Iwashita and T.Nakata,“Forward Model Checking
Techniques Oriented to Buggy Designs, ”in
Proc.ICCAD-97,pp.400-404,1997.に詳細が記載されてい
る。

【００３４】図２は、上記遷移系列の集合Ｓを有向グラ
フ３表現した図である。

【００３５】遷移系列集合Ｓは図２のグラフ表現に変換
できる。同図に示されたグラフ３は、３つの節点Ａ、
Ｂ、Ｃ、と４つの有向枝（Ａ、Ａ）、（Ａ、Ｂ）、
（Ｂ、Ｃ）、（Ｃ、Ｂ）から成っている。各枝には節点
間における状態の写像を定義した式がラベル付けされて
いる。例えば、枝（Ａ、Ｂ）上のラベル“δ、１０ｘ”
は、遷移関係δで到達可能な次状態のうちｖ１＝１かつ
ｖ２＝０（ｖ３は任意）を満たすものを選ぶ演算であ
る。枝（Ａ、Ａ）上のラベル“δ、ｘｘｘ”は遷移関係
δで到達可能な次状態全てを表す。遷移系列の開始点は
節点Ａに対応する。節点Ａ上の初期状態０００から開始
して、節点Ｃを無限回通る系列が、このグラフの表す遷
移系列集合Ｓの要素である。

【００３６】図３及び図４は、図２のグラフ３に対し
て、本発明の実施形態に基づいてモデル検査を行う手法
を説明する図である。

【００３７】グラフ３のデータ構造において、Ａ０＝
｛０００｝と初期化し、枝（Ａ、Ａ）及び（Ａ、Ｂ）に
未処理マークを付ける（同図では太線で示されている：
ステップ１）。

【００３８】次に、（Ａ、Ａ）または（Ａ、Ｂ）のどち
らかの未処理枝（未処理マークが付けられた枝）を選ん
で写像演算を行う。仮に（Ａ、Ａ）を選び、それにラベ
ル“δ、ｘｘｘ”に従った写像計算を施すと、図１の表
から知られるように、｛０００｝→｛１００、１１１｝
が得られる。この写像の結果をＡ０に加えると、Ａ０の
要素が増えるので、（Ａ、Ａ）の未処理マークはそのま
まとする（ステップ２）。

【００３９】再び、（Ａ、Ａ）を選び、ステップ２で得
られた状態集合｛０００、１００、１１１｝に更にラベ
ル“δ、ｘｘｘ”に従った写像計算を施し、その結果を
Ａ０に加える。このとき、既にＡ０に記憶されている状
態が二重には記憶されないように配慮し、Ａ０に含まれ
ていなかった結果のみをＡ０に加える様にする。する
と、Ａ０＝｛０００、００１、０１１、１００、１０
１、１１０、１１１｝となる（ステップ３）。その際、
ステップ２で最終的に得られたＡ０全体について写像計
算（｛０００、１００、１１１｝→｛０００、００１、
０１１、１００、１０１、１１０、１１１｝）をしても
良いし、ステップ２における増分要素に対する写像
（｛１００、１１１｝→｛００１，０１１，１０１，１
１０｝）のみを計算し、その結果をＡ０に加えても良
い。

【００４０】更に、もう一度、（Ａ、Ａ）を選んで、そ
れに写像計算を実施するとＡ０の要素が増えないことが
わかるので、（Ａ、Ａ）の未処理マークを消す（ステッ
プ４）。

【００４１】この時点で、残った未処理枝は（Ａ、Ｂ）
なので、それにラベル“δ、１０ｘ”に従った写像計算
を施してＢ０＝｛１００、１０１｝を得る（ステップ
５）。すなわち、Ａ０の全ての要素（｛０００、００
１、０１１、１００、１０１、１１０，１１１｝）個々
に対して写像計算を行い、その写像計算により得られた
結果の中から「１０ｘ」（ｘは任意であって、“０”で
あるか“１”であるかを問わない）となる状態のみをＢ
０の要素として保持する。このとき、（Ａ、Ｂ）の未処
理マークを除去し、新たに（Ｂ、Ｃ）に未処理マークを
付ける。

【００４２】以下同様に処理を継続していく。ただし、
節点Ｃを通過する度に状態集合のインデックスを１つ増
やす。（図４のステップ７、ステップ９：すなわち、節
点Ｃを始点とする写像計算が実施される毎に得られる節
点Ｃの状態集合を別の集合として記憶するように操作す
る。例えば、ステップ８では、新たにＣ１が状態集合と
して付加され、ステップ９では、新たにＣ２が状態集合
として付加されている。）グラフ３の表す遷移系列が存
在することは、次の式を満たす整数ｎ、ｍ（０≦ｎ＜
ｍ）が存在することと等価である。

【００４３】Ｃｎ⊆（Ｃｎ＋１∪・・・∪Ｃｍ）・・・・・（１）すなわち、節点Ｃでの写像計算をｎ回繰り返して得られ
た状態集合Ｃｎが、ｎ＋１回目以降ｍ回目までの写像計
算によって得られる各状態集合Ｃｎ＋１、・・・Ｃｍの
和集合にに含まれることを意味している。これは、状態
集合Ｃｎが出現してから、それ以降、ｍ回写像計算を行
うと、それらの写像計算の結果として得られる各状態集
合の和の中にＣｎが含まれるようなになるので、節点Ｃ
において、Ｃｎに含まれる状態は、ｍ回目以降において
無限に出現する。すなわち、節点Ｂと節点Ｃの間を無限
回循環する閉路が形成されていることを意味することに
なる。

【００４４】そして、このようなｎ、ｍを発見したとき
（遷移系列あり）または未処理の枝がなくなったとき
（遷移系列なし）に終了する。

【００４５】この例ではステップ１０においてＣ０⊆
（Ｃ１∪Ｃ２）が成立し、遷移系列が存在することがわ
かる。従って、上記した遷移系列Ｓが有限状態機械に存
在しているので、この有限状態機械によってモデル化さ
れた順序回路やプロトコルは要求されたプロパティを備
えているということができる。

【００４６】以上の例では、選ばれた枝の始点側の節点
の全状態に対する写像を一度に計算しているが、１状態
ずつ選んだり、部分集合を取り出して分割計算しても同
じ検証結果が得られる。

【００４７】図５は、本発明の第１の実施形態の処理を
示すフローチャートである。

【００４８】なお、同図のフローチャートの処理を開始
する前に、順序回路等をモデル化する有限状態機械の状
態遷移関係は、前述したような、表あるいはハードウェ
ア記述言語で既に与えられているものとする。

【００４９】最初に、ステップＳ１で、有限長または無
限長の遷移系列の集合を表現する有向グラフを作成す
る。この有向グラフは、検証すべき有限状態機械の満た
すべきプロパティを表す。節点は該有限状態機械におけ
る状態集合に対応し、節点間は遷移の集合に対応した有
向枝で結ばれる。後述するように、各節点の一つまたは
複数の状態集合を記憶するための領域が、記憶装置内に
設けられ、各節点は特定の状態集合（図１〜図４の説明
では、｛０００｝で）で初期化される。それぞれの枝に
は、始点側の状態あるいは状態集合から終点側の状態あ
るいは状態集合への写像を定義する遷移関係式が関連付
けられる。この遷移関係式は、例えば、上記節点に対応
して設けられた一定記憶領域を相互に関連付けるポイン
タと、どのような場合にポインタに従って、別の節点を
表す記憶領域にアクセスするかを指示する条件と、節点
に対応する記憶領域に記憶されている状態集合に対して
写像演算を行うための、図１に示したような表、あるい
は、ハードウェア記述言語で記述された状態遷移を特定
する記述によって定義される。

【００５０】次に、ステップＳ２で、有向グラフの始点
側の節点（所定の方法により、有向グラフ内の節点を順
次選択するようにする）に接続されている有向枝の内、
処理すべき枝を選択する。その後、この選択された有向
枝の始点側の節点に属する状態集合に写像を施して結果
を終点側の状態集合に追加する処理を繰り返し行う（ス
テップＳ３）。すなわち、ステップＳ３で、図１〜図４
までの例で説明したような写像演算処理を選択された有
向枝について行う。ステップＳ４で、特定の状態集合が
有向グラフの特定の１または複数の有向枝から形成され
るループを無限回循環遷移する場合や、所定の状態集合
に対する写像演算の後に特定の節点に状態集合が現れる
というような、遷移系列の実例を発見したか否かを判断
する。ステップＳ４で、遷移系列の実例が発見されない
場合、ステップＳ５で現在処理している節点に接続する
有向枝の内、未処理の枝があるか否かが判断される。ス
テップＳ５で、未処理の枝があると判断された場合に
は、ステップＳ２に戻って、ステップＳ２〜ステップＳ
４の処理を行う。ステップＳ４で、遷移系列を発見した
場合には、処理を終了する（ステップＳ７）。また、ス
テップＳ５で、遷移系列は発見していないが、未処理の
枝がなくなった場合には、遷移系列なしとして処理を終
了する（ステップＳ６）。

【００５１】なお、有向グラフが閉路を持っていると一
度写像計算を実行した枝の始点側に新たな状態が付加さ
れる場合があるが、その際にはその枝の写像計算は終了
していないとみなす。

【００５２】ここで、遷移系列とは、目的のプロパティ
を満足する状態集合の遷移である。従って、ステップＳ
４の遷移系列が存在するか否かという判断は、次のよう
なものとなる。有向グラフ内である無限循環遷移を形成
することが目的のプロパティの場合には、該遷移系列と
して、図１〜図４で説明したように節点Ｂと節点Ｃの間
で無限回循環するような状態集合を見つける。また、目
的のプロパティが、ある状態集合が有向グラフの所定の
節点に至るべきというものである場合には、有向グラフ
上で、この状態集合に対して、写像演算を繰り返し施
し、該所定の節点に何らかの状態が現れるか否かを判断
する。

【００５３】第１の実施形態においては、遷移系列の存
在を網羅的に調べるモデル検査を実現している。有向グ
ラフの形を変更することで、有限長または無限長の様々
な遷移系列集合について調べることができる。また、検
証の結果は有向グラフの枝を選ぶ順序に依存しないた
め、メモリ使用量と計算時間の要求に応じて、枝の選択
順序を変更できる。

【００５４】図６は、本発明の第２の実施形態の処理を
説明するフローチャートである。

【００５５】この第の実施形態は、上記第１の実施形態
を、始点側の状態集合の中から、１状態のみを選択する
処理を行ってから写像演算を施すように変更したもので
ある。

【００５６】ステップＳ１０で、上記したような、目的
のプロパティを表現する遷移系列集合の有向グラフ表現
を作成する。次に、ステップＳ１１で、有向グラフの節
点の内の一つを選択し、この節点に接続されている有向
枝の中から処理を行う枝を選択する。ステップＳ１２
で、該選択されてた有向枝の始点側の節点の記憶されて
いる状態中から１状態を選択する。そして、ステップＳ
１３で、該選択された１状態に対して、写像演算を施
し、その写像演算の結果得られた状態集合を写像先の節
点に対応付けて記憶する。ステップＳ１４で、遷移系列
を発見したか否かを判断する。遷移系列が存在した場合
には、ステップＳ１７に進んで、処理を終了する。ステ
ップＳ１４で、遷移系列を発見しない場合には、ステッ
プＳ１５に進んで、現在処理している節点に接続してい
る有向枝の内、未処理の枝があるか否かを判断する。未
処理の枝があるとステップＳ１５で判断された場合に
は、ステップＳ１１〜ステップＳ１４までの処理を繰り
返し行う。そして、ステップＳ１５で、未処理の枝がも
うないと判断された場合には、ステップＳ１６に進ん
で、遷移系列なしとして処理を終了する。

【００５７】本実施形態では、第１の実施形態のステッ
プＳ３をステップＳ１２，１３に置き換え、始点側の状
態集合の中から一つの状態のみを選択し、その単一状態
に対する写像計算のみを用いるようにすることでメモリ
使用量を最小化する様にしている。

【００５８】図７は、本発明の第３の実施形態の処理を
説明するフローチャートである。

【００５９】この第３の実施形態においては、第１の実
施形態を、始点側の状態集合から適当な大きさの部分集
合を選択する処理を行ってから、該部分集合のっみに写
像演算を施すように変更したものである。

【００６０】まず、ステップＳ２０で、目的のプロパテ
ィを表現する遷移系列の集合のグラフ表現を作成する。
ステップＳ２１で、処理すべき節点の選択を行い、この
節点に接続する有向枝の内、処理すべき枝を有向グラフ
の中から選択する。次に、ステップＳ２２で、該選択し
た有向枝の始点側、すなわち、ステップＳ２１で選択し
た節点の記憶されている状態集合の中から、写像演算を
行う部分状態集合を選択する。ステップＳ２３で、該選
択された部分状態集合に対し、写像演算を施し、上記選
択した有向枝の終点側の節点、状態集合に、上記写像演
算の結果を追加記憶する。ステップＳ２４で、目的の遷
移系列がステップＳ２３の写像演算によって得られたか
否かを判断し、目的の遷移系列が得られた場合には、ス
テップＳ２７に進んで処理を終了する。ステップＳ２４
で、目的の遷移系列が得られていないと判断された場合
には、ステップＳ２５に進んで、上記ステップＳ２１で
選択された節点に接続している有向枝の内、未処理のも
のがあるか否かを判断し、未処理の枝がある場合には、
再び、上記ステップＳ２１〜ステップＳ２４までの処理
を行う。そして、ステップＳ２５で、未処理の枝がない
と判断された場合には、目的の遷移系列が得られなかっ
たとして、ステップＳ２６に進み、処理を終了する。

【００６１】第３の実施形態は、有向枝の始点側の節点
における写像演算を施す状態集合をそれまでに記憶され
ている状態集合の中の部分集合に限定することにより、
第１の実施形態では得られない、メモリ使用量と計算時
間の調整に関する新たな自由度を提供している。

【００６２】本発明においては、有限状態機械とそれに
対する遷移系列集合を入力として、該遷移系列集合の要
素実例が存在するか否かを判定する。

【００６３】上記遷移系列集合を表現する有向グラフの
各節点に対応付けられた状態集合を保持するデータ構造
を本発明の実施形態では「状態集合リスト」と呼ぶこと
にする。

【００６４】図８は、該状態集合リストの構成例を示す
図である。

【００６５】同図の構成例では、状態集合リスト４はテ
ーブル形式となっており、テーブルは３列で構成されて
おり、各列は左から節点、「Ａ」、「Ｂ」、「Ｃ」の状
態集合のデータを格納する様になっている。またテーブ
ルの各行は、各節点が有する状態集合を識別するインデ
ックスに対応している。同図で、｛０００｝が保持され
ている「Ａ」の列のインデックスが「１」の行のフィー
ルドは、状態集合Ａ０を格納している。以下同様に、
「Ａ」の列のインデックス「１」の行のフィールドは状
態集合Ａ１を格納するようになっており、状態集合リス
ト４は各節点の、状態集合をインデックス毎に分けて保
持するように構成されている。同図の場合は、図３のス
テップ１の処理後の状態を示しているので、状態集合リ
ストはＡ０フィールドのみに状態集合｛０００｝を保持
しており、その他のフィールドは全て空集合となってい
る。

【００６６】有向グラフ上の枝と、枝にラベル付けされ
た写像を保持するデータ構造を本発明の実施形態では
「枝リスト」と呼ぶことにする。

【００６７】図９は、枝リストの構成例を示す図であ
る。

【００６８】同図は図２のグラフ構造を保持している枝
リスト５の状態を示している。この例では、全ての写像
は遷移関係式δの全体または一部分から作られたものに
なっているが、一般には各写像が全く無関係なものであ
っても構わない。

【００６９】図２の有向枝グラフから明らかなように、
このグラフには、有向枝として（Ａ、Ａ）、（Ａ、
Ｂ）、（Ｂ、Ｃ）、及び（Ｃ、Ｂ）が存在する。これら
のそれぞれの枝に対し、現状態に対応する写像の結果
（次状態）をそれらに関連付けられ亜遷移関係式δを用
いて算出し、該現状態と該次状態との対応の関係（遷移
関係）をリスト５ｂ〜５ｅにさせて記憶させる。現状態
と次状態の写像関係とを登録する写像情報リスト５ｂ〜
５ｅと同図左上の枝管理リスト５ａとは、枝管理リスト
５ａの写像の欄に、それぞれに対応する写像情報リスト
５ｂ〜５ｅへのポインタを設定することによってリンク
される。枝（Ａ、Ａ）上の写像は、全ての現状態を任意
の次状態に写像するものであるので、写像情報リスト５
ｂには図１の表と同じものが写像δ、ｘｘｘとして保持
されている。枝（Ａ、Ｂ）上の写像は、現状態の写像の
結果として（１０ｘ）という状態だけが許されるので、
写像情報リスト５ｃには現状態（０００）、（０１
１）、（１００）に対して、（１００）、（１００）、
（１０１）が次状態としてそれぞれ登録された表が写像
δ、１０ｘとして保持されている。同様に、枝（Ｂ、
Ｃ）上の写像に関しては、写像情報リスト５ｄに同図に
示すような写像δ、ｘ１ｘの表が、枝（Ｃ、Ｂ）上の写
像に関しては、写像情報リスト５ｅに同図に示すような
写像δ、ｘ０ｘの表が保持される。

【００７０】なお、同図では、有限状態機械の遷移関係
を、表形式で保持するように説明しているが、必ずしも
表形式である必要はなく、ＢＤＤ等を用いて関数等によ
り保持するようにしても良い。

【００７１】また、処理の途中で未処理マークを記憶す
るバッファの役割を果たすデータ構造を「イベントリス
ト」と呼ぶことにする。

【００７２】図１０は、イベントリストの構成例を示す
図である。

【００７３】イベントリスト６は（節点１，節点２、整
数）の３種類の情報の組み合わせからなる未処理マーク
が付けられた有向枝（未処理枝）を示す要素（データ）
を優先度の高い順から記憶する優先順位付きリストであ
る。この整数は、後述する疑似コードで明らかになるよ
うに、１つの節点を何回通ったかを表す値である。イベ
ントリスト６から要素を一つ取り出す場合は最も優先度
の高いものが選ばれる。イベントリスト６に要素を登録
する場合には、その要素は何らかの基準に従って決定さ
れた位置に挿入される。本実施形態の方法では、この基
準に関係なく正しい遷移系列の実例を得ることができ
る。同図は、イベントリスト６が図３のステップＳ１に
おける初期設定に対応したデータ内容を保持している様
子である。イベントリスト６には、枝（Ａ、Ａ）及び
（Ａ、Ｂ）が、それぞれ、優先度が「０」、「１」の未
処理枝として登録されている。

【００７４】図１１〜図１３は、図２の有向グラフに対
して適用した本実施形態のアルゴリズムを示す図であ
る。

【００７５】該アルゴリズム中で「循環節点」とは、そ
こを無限回通ることが遷移系列の条件となっている特別
な節点である。本実施形態においては、節点Ｃが循環節
点である。図１１に示す関数CheckGraph（G ）が“foun
d ”を返せば、グラフＧに対応する遷移系列が存在し、
“not found”を返せば、そのような遷移系列は存在し
ない。

【００７６】図１１は、関数CheckGraph（G ）のアルゴ
リズムを表す疑似コードである。

【００７７】同図の処理は、図２有向グラフに目的の遷
移系列が存在するか否かを判断するものである。まず、
メインルーチンである関数CheckGraph(G) は、遷移系列
集合Ｓのグラフ表現Ｇを入力とする。次に、前述した状
態集合リスト４とイベントリスト６を初期化する。これ
により、イベントリスト６及び状態集合リスト４は、図
１０と図８に示されたように初期化される。次に、whil
e 文でイベントリスト６が空になるまで、以下の処理を
行う。

【００７８】イベントリスト６には、初期化された状態
で、処理すべき節点に接続されている未処理の枝を全て
登録されているので、while 文内の処理が開始される。
すなわち、まずイベントリスト６から未処理の枝に関す
る要素を１個取り出し、これを（Ｘ、Ｙ、ｉ）とする。
そして、節点Ｘが循環節点であるか否か判断し、循環節
点である場合には、ｉ＋１をｊに代入する。一方、Ｘが
循環節点でない場合には、ｉをｊに代入する。この操作
は、写像を施す節点Ｘが循環節点でない場合には、図３
の節点Ａのように、１つの状態集合に順次写像の結果得
られる状態集合を加えていくことを意味している。ま
た、写像を施す節点が循環節点である場合には、図３〜
図４の節点Ｃに示されるように、写像の結果得られた状
態集合を別の集合として保持していくことを示してい
る。このようにして、ｊの値を設定した後、Ｙｊ’←Ｙ
ｊ∪Evaluate（Ｘ、Ｙ、ｉ）を実行する。ここで、節点
Ｘが循環節点でなく、かつ、循環節点と枝により接続さ
れる節点でもない第１の節点である場合には、Ｙｊは、
節点Ｙにおいてそれまでに得られた状態集合の和を表し
ている。一方、節点Ｘが循環節点または循環節点と枝に
より接続される節点のような第２の節点の場合には、Ｙ
ｊは空集合を表している。関数Evaluateは、節点Ｘの有
する状態集合と、節点Ｙの有する状態集合及び整数値ｉ
を入力として、写像計算を行い、写像の結果得られる状
態集合を返す関数である。

【００７９】従って、節点Ｘが上記第１の節点である場
合には、Ｙｊ’には、前回の写像計算で得られた節点Ｙ
における全ての状態集合と、今回、Evaluate関数によっ
て写像計算された結果、節点Ｙについて得られた状態集
合との和集合が代入される。一方、節点Ｘが上記第２の
節点である場合には、Ｙｊ’には今回の写像が状態集合
として代入される。次に、if文で、Ｙｊ’にＹｊが含ま
れるか否かを判断する。一般に、ＹｊはＹｊ’に含まれ
るが、ＹｊとＹｊ’が同じ場合には、当該if文の条件が
成り立たないことになり、今回の写像によって新しい状
態集合が生成されなかったことを示すので、上記while
文の先頭に戻って処理を繰り返す。一方、if文でＹｊが
Ｙｊ’に含まれていると判断された場合には、新しい状
態集合が今回の写像演算によって生成されたので、Ｙｊ
にＹｊ’を代入することにより状態集合リスト４の節点
ＹのインデックスｊのフィールドにＹｊを格納して、関
数CycleIsFoundを呼び出して、節点Ｙに写像によって無
限回循環する状態集合が存在するか否かを判断する。関
数CycleIsFoundの戻り値が“true”であった場合には、
節点Ｙに上記無限回循環する状態集合が存在するので、
関数CheckGraphの戻り値として“found ”を出力する。
一方、関数CycleIsFoundの戻り値が“true”ではなく、
上記無限回循環する状態集合が存在しなかった場合に
は、次にforeach 文に進む。foreach 文では、節点Ｙか
らの枝の集合の中から、１つの枝（Ｙ、Ｚ）を選択し、
（Ｙ、Ｚ、ｊ）がイベントリスト６に未登録の場合に
は、それをイベントリスト６に登録してwhile 文の先頭
に戻って上記処理を繰り返す。このイベントリスト６へ
の要素（Ｘ、Ｙ、ｊ）の新規登録は、新しい節点に対す
る写像計算を行うための準備処理である。

【００８０】今までに述べて処理を、例えば、図３及び
図４の場合を例にして具体的に説明すれば、イベントリ
スト６から（Ｘ，Ｙ，ｉ）を取り出したとき、節点Ｘが
節点Ｃであり、節点Ｙが節点Ｂである場合には、節点Ｃ
が循環節点であるので、ｊにｉ＋１が設定される。そし
て、Ｙｉ＋１’にＹｉ＋１∪Evaluate（Ｃ、Ｂ、ｉ）が
代入される。そして、次にＹｉ＋１’にＹｉ＋１が含ま
れるかが判断される。このとき、Ｙｉ＋１’とＹｉ＋１
が等しい場合には、if文の条件が成立しないとして、wh
ile 文の先頭に戻って処理を繰り返す。一方、if文の条
件が成立した場合には、Ｙｊ←Ｙｊ’とした後、関数Cy
cleIsFoundによって、節点Ｃに無限回循環する状態集合
が存在するか否かが判断される。無限回循環する状態集
合が発見されなかった場合には、foreach 文で、節点Ｂ
の枝集合から１つの枝（Ｂ、Ｃ）を選択して、（Ｂ、
Ｃ、ｉ＋１）が、イベントリスト６に登録されていない
場合には、これをイベントリスト６に登録して、while
文の先頭に戻る。このように、節点Ｘとして節点Ｃが選
択される毎に、イベントリスト６に登録される要素のイ
ンデックスが「１」ずつインクリメントするので、節点
Ｂに対する写像によって得られる循環節点Ｃの状態集合
は、別個の状態集合Ｙｊとして状態集合リスト４に格納
される。

【００８１】図１２は、関数Evaluateの疑似コードを示
す図である。

【００８２】関数Evaluateは、始点の節点Ｘと終点の節
点Ｙ及び、循環節点を何回循環したかを示すインデック
スｉとを入力とする。そして、写像情報リスト５ａを参
照して枝（Ｘ、Ｙ）にラベル付けされた写像（図９の写
像情報リスト５ｂ〜５ｅのいずれかに該当する写像）を
Ｆに代入し、写像を施す節点Ｘの状態集合Ｘｉを状態集
合リスト４から取得してＱに代入して、関数Ｆ（Ｑ）の
値を戻り値として返す。すなわち、節点Ｘの状態集合Ｘ
ｉに対して枝（Ｘ、Ｙ）上の写像を行った結果（節点Ｙ
に属する状態集合）をである関数Ｆ（Ｑ）の値を、関数
値として返す。この関数Ｆ（Ｑ）は、図９の写像情報リ
スト５ｂ〜５ｅを参照して、状態集合Ｘｉ（＝Ｑ）に対
する写像演算を行うものである。すなわち、関数Ｆ
（Ｑ）は、状態集合Ｘｉ内の各状態（現状態）に対応す
る状態（次状態）を写像情報リスト５ｂ〜５ｅから取得
して、該取得結果を戻り値として関数Evaluateに返す。

【００８３】図１３は、関数CycleIsFoundの疑似コード
を示す図である。

【００８４】関数CycleIsFoundは、無限回循環する状態
集合が存在するか否かが判断される節点Ｘと、循環節点
を通過した回数を示すインデックスｉを入力として、図
２の有向グラフに無限回循環する遷移系列が存在するか
否かを判断する関数である。

【００８５】まず、節点Ｘが循環節点であり、かつ、ｉ
が１以上であるか否かを判断する。該判断の結果が「Ｎ
ｏ」の場合、すなわち、節点Ｘが循環節点でない場合、
または、ｉが０であれば、関数の戻り値として“false
”を返す。判断の結果が「Ｙｅｓ」の場合には、ｉ以
上のインデックスｋを持つ状態集合Ｘｋの和集合を生成
し、これをＱに代入する。そして、for 文により、ｋの
値をｉ−１から１つずつ減少させながら、ｋの値が０に
なるまで、以下の処理を繰り返し行う。すなわち、Ｘｋ
がＱに含まれているか否かを判断し、含まれている場合
には“true”を関数の戻り値として返すが、含まれてい
ない場合には、ＱとＸｋとの和集合を新たなＱとしてfo
r 文のループをｋの値が０になるまで繰り返す。そし
て、ｋが０になってもＸｋ⊆Ｑが成り立たない場合に
は、関数の戻り値として“false ”を返す。このfor 文
のループ処理は、前述の式（１）が成立するか否かを評
価していることに対応している。すなわち、関数CycleI
sFoundの戻り値が“true”の場合には、目的の遷移系列
が発見されたことを示している。

【００８６】図１４は、上述した図８〜図１３の本発明
の実施形態を実現する論理装置検証装置の構成を示すブ
ロック図である。

【００８７】本実施形態の論理装置検証装置１０は、プ
ロパティグラフ生成部１１、プロパティ検証部１２、状
態集合リスト記憶部１３，枝リスト記憶部１４、遷移関
係記憶部１５、及びイベントリスト記憶部１６からなっ
ている。

【００８８】まず、外部から、検証すべき順序回路等の
論理装置をモデル化した有限状態機械の遷移関係を表形
式あるいはハードウェア記述言語で記述したものを、遷
移関係記憶部１５に入力・記憶する。また、同じく外部
から、上記有限状態機械の目的のプロパティ（遷移系列
集合）をハードウェア記述言語などで記述したものをプ
ロパティグラフ生成部１１に入力する。プロパティグラ
フ生成部１１は、上記入力された目的のプロパティの記
述から該プロパティを表すグラフを生成する。すなわ
ち、まず、該生成したグラフの状態集合リスト記憶部１
３内に各節点に対する状態集合リスト４を生成・記憶さ
せる。次に、遷移関係記憶部１５に記憶されている有限
状態機械の遷移関係を参照して、該生成したグラフの各
枝にラベル付けされた遷移関係（写像）を保持する枝リ
スト５を枝リスト記憶部１４内に生成・記憶させる。プ
ロパティ生成部１は、更に、イベントリスト記憶部１６
内にイベントリスト６を生成・記憶させる。

【００８９】プロパティ検証部１２は、図１１〜図１３
の疑似コードで記述されている各関数（プログラム）を
解釈・実行するものであり、プロパティグラフ生成部１
１からグラフの検証を依頼されると、処理を開始する。
プロパティ検証部１２は、まず状態集合リスト記憶部１
３内の状態集合リスト及び、イベントリスト記憶部１６
内のイベントリスト６を初期化する。そして、状態集合
リスト４の初期値とイベントリスト６の初期値から処理
を開始し、順次処理の進行に伴ってイベントリスト記憶
部１６内のイベントリスト６を更新する。また、グラフ
内の各節点の写像演算を行う場合には、枝リスト記憶部
１４内の枝リスト５を参照して、該各節点の現状態集合
を次状態集合に変換する写像演算を行う。このプロパテ
ィ検証部１２の動作は、上述した図１１〜図１３の各関
数のアルゴリズムと同様であるので、詳しい説明は省略
する。

【００９０】図１５は、本実施形態の論理装置の検証方
法をプログラムの実行により実現する場合に必要とされ
るコンピュータ３０のハードウェア環境を示すブロック
図である。

【００９１】ＣＰＵ２０は、バス２９を介してＲＯＭ２
１にアクセス可能であり、電源投入時にＲＯＭ２１から
ＢＩＯＳ等を読み込んで入出力装置２７を含むその他の
構成要素の検査、初期化を行い、それらの動作を可能に
する。コンピュータ３０を論理装置の検証方法に専用に
使用する場合には、本実施形態を実現するプログラムを
ＲＯＭ２１に記憶させて使用しても良い。ＲＡＭ２２に
は、本実施形態の論理装置の検証方法を実現するプログ
ラムがＣＰＵ２０が実行可能な形式に展開される。ＣＰ
Ｕ２０は、ＲＡＭ２２から上記プログラムを読み込み実
行することにより、論理装置の検証を実施する。本実施
形態の論理装置の検証方法を実現するプログラムはハー
ドディスクなどの外部記憶装置２４やフロッピー（登録
商標）ディスクやＣＤ−ＲＯＭなどの可搬記録媒体２６
に記録される。記録媒体読み取り装置２５は、可搬記録
媒体２６が装着可能で、可搬記録媒体２６から該プログ
ラムを読み出し可能な駆動装置である。

【００９２】入出力装置２７は、上記プログラムの実行
に際して、検証すべき論理装置をモデル化した有限状態
機械の状態遷移関係の入力や該有限状態機械のプロパテ
ィを入力するための装置であり、キーボードやマウス、
ディスプレイなどからなっている。通信インタフェース
２３は、ＬＡＮやインターネットなどの通信網３１を介
して情報提供者２８との間で通信を行うものである。本
実施形態の論理装置の検証方法を実現するプログラム
を、通信インタフェース２３により情報提供者２８から
通信網３１を介してダウンロードし、記憶装置２４，あ
るいは可搬記録媒体２６に一旦記憶されてから、ＲＡＭ
２２に展開してＣＰＵ２０により実行するような利用形
態にしても良い。

【００９３】また、上記プログラムを情報提供者２８側
のコンピュータで実行するような形態にして、必要な入
力データ等をコンピュータ３０側から通信網３１を介し
て送信し、情報提供者２８側で上記プログラムを実行す
ることによって得られた結果を通信網３１を介して受信
し、該実行結果を入出力装置２７に出力させるなど、上
記プログラムはネットワーク環境の下で遠隔実行させる
ことも可能である。

【００９４】

【発明の効果】以上説明したように、本発明によれば、
有限状態機械の検証すべき目的のプロパティをグラフに
より表現し、該グラフの枝毎に異なる遷移関係を対応付
けられるので、複数の有限状態機械の協調動作など、従
来より複雑な検証問題に対応可能となる。

【００９５】また、写像計算を行うべき始点側の状態集
合を任意の大きさの部分集合に設定可能であるので、メ
モリ使用量と計算時間のトレードオフに関して大きな自
由度を与えることができる。これにより、従来の記号モ
デル検査手法ではメモリ使用量が限界を越える複雑な論
理装置に対しても、検証可能となる。

【００９６】また、更に、遷移系列の実例が発見できた
場合には、全ての状態遷移（枝）を網羅して処理する前
に検証を終了することができる。

【図面の簡単な説明】

【図１】本発明の実施形態を説明するための有限状態機
械の遷移関係を示す図である。

【図２】遷移系列の集合Ｓをグラフ表現した図である。

【図３】本発明の実施形態に基づいてモデル検査を行う
手法の説明図（その１）である。

【図４】本発明の実施形態に基づいてモデル検査を行う
手法の説明図（その２）である。

【図５】本発明の第１の実施形態の処理を示すフローチ
ャートである。

【図６】本発明の第２の実施形態の処理を説明するフロ
ーチャートである。

【図７】本発明の第３の実施形態の処理を説明するフロ
ーチャートである。

【図８】状態集合リストの例を示す図である。

【図９】枝リストの例を示す図である。

【図１０】イベントリストの例を示す図である。

【図１１】本実施形態のアルゴリズムのメインルーチン
を表す疑似コードである。

【図１２】Evaluate関数の疑似コードを示す図である。

【図１３】CycleIsFound関数の疑似コードを示す図であ
る。

【図１４】本発明の実施形態を実現する論理装置検証装
置の構成を示す図である。

【図１５】本実施形態の論理装置の検証方法をプログラ
ムとして実現する場合に必要とされるコンピュータのハ
ードウェア環境図である。

【図１６】従来の技術の説明図である。

【符号の説明】

１０論理装置検証装置１１プロパティグラフ生成部１２プロパティ検証部１３状態集合リスト記憶部１４枝リスト記憶部１５遷移関係記憶部１６イベントリスト記憶部２０ＣＰＵ２１ＲＯＭ２２ＲＡＭ２３通信インタフェース２４記憶装置２５記録媒体読み取り装置２６可搬記録媒体２７入出力装置２８情報提供者２９バス３０コンピュータ３１通信網

Claims

【特許請求の範囲】

【請求項１】（ａ）検証対象の論理装置をモデル化した
有限状態機械が満たすべき目的のプロパティを表す、有
限長または無限長の遷移系列の集合を、遷移関係式でラ
ベル付けされた、有向枝グラフに変換し、該有向枝グラ
フの構成情報を第１のメモリに記憶し、（ｂ）該有向枝グラフ上の各節点に属する状態集合を第
２のメモリに記憶し、（ｃ）該有向枝グラフ状の始点側とする節点に属する状
態集合を該第２のメモリから読み出し、該第１のメモリ
に記憶されている有向枝グラフの構成情報を参照して、
写像演算を行うべき枝を選択した後、該読み出した状態
集合に対して該枝に対応する写像演算を施し、（ｄ）該写像演算の結果を該枝の終点側の節点に属する
状態集合に追加して、該第２のメモリに記憶し、（ｅ）ステップ（ｃ）及び（ｄ）を繰り返し実行し、該
第２のメモリに記憶された状態集合を基に、該有向枝グ
ラフの示す遷移系列の集合が実際に要素を持つか否かを
判定することによって、検証対象の論理装置が目的のプ
ロパティを満たしているか否かを検証する、ことを特徴
とする論理装置の検証方法。
【請求項２】前記ステップ（ｃ）において、前記第２の
メモリに記憶されている前記始点側の節点に属する状態
集合から１つの状態を取り出して、該状態に対してのみ
写像演算を行うことを特徴とする請求項１に記載の論理
装置の検証方法。
【請求項３】前記ステップ（ｃ）において、前記第２の
メモリに記憶されている前記始点側の節点に属する状態
集合から適当な部分集合を取り出して、該部分集合に対
してのみ写像演算を行うことを特徴とする請求項１に記
載の論理装置の検証方法。
【請求項４】前記写像演算は、前記有限状態機械の状態
遷移関係が登録されている表を参照して行われることを
特徴とする請求項１に記載の論理装置の検証方法。
【請求項５】前記写像演算は、前記有限状態機械の状態
遷移関係がハードウェア記述言語で記述されたものから
作成される情報を用いて行われることを特徴とする請求
項１に記載の論理装置の検証方法。
【請求項６】前記ステップ（ｅ）の判定とは、前記有向
枝グラフの特定の節点を無限回循環する遷移系列が存在
するか否かを判断するものであることを特徴とする請求
項１に記載の論理装置の検証方法。
【請求項７】前記ステップ（ｅ）の判定とは、前記有向
枝グラフの特定の節点において、状態集合が写像演算の
結果、実際に得られるか否かを判断するものであること
を特徴とする請求項１に記載の論理装置の検証方法。
【請求項８】検証対象の論理装置をモデル化した有限状
態機械が満たすべき目的のプロパティを表す、有限長ま
たは無限長の遷移系列の集合を、遷移関係式でラベル付
けされた、有向枝グラフに変換し、該有向枝グラフの構
成情報を記憶する第１の記憶手段と、該有向枝グラフ上の各節点に対応して、該節点に属する
状態集合を記憶する第２の記憶手段と、該有向枝グラフ上の始点側とする節点に属する状態集合
を該第２の記憶手段から読み出し、該第１の記憶手段に
記憶されている有向枝グラフの構成情報を参照して、写
像演算を行うべき枝を選択した後、該読み出した状態集
合に対して該枝に対応する写像演算を施し、該写像演算
の結果を該枝の終点側の節点に属する状態集合に追加し
て、該第２の記憶手段に記憶させる写像演算手段と、該
写像演算手段の処理を繰り返し実行させ、該第２の記憶
手段に記憶された状態集合を基に該有向枝グラフの示す
遷移系列の集合が実際に要素を持つか否かを判定するこ
とにより、検証対象の論理装置が目的のプロパティを満
たすか否かを検証する判定手段と、を備えることを特徴
とする論理装置の検証装置。
【請求項９】前記写像演算手段は、前記第２の記憶手段
に記憶されている前記始点側の節点に属する状態集合か
ら１つの状態を取り出して、該状態に対してのみ写像演
算を行うことを特徴とする請求項８に記載の論理装置の
検証装置。
【請求項１０】前記写像演算手段は、前記第２の記憶手
段に記憶されている前記始点側の節点に属する状態集合
から適当な部分集合を取り出して、該部分集合に対して
のみ写像演算を行うことを特徴とする請求項８に記載の
論理装置の検証装置。
【請求項１１】前記有限状態機械の状態遷移関係が登録
されている表を記憶する状態遷移関係記憶手段を更に備
え、前記写像演算は、該状態遷移関係記憶手段に記憶されて
いる表を参照して行われることを特徴とする請求項８に
記載の論理装置の検証装置。
【請求項１２】前記写像演算は、前記有限状態機械の状
態遷移関係がハードウェア記述言語で記述されたたもの
から作成される情報を用いて行われることを特徴とする
請求項８に記載の論理装置の検証装置。
【請求項１３】前記特定の条件とは、前記有向枝グラフ
の特定の節点を無限回循環する遷移系列が存在するか否
かを判断するものであることを特徴とする請求項８に記
載の論理装置の検証装置。
【請求項１４】前記特定の条件とは、前記有向枝グラフ
の特定の節点において、状態集合が写像演算の結果、実
際に得られるか否かを判断するものであることを特徴と
する請求項８に記載の論理装置の検証装置。
【請求項１５】論理装置が目的のプロパティを満たして
いるか否かを検証する処理であって、コンピュータに（ａ）検証対象の論理装置をモデル化した有限状態機械
が満たすべき目的のプロパティを表す、有限長または無
限長の遷移系列の集合を、遷移関係式でラベル付けされ
た、有向枝グラフに変換し、該有向枝グラフの構成情報
を第１のメモリに記憶させ、（ｂ）該有向枝グラフ上の各節点に属する状態集合を第
２のメモリに記憶させ、（ｃ）該有向枝グラフ上の始点側とする節点に属する状
態集合を該第２のメモリから読み出させ、該第１のメモ
リに記憶されている有向枝グラフの構成情報を参照し
て、写像演算を行うべき枝を選択した後、該読み出した
状態集合に対して写像演算を施させ、（ｄ）該写像演算の結果を該枝の終点側の節点に属する
状態集合に追加して、該第２のメモリに記憶させ、（ｅ）ステップ（ｃ）及び（ｄ）を繰り返し実行し、該
第２のメモリに記憶された状態集合を基に、該有向枝グ
ラフの示す遷移系列の集合が実際に要素を持つか否かを
判定することによって、検証対象の論理装置が目的のプ
ロパティを満たしているか否かを検証させる、ことを特
徴とする処理を実現させるコンピュータ読み取り可能な
記録媒体。
【請求項１６】前記ステップ（ｃ）において、前記第２
のメモリに記憶されている前記始点側の節点に属する状
態集合から１つの状態を取り出して、該状態に対しての
み、写像演算を行うことを特徴とする請求項１５に記載
のコンピュータ読み取り可能な記録媒体。
【請求項１７】前記ステップ（ｃ）において、前記第２
のメモリに記憶されている前記始点側の節点に属する状
態集合から適当な部分集合を取り出して、該部分集合に
対してのみ、写像演算を行うことを特徴とする請求項１
５に記載のコンピュータ読み取り可能な記録媒体。
【請求項１８】前記写像演算は、前記有限状態機械の状
態遷移関係が登録されている表を参照して行われること
を特徴とする請求項１５に記載のコンピュータ読み取り
可能な記録媒体。
【請求項１９】前記写像演算は、前記有限状態機械の状
態遷移関係がハードウェア記述言語で記述されたものか
ら作成される情報を用いて行われることを特徴とする請
求項１５に記載のコンピュータ読み取り可能な記録媒
体。
【請求項２０】前記ステップ（ｅ）の判定とは、前記有
向枝グラフの特定の節点を無限回循環する遷移系列が存
在するか否かを判断するものであることを特徴とする請
求項１５に記載のコンピュータ読み取り可能な記録媒
体。
【請求項２１】前記ステップ（ｅ）の判定とは、前記有
向枝グラフの特定の節点において、状態集合が写像演算
の結果、実際に得られるか否かを判断するものであるこ
とを特徴とする請求項１５に記載のコンピュータ読み取
り可能な記録媒体。