JP2001005847A - 形式的検証装置および方法 - Google Patents

Abstract

(57)【要約】 【課題】 検証仕様が固定化され、かつ網羅的な検証仕
様の指定が可能な順序回路の効率的な形式的検証を可能
とする形式的検証装置および方法を提供する。 【解決手段】 順序回路の中でも例えばカウンタ回路の
ように、検証すべき項目としての検証仕様がほぼ固定化
されている順序回路を規定するＲＴＬ記述等の回路記述
と、この順序回路のほぼ固定化された検証項目を項目化
したテンプレートとから、それぞれＫｒｉｐｋｅ構造の
有限状態機械に変換する。そして、互いに異なる観点か
ら変換した有限状態機械のそれぞれの節点と枝を対比し
て両者を照合し、節点と枝が全て一致したときＲＴＬ記
述等で規定された順序回路がテンプレートに規定された
項目を満足すると判断し、検証仕様が成立することを通
知することで、形式的検証を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は論理回路の機能を検
証する形式的検証装置および方法に係わり、詳細には検
証仕様が固定的な順序回路の機能を検証する形式的検証
装置および方法に関する。

【０００２】

【従来の技術】設計した論理回路が所定の機能仕様を満
たしているか否かを検証する検証工程は、論理回路の開
発における一連の工程の中でも特に重要である。例え
ば、この検証工程において論理回路の機能動作に不具合
が発見されたとき、その前工程である設計工程に戻って
発見された不具合箇所に対処することになる。この際、
対処の仕方によっては新たな不具合を作り込む場合もあ
る。これは、開発されている論理回路が複雑になればな
るほどその可能性が高くなる。このため、通常、全ての
機能仕様の検証を再度行う必要が生じる。このように、
検証工程には多大な工数を必要とし、これは設計する論
理回路が複雑になればなるほど顕著となる。したがっ
て、この検証工程を短縮することによって開発期間を大
幅に削減することができる。

【０００３】このような論理回路の検証工程では、論理
シミュレーションによる方法あるいは形式的検証方法を
用いて機能検証が行われる。いずれの場合も、検証対象
となる論理回路を、構造記述や機能記述によってモデル
化することが多い。構造記述は、各構成要素と静的な接
続関係とにより回路構成を規定するもので、一方、機能
記述は、各構成要素の機能とこれら構成要素間の動的な
信号の転送状態とにより回路動作を規定するものであ
る。機能記述のうち、レジスタによって信号転送を行う
ものを、特に、レジスタトランスファレベル（Register
Transfer Level：以下、ＲＴＬと略す。）記述と呼ん
でいる。

【０００４】論理シミュレーションによる方法は、例え
ばＲＴＬ記述してモデル化された検証対象となる論理回
路に対して、予め用意していた入力データ列を与え、模
擬的に論理動作させる。そして、その出力である出力デ
ータ列を、同様に予め用意していた期待値データ列と一
致するか否かを判別して、所定の機能仕様を満たしてい
るか否かを検証する。しかしながら、用意していた入力
データ列の範囲でしか検証対象の正当性を確認すること
ができない。そこで、本来の検証すべき項目を網羅する
入力データ列を作成しようとすると、網羅すべき項目を
机上で作成している限り、検証すべき項目に漏れがある
可能性が高く、検証項目を全て網羅したことを保証する
ことが非常に難しい。検証項目に漏れがあった場合、後
工程あるいは製造後に不具合が発見されることになり、
開発期間や製造コストの面で問題が生じる。また、入力
データ列を作成するにはある程度の工数を要し、本来の
検証すべき全項目について入力データ列を作成しようと
した場合、膨大な工数を必要とする。

【０００５】これに対して形式的検証方法は、例えばＲ
ＴＬ記述してモデル化された検証対象となる論理回路を
有限状態機械に変換し、検証すべき仕様を満たしている
か否かを数学的に検証する方法である。有限状態機械
は、有限個の状態を有し、その上での状態遷移が定義さ
れる状態遷移動作モデルの一種であり、同期式順序回路
は有限状態機械へ変換可能である。このような形式的検
証では、論理シミュレーションのように検証項目に対応
したデータ列が不要であり、本来検証すべき項目の正当
性を網羅的に確認することが可能であるため、次世代の
機能検証手法として期待されている。

【０００６】この形式的検証の手法としては、時相論理
を用いるものがある。時相論理とは、時間の概念を陽に
表現するための時相演算子を従来の命題論理に付加した
論理体系である。形式的検証では、まず、この時相論理
を用いて、検証すべき項目からなる検証仕様を記述す
る。そして、検証対象である順序回路を示す有限状態機
械が、この時相論理で記述された検証仕様を満足するか
否かを検証する。このような形式的検証方法に関する技
術は、例えば「論理回路処理に基づく形式的検証手法」
（平石、浜口、情報処理、Vol.35(8)、pp710-718、199
4）および特開平１０−６３５３７号公報「プロパティ
検証方法および装置」に開示されている。

【０００７】これら文献で開示されている形式的検証方
法では、検証仕様は、仕様記述言語として時相論理の一
種である計算木論理（Computation Tree Logic：以下、
ＣＴＬと略す。）を用いて示される。ＣＴＬでは、通常
の論理演算子の他に、「全ての遷移系列に対して」を意
味する全称記号（Ａ）や、「ある遷移系列に対して」を
意味する存在機構（Ｅ）があり、これらに時間に関する
性質を示す時相論理演算子を組み合わせて使用する。時
相論理演算子としては、「次の」を意味する“Ｘ”、
「いつか」を意味する“Ｆ”、「常に」を意味する
“Ｇ”、「まで」を意味する“Ｕ”がある。例えば時相
論理“ＡＧｐ”は、「初期状態から全ての遷移系列にお
いて常にｐが成立する」ことを意味する。

【０００８】一方、検証対象となる順序回路は、有限個
の状態数の間で状態遷移する機能モデルとしての有限状
態機械に変換される。この有限状態機械は、状態遷移の
トレースに適したＫｒｉｐｋｅ構造で表現することがで
きる。Ｋｒｉｐｋｅ構造Ｋは、状態の有限集合をＶ、状
態間の遷移関係をＲ、各状態で真になる原始命題の集合
をＩ、初期状態の集合をＶ₀とすると、次式のように示
される。

【０００９】 Ｋ＝（Ｖ，Ｒ，Ｉ，Ｖ₀） ・・・（１）

【００１０】形式的検証方法の中でも、記号モデル手法
は、（１）式で示されるＫｒｉｐｋｅ構造で表現される
有限状態機械の状態遷移をたどり、上述した検証仕様を
示す時相論理が各状態集合において成立するか否かを検
証する。ここで、状態“ｐ”から到達可能な状態は像計
算、状態“ｑ”へ到達可能な状態は逆像計算を行うこと
で探索することができる。この像計算には、集合演算を
論理演算に置き換えられるように、論理演算を二分決定
グラフ（Binary Decision Diagram：以下、ＢＤＤと略
す。）で表現する。これにより、多くの論理関数をコン
パクトに表現し、高速に実行することができ、より多く
の状態数をもつ順序回路に対して、処理時間を短縮して
形式的検証を行うことができるようになる。

【００１１】このような形式的検証方法では、例えば、
時相論理が上述した“ＡＧｐ”の場合、Ｋｒｉｐｋｅ構
造で表現される有限状態機械の初期状態から、順次像計
算を行って遷移可能な状態集合の全てをたどる。そし
て、結果的に全ての遷移が論理式“ｐ”の成立する状態
に到達するか否かを検証する。これにより、検証対象の
順序回路をモデル化した有限状態機械が検証仕様を満足
していることを、網羅的に確認することができる。

【００１２】また他に、このような形式的検証方法に関
する技術として、例えば特開平９−１１４８８０号公報
「論理装置の検証方法」には、構造記述の設計仕様デー
タと、外部仕様データとをそれぞれ抽象化後、再帰関数
間の等価性を証明する再帰帰納法を拡張した第２拡張再
帰帰納法を用いて抽象化後のデータの等価性を検証する
技術が開示されている。

【００１３】

【発明が解決しようとする課題】しかしながら従来提案
された形式的検証方法は、ＢＤＤを用いて論理関数処理
を行うにもかかわらず、検証対象となる順序回路の規模
が大きくなるにしたがい、もはや処理能力の範囲の限界
に達している。これは、フリップフロップの個数が増加
し、これに対応して状態数の増加により、ＢＤＤだけで
は対処できないことを意味する。したがって、複雑化し
た順序回路のように状態数が増加した場合にも、論理回
路の網羅的な検証を可能とする形式的検証方法の効率化
が望まれている。

【００１４】また従来提案された形式的検証方法は、Ｃ
ＴＬやその他特定の複雑な言語で検証仕様を記述する必
要がある。したがって、検証仕様を記述するための言語
が、非常に複雑であるため、この検証仕様が、複雑な言
語で記述した作成者の熟練度や技量に依存してしまう。
さらに作成者以外の第三者が、その記述から客観的に検
証仕様を把握することも非常に難しくなる。このため、
検証仕様に、必要十分な検証項目が、全て漏れなく盛り
込まれているか否かを判断することが非常に難しい。

【００１５】このように従来提案された形式的検証方法
では、検証対象が複雑になればなるほど飛躍的に高い処
理能力と大容量の記憶容量と、検証仕様作成者の高い熟
練度あるいは技量とを必要としてしまう。これは、汎用
的にあらゆる種類の同期式順序回路の形式的検証に対応
するためである。しかしながら、実際の論理回路の開発
においては、一般的な順序回路として、カウンタ回路な
どの特定の回路モジュールが多用される。したがって、
これら回路モジュールごとに、高速かつ小容量の記憶容
量で形式的検証を行って、不具合を除去するほうが開発
期間を短縮できる場合がある。また、同時に、複雑な言
語で検証仕様を記述せずに、検証仕様作成者以外の第三
者にも容易に理解できる検証仕様を定義することが望ま
れる。

【００１６】そこで本発明の目的は、例えばカウンタ回
路のように、検証仕様が固定化され、かつ網羅的な検証
仕様の指定が可能な回路部分について効率的な形式的検
証を可能とする形式的検証装置および方法を提供するこ
とにある。

【００１７】

【課題を解決するための手段】請求項１記載の発明で
は、（イ）検証対象となる順序回路の設計仕様を記述し
た回路設計情報を入力するための回路設計情報入力手段
と、（ロ）この回路設計情報入力手段から入力された回
路設計情報から順序回路の変数を抽出する第１の変数抽
出手段と、（ハ）回路設計情報から順序回路における状
態変数の遷移条件を抽出する第１の条件抽出手段と、
（ニ）順序回路における状態変数の割り当て方法を指定
する状態割当指定手段と、（ホ）この状態割当指定手段
によって指定された状態割り当て方法にしたがって第１
の変数抽出手段および第１の条件抽出手段によって抽出
された変数および遷移条件から、有限個の状態を有しこ
れら状態間の遷移が定義される状態遷移動作モデルとし
ての有限状態機械を生成する第１の有限状態機械生成手
段と、（ヘ）順序回路の検証項目を予め項目化したテン
プレートを入力するためのテンプレート入力手段と、
（ト）このテンプレート入力手段から入力されたテンプ
レートから変数を抽出する第２の変数抽出手段と、
（チ）テンプレートから順序回路における状態変数の遷
移条件を抽出する第２の条件抽出手段と、（リ）テンプ
レートで指定された順序回路における状態変数の状態割
り当て方法にしたがって第２の変数抽出手段および第２
の条件抽出手段によって抽出された変数および遷移条件
から有限状態機械を生成する第２の有限状態機械生成手
段と、（ヌ）第１および第２の有限状態機械生成手段に
よって生成された有限状態機械同士を照合する有限状態
機械照合手段と、（ル）この有限状態機械照合手段によ
って照合された結果を通知する照合結果通知手段とを形
式的検証装置に具備させる。

【００１８】すなわち請求項１記載の発明では、回路設
計情報入力手段から検証対象の順序回路の設計仕様を記
述した回路設計情報と、この検証対象の順序回路の検証
項目を予め項目化したテンプレートとを入力させる。回
路設計情報は回路設計情報入力手段から入力させ、第１
の変数抽出手段で検証対象となる順序回路の変数を、第
１の条件抽出手段で状態変数の遷移条件を、それぞれ抽
出させる。そして、状態割当指定手段によって指定され
た検証対象の順序回路における状態変数の割り当て方法
にしたがって、第１の有限状態機械生成手段でこれら抽
出された変数および遷移条件に基づいて有限状態機械を
生成させる。一方、テンプレートはテンプレート入力手
段から入力させ、第２の変数抽出手段で検証対象となる
順序回路の変数を、第２の条件抽出手段で状態変数の遷
移条件を、それぞれ抽出させる。そして、このテンプレ
ートで指定された検証対象の順序回路における状態変数
の割り当て方法にしたがって、第２の有限状態機械生成
手段でこれら抽出された変数および遷移条件に基づいて
有限状態機械を生成させる。これら生成された有限状態
機械同士を有限状態機械照合手段で照合し、この照合結
果を照合結果通知手段で通知させることによって、検証
対象となる順序回路の形式的検証を行う。

【００１９】請求項２記載の発明では、（イ）検証対象
となるカウンタ回路の設計仕様を記述した回路設計情報
を入力するための回路設計情報入力手段と、（ロ）この
回路設計情報入力手段から入力された回路設計情報から
カウンタ回路の変数を抽出する第１の変数抽出手段と、
（ハ）回路設計情報からカウンタ回路における状態変数
の遷移条件を抽出する第１の条件抽出手段と、（ニ）カ
ウンタ回路における状態変数の割り当て方法を指定する
状態割当指定手段と、（ホ）この状態割当指定手段によ
って指定された状態割り当て方法にしたがって第１の変
数抽出手段および第１の条件抽出手段によって抽出され
た変数および遷移条件から、有限個の状態を有しこれら
状態間の遷移が定義される状態遷移動作モデルとしての
有限状態機械の状態変数と遷移条件とを対にした節点お
よびこれら節点間を結ぶ枝を生成する第１の有限状態機
械生成手段と、（ヘ）カウンタ回路の検証項目として状
態変数名、状態割り当て方法、状態変数の初期値、上限
値、下限値および遷移条件を予め項目化したテンプレー
トを入力するためのテンプレート入力手段と、（ト）こ
のテンプレート入力手段から入力されたテンプレートか
ら変数を抽出する第２の変数抽出手段と、（チ）テンプ
レートからカウンタ回路における状態変数の遷移条件を
抽出する第２の条件抽出手段と、（リ）テンプレートで
指定された状態割り当て方法にしたがって第２の変数抽
出手段および第２の条件抽出手段によって抽出された変
数および遷移条件から、有限状態機械の状態変数と遷移
条件とを対にした節点およびこれら節点間を結ぶ枝を生
成する第２の有限状態機械生成手段と、（ヌ）第１およ
び第２の有限状態機械生成手段によって生成された有限
状態機械を構成する全節点の一致を照合する節点照合手
段と、（ル）この節点照合手段によって互いの節点が全
て一致したとき第１および第２の有限状態機械の節点に
対応して遷移先の節点を指定する枝の全ての一致を照合
する枝照合手段と、（ヲ）この枝照合手段によって照合
された結果を通知する照合結果通知手段とを形式的検証
装置に具備させる。

【００２０】すなわち請求項２記載の発明では、回路設
計情報入力手段から検証対象のカウンタ回路の設計仕様
を記述した回路設計情報と、この検証対象のカウンタ回
路の検証項目を予め項目化したテンプレートとを入力さ
せる。カウンタ回路のテンプレートは、検証項目として
状態変数名、状態割り当て方法、状態変数の初期値、上
限値、下限値および遷移条件が予め項目化されている。
回路設計情報は回路設計情報入力手段から入力させ、第
１の変数抽出手段で検証対象となる順序回路の変数を、
第１の条件抽出手段で状態変数の遷移条件を、それぞれ
抽出させる。そして、状態割当指定手段によって指定さ
れた検証対象の順序回路における状態変数の割り当て方
法にしたがって、第１の有限状態機械生成手段でこれら
抽出された変数および遷移条件に基づいて、状態変数と
遷移条件とからなる節点とこれら節点間を結ぶ枝からな
る、いわゆるＫｒｉｐｋｅ構造の有限状態機械を生成さ
せる。一方、テンプレートはテンプレート入力手段から
入力させ、第２の変数抽出手段で検証対象となる順序回
路の変数を、第２の条件抽出手段で状態変数の遷移条件
を、それぞれ抽出させる。そして、このテンプレートで
指定された検証対象の順序回路における状態変数の割り
当て方法にしたがって、第２の有限状態機械生成手段で
これら抽出された変数および遷移条件に基づいて、状態
変数と遷移条件とからなる節点とこれら節点間を結ぶ枝
からなる、いわゆるＫｒｉｐｋｅ構造の有限状態機械を
生成させる。これら有限状態機械同士は、まず節点照合
手段で全ての節点が一致したことが照合され、次に枝照
合手段で各節点に対応して遷移先を指定する枝がすべて
一致したことが照合され、この照合結果は照合結果通知
手段で通知される。

【００２１】請求項３記載の発明では、（イ）検証対象
となる同期保護回路の設計仕様を記述した回路設計情報
を入力するための回路設計情報入力手段と、（ロ）この
回路設計情報入力手段から入力された回路設計情報から
同期保護回路の変数を抽出する第１の変数抽出手段と、
（ハ）回路設計情報から同期保護回路における状態変数
の遷移条件を抽出する第１の条件抽出手段と、（ニ）同
期保護回路における状態変数の割り当て方法を指定する
状態割当指定手段と、（ホ）この状態割当指定手段によ
って指定された状態割り当て方法にしたがって第１の変
数抽出手段および第１の条件抽出手段によって抽出され
た変数および遷移条件から、有限個の状態を有しこれら
状態間の遷移が定義される状態遷移動作モデルとしての
有限状態機械の状態変数と遷移条件とを対にした節点お
よびこれら節点間を結ぶ枝を生成する第１の有限状態機
械生成手段と、（ヘ）同期保護回路の検証項目として状
態変数名、状態割り当て方法、遷移条件、条件成立保護
段数および条件非成立保護段数を予め項目化したテンプ
レートを入力するためのテンプレート入力手段と、
（ト）このテンプレート入力手段から入力されたテンプ
レートから変数を抽出する第２の変数抽出手段と、
（チ）テンプレートに指定された遷移条件、条件成立保
護段数および条件非成立保護段数から同期保護回路にお
ける状態変数の遷移条件を抽出する第２の条件抽出手段
と、（リ）テンプレートで指定された状態割り当て方法
にしたがって第２の変数抽出手段および第２の条件抽出
手段によって抽出された変数および遷移条件から、有限
状態機械の状態変数と遷移条件とを対にした節点および
これら節点間を結ぶ枝を生成する第２の有限状態機械生
成手段と、（ヌ）第１および第２の有限状態機械生成手
段によって生成された有限状態機械を構成する全節点の
一致を照合する節点照合手段と、（ル）この節点照合手
段によって互いの節点が全て一致したとき第１および第
２の有限状態機械の節点に対応して遷移先の節点を指定
する枝の全ての一致を照合する枝照合手段と、（ヲ）こ
の枝照合手段によって照合された結果を通知する照合結
果通知手段とを形式的検証装置に具備させる。

【００２２】すなわち請求項３記載の発明では、検証対
象となる順序回路が同期保護回路の場合にはテンプレー
トに検証項目として、予め項目化した状態変数名、状態
割り当て方法、遷移条件、条件成立保護段数および条件
非成立保護段数を設けるようにした。そして、請求項２
記載の発明と同様に、同期保護回路の設計仕様を記述し
た回路設計情報と、このテンプレートとからそれぞれＫ
ｒｉｐｋｅ構造の有限状態機械を生成するようにしてい
る。特に、第２の変数抽出手段でテンプレートから検証
対象となる順序回路の変数を抽出し、第２の条件抽出手
段でこのテンプレートで指定された遷移条件、条件成立
保護段数および条件非成立保護段数から変数の遷移条件
を抽出するようにした。そして、このテンプレートで指
定された検証対象の順序回路における状態変数の割り当
て方法にしたがって、第２の有限状態機械生成手段でこ
れら抽出された変数および遷移条件に基づいて、状態変
数と遷移条件とからなる節点とこれら節点間を結ぶ枝か
らなるいわゆるＫｒｉｐｋｅ構造の有限状態機械を生成
させる。これら有限状態機械同士は、まず節点照合手段
で全ての節点が一致したことが照合され、次に枝照合手
段で各節点に対応して遷移先を指定する枝がすべて一致
したことが照合され、この照合結果は照合結果通知手段
で通知される。

【００２３】請求項４記載の発明では、（イ）検証対象
となる順序回路の設計仕様を記述した回路設計情報から
抽出した変数および順序回路における状態変数の遷移条
件に基づいて予め指定された順序回路における状態変数
の割り当て方法にしたがって回路設計情報から変換した
有限個の状態を有しこれら状態間の遷移が定義される状
態遷移動作モデルとしての第１の有限状態機械と、順序
回路の検証項目を予め項目化したテンプレートから抽出
した変数および順序回路における状態変数の遷移条件に
基づいてテンプレートで指定された状態割り当て方法に
したがってテンプレートから変換した第２の有限状態機
械とをそれぞれ生成する有限状態機械生成ステップと、
（ロ）この有限状態機械生成ステップで生成された第１
および第２の有限状態機械同士を照合する有限状態機械
照合ステップと、（ハ）この有限状態機械照合ステップ
で照合された結果を通知する照合結果通知ステップとを
形式的検証方法に具備させる。

【００２４】すなわち請求項４記載の発明では、有限状
態機械生成ステップで、検証対象となる順序回路の設計
仕様を記述した回路設計情報から第１の有限状態機械
と、この順序回路の検証項目を予め項目化したテンプレ
ートから第２の有限状態機械を、それぞれ生成させるよ
うにした。第１の有限状態機械は、回路設計情報から抽
出した変数および順序回路における状態変数の遷移条件
に基づいて、予め指定された方法にしたがって順序回路
における状態変数の割り当てを行って生成する。一方、
第２の有限状態機械は、このテンプレートから抽出した
変数および順序回路における状態変数の遷移条件に基づ
いて、同様にテンプレートで指定された状態割り当て方
法にしたがって状態割り当てを行って生成する。そし
て、有限状態機械照合ステップで、これら第１および第
２の有限状態機械同士を照合させ、照合結果通知ステッ
プで、この照合結果を通知させるようにした。

【００２５】請求項５記載の発明では、（イ）検証対象
となるカウンタ回路の設計仕様を記述した回路設計情報
から抽出した変数およびカウンタ回路における状態変数
の遷移条件に基づいて予め指定されたカウンタ回路にお
ける状態変数の割り当て方法にしたがって回路設計情報
から変換した状態変数と遷移条件とを対にした節点およ
びこれら節点間を結ぶ枝からなり、有限個の状態を有し
これら状態間の遷移が定義される状態遷移動作モデルと
しての第１の有限状態機械と、カウンタ回路の検証項目
として状態変数名、状態割り当て方法、状態変数の初期
値、上限値、下限値および遷移条件を予め項目化したテ
ンプレートから抽出した変数およびカウンタ回路におけ
る状態変数の遷移条件に基づいてテンプレートで指定さ
れた状態割り当て方法にしたがってテンプレートから変
換した状態変数と遷移条件とを対にした節点およびこれ
ら節点間を結ぶ枝からなる第２の有限状態機械とを生成
する有限状態機械生成ステップと、（ロ）この有限状態
機械生成ステップで生成された第１および第２の有限状
態機械を構成する全節点が一致するかを照合する節点照
合ステップと、（ハ）この節点照合ステップで互いの節
点が全て一致したとき第１および第２の有限状態機械の
節点に対応して遷移先の節点を指定する枝が全て一致す
るかを照合する枝照合ステップと、（ニ）この枝照合ス
テップで照合された結果を通知する照合結果通知ステッ
プとを形式的検証方法に具備させる。

【００２６】すなわち請求項５記載の発明では、有限状
態機械生成ステップで、検証対象となるカウンタ回路の
設計仕様を記述した回路設計情報から第１の有限状態機
械と、このカウンタ回路の検証項目を予め項目化したテ
ンプレートから第２の有限状態機械を、それぞれ生成さ
せるようにした。このテンプレートは、カウンタ回路の
検証項目として状態変数名、状態割り当て方法、状態変
数の初期値、上限値、下限値および遷移条件を予め項目
化されている。第１の有限状態機械は、回路設計情報か
ら抽出した変数およびカウンタ回路における状態変数の
遷移条件に基づいて、予め指定された方法にしたがって
カウンタ回路における状態変数の割り当てを行って生成
された、状態変数と遷移条件との対である節点とこれら
節点間を結ぶ枝からなる、いわゆるＫｒｉｐｋｅ構造の
有限状態機械である。一方、第２の有限状態機械は、テ
ンプレートから抽出した変数およびカウンタ回路におけ
る状態変数の遷移条件に基づいて、テンプレートで指定
された状態割り当て方法にしたがってテンプレートから
変換した状態変数と遷移条件とを対にした節点およびこ
れら節点間を結ぶ枝からなる、いわゆるＫｒｉｐｋｅ構
造をなしている。次に、節点照合ステップで、この有限
状態機械生成ステップで生成された第１および第２の有
限状態機械を構成する全節点が一致するかが照合され、
枝照合ステップで、この節点照合ステップで互いの節点
が全て一致したとき第１および第２の有限状態機械の節
点に対応して遷移先の節点を指定する枝が全て一致する
かを照合させる。照合結果通知ステップでは、この枝照
合ステップで照合された結果を通知させる。

【００２７】請求項６記載の発明では、（イ）検証対象
となる同期保護回路の設計仕様を記述した回路設計情報
から抽出された変数および同期保護回路における状態変
数の遷移条件に基づいて予め指定された同期保護回路に
おける状態変数の割り当て方法にしたがって回路設計情
報から変換した状態変数と遷移条件とを対にした節点お
よびこれら節点間を結ぶ枝からなり、有限個の状態を有
しこれら状態間の遷移が定義される状態遷移動作モデル
としての第１の有限状態機械と、同期保護回路の検証項
目として状態変数名、状態割り当て方法、遷移条件、条
件成立保護段数および条件非成立保護段数を予め項目化
したテンプレートから抽出した変数およびテンプレート
に指定された遷移条件、条件成立保護段数および条件非
成立保護段数から抽出した同期保護回路における状態変
数の遷移条件に基づいてテンプレートで指定された状態
割り当て方法にしたがってテンプレートから変換した状
態変数と遷移条件とを対にした節点およびこれら節点間
を結ぶ枝からなる第２の有限状態機械とを生成する有限
状態機械生成ステップと、（ロ）この有限状態機械生成
ステップで生成された第１および第２の有限状態機械を
構成する全節点が一致するかを照合する節点照合ステッ
プと、（ハ）この節点照合ステップで互いの節点が全て
一致したとき第１および第２の有限状態機械の節点に対
応して遷移先の節点を指定する枝が全て一致するかを照
合する枝照合ステップと、（ニ）この枝照合ステップで
照合された結果を通知する照合結果通知ステップとを形
式的検証方法に具備させる。

【００２８】すなわち請求項６記載の発明では、有限状
態機械生成ステップで、検証対象となる同期保護回路の
設計仕様を記述した回路設計情報から第１の有限状態機
械と、この同期保護回路の検証項目を予め項目化したテ
ンプレートから第２の有限状態機械を、それぞれ生成さ
せるようにした。このテンプレートは、同期保護回路の
検証項目として状態変数名、状態割り当て方法、遷移条
件、条件成立保護段数および条件非成立保護段数を予め
項目化されている。第１の有限状態機械は、回路設計情
報から抽出した変数および同期保護回路における状態変
数の遷移条件に基づいて、予め指定された方法にしたが
って同期保護回路における状態変数の割り当てを行って
生成された、状態変数と遷移条件との対である節点とこ
れら節点間を結ぶ枝からなる、いわゆるＫｒｉｐｋｅ構
造の有限状態機械である。一方、第２の有限状態機械
は、テンプレートから抽出した変数と、テンプレートに
指定された遷移条件、条件成立保護段数および条件非成
立保護段数から抽出された同期保護回路における状態変
数の遷移条件に基づいて、テンプレートで指定された状
態割り当て方法にしたがってテンプレートから変換した
状態変数と遷移条件とを対にした節点およびこれら節点
間を結ぶ枝からなる、いわゆるＫｒｉｐｋｅ構造をなし
ている。次に、節点照合ステップで、この有限状態機械
生成ステップで生成された第１および第２の有限状態機
械を構成する全節点が一致するかが照合され、枝照合ス
テップで、この節点照合ステップで互いの節点が全て一
致したとき第１および第２の有限状態機械の節点に対応
して遷移先の節点を指定する枝が全て一致するかを照合
させる。照合結果通知ステップでは、この枝照合ステッ
プで照合された結果を通知させる。

【００２９】

【発明の実施の形態】

【００３０】

【実施例】以下実施例につき本発明を詳細に説明する。

【００３１】第１の実施例

【００３２】図１は本発明の第１の実施例における形式
的検証装置の構成の概要を表わしたものである。第１の
実施例における形式的検証装置は、例えばカウンタ回路
などのように、検証すべき項目としての検証仕様がほぼ
固定化されている順序回路の設計仕様を記述した回路設
計情報に対して形式的検証を行う。この設計仕様として
は、例えば構造記述で規定される回路構造やＲＴＬ記述
で規定される回路機能等がある。以下では、設計仕様と
して検証対象となる順序回路の機能がＲＴＬ記述で記述
される回路設計情報を用いるものとして説明する。この
形式的検証装置は、回路設計情報としてＲＴＬ記述の回
路記述で規定された検証対象となる順序回路を上述した
Ｋｒｉｐｋｅ構造で表現された有限状態機械に変換する
回路記述処理部１０と、検証対象の順序回路の検証仕様
を発生するためのテンプレートからＫｒｉｐｋｅ構造で
表現された有限状態機械に変換するテンプレート処理部
１１とを備えている。さらに、この形式的検証装置は、
回路記述処理部１０およびテンプレート処理部１１でそ
れぞれ変換された有限状態機械同士を照合する有限状態
機械照合部１２と、この有限状態機械照合部１２の照合
結果を通知する照合結果通知部１３とを有している。Ｋ
ｒｉｐｋｅ構造で表現された有限状態機械は、各状態と
遷移条件とを対にして表わされるため、有限状態機械を
構成する各状態と各枝とを対比することによって、複雑
な有限状態機械同士の照合を容易に行うことができる。

【００３３】回路記述処理部１０は、検証対象の順序回
路を規定する回路記述としてＲＴＬ記述された回路設計
情報を入力するための回路記述入力部１４と、この回路
記述入力部１４から入力されたＲＴＬ記述を参照してＲ
ＴＬ記述内で規定されている有限状態機械に変換するた
めの変数および遷移条件を抽出する変数・条件抽出部１
５と、実際の回路を生成する際に用いる順序回路の各状
態の割り当て方法を指定する状態割当指定部１６とを有
している。さらに、回路記述処理部１０は、変数・条件
抽出部１５で抽出された変数および遷移条件と状態割当
指定部１６によって割り当てられた状態の割り当て方法
とにしたがって有限状態機械を生成する有限状態機械変
換部１７を備えている。有限状態機械変換部１７は、有
限状態機械の各節点を生成する節点生成部１８と、この
節点生成部１８によって生成された節点同士を接続する
枝を生成する枝生成部１９とを備えている。

【００３４】テンプレート処理部１１は、検証対象とな
る順序回路に応じて、その検証すべき項目が検証仕様と
して予め項目化され、この各項目内容を入力するための
テンプレート入力部２０と、このテンプレート入力部２
０から入力された検証項目を参照して有限状態機械に変
換するための変数および遷移条件を抽出する変数・条件
抽出部２１と、テンプレート入力部２０から入力された
テンプレートに規定され実際の回路を生成する際に用い
る順序回路の各状態の割り当て方法を抽出する状態割当
抽出部２２とを有している。さらに、テンプレート処理
部１１は、変数・条件抽出部２１で抽出された変数およ
び遷移条件と状態割当抽出部２２によってテンプレート
から抽出された状態の割り当て方法とにしたがって有限
状態機械を生成する有限状態機械変換部２３を備えてい
る。有限状態機械変換部２３は、有限状態機械の各節点
を生成する節点生成部２４と、この節点生成部２４によ
って生成された節点同士を接続する枝を生成する枝生成
部２５とを備えている。

【００３５】図２はテンプレート入力部２０から入力さ
れるテンプレートの構成の概要を表わしたものである。
テンプレート３０は、有限状態機械の各状態を示すため
の状態変数名３１と、各状態の割り当て方法を指定する
状態割当指定３２と、検証対象となる順序回路の種類、
構成や規模に応じて異なる検証すべき複数の第１〜第Ｐ
の検証項目３３₁〜３３_Pとから構成されている。左欄の
項目３４は、例えば検証対象となる順序回路がカウンタ
回路である場合、予め初期値、下限値、上限値、ＵＰ条
件、ＤＯＷＮ条件、そして各種クリア条件とクリア値の
組み合わせなどの検証項目が設けられている。変数・条
件抽出部２１は、このテンプレートの左欄の項目３４に
対応して右欄に予め設定されている設定値３５から、有
限状態機械を生成するための変数および遷移条件を抽出
する。

【００３６】この形式的検証装置は、検証対象となる順
序回路が例えばカウンタ回路等のように検証仕様がほぼ
固定化されている場合、この順序回路を規定するＲＴＬ
記述と、検証仕様として検証すべき項目を全て項目化し
たテンプレートとに基づいて、形式的検証を行う。この
際、入力された回路記述およびテンプレートからそれぞ
れ直接的に有限状態機械に変換し、これら有限状態機械
同士を照合することによって、形式的検証を行うことが
できるようになっている。

【００３７】図３は回路記述処理部１０およびテンプレ
ート処理部１１によって変換される有限状態機械の一例
を表わしたものである。ここでは、カウンタ値を示す有
限状態機械の状態変数ＣＮＴの取り得る値の範囲が
“０”〜“３”で、クリア条件ｆｐｂが１ビットのカウ
ンタ回路について、バイナリエンコーディングされた複
数の状態からなる有限状態機械を示している。この有限
状態機械は、上述したＫｒｉｐｋｅ構造で表現されてお
り、８つの状態を有する状態集合Ｖと、２つの初期状態
を有する初期状態集合Ｖ₀とを有している。ここで、各
状態はそれぞれ真となる原始命題Ｉ、これら状態間の遷
移は枝Ｒとなることから、上述した（１）式に対応して
いる。すなわち、状態変数ＣＮＴの範囲“０”〜“３”
に対応して“００”〜“１１”の４種類の状態と、クリ
ア条件ｆｐｂの取り得る値“１”、“０”の２種類との
組み合わせにより、各状態は（ｆｐｂ，ＣＮＴ）で示さ
れる８種類の状態３６₁〜３６₈からなる。初期状態集合
Ｖ₀は、（０，００）で示される状態３６₁と状態（１，
００）で示される状態３６₂とからなる。状態集合Ｖ
は、初期状態集合Ｖ₀と、それぞれ（０，０１）、
（１，０１）、（０，１０）、（１，１０）、（０，１
１）そして（１，１１）で示される状態３６₃〜３６₈と
からなる。これら各状態３６₁〜３６₈は、それぞれ遷移
関係を示す枝３７で接続されている。

【００３８】図４は図３に示した有限状態機械の遷移の
様子を表わしたものである。ここでは、図３における有
限状態機械の状態３６₃、３６₄に着目している。同図
（ａ）は、図３に示したカウンタ回路の同期基準となる
クロック信号を示す。同図（ｂ）は、ある時刻Ｔにおけ
る状態変数ＣＮＴが“０１”の場合におけるＣＮＴの変
化を示す。同図（ｃ）は、ある時刻Ｔにおけるクリア条
件ｆｐｂが非アクティブである“１”の場合を示す。同
図（ｄ）は、ある時刻Ｔにおける状態変数ＣＮＴが“１
０”の場合におけるＣＮＴの変化を示す。同図（ｅ）
は、ある時刻Ｔにおけるクリア条件ｆｐｂがアクティブ
である“０”の場合を示す。

【００３９】同図（ｂ）に示すように、時刻Ｔで状態変
数ＣＮＴが“０１”で、クリア条件ｆｐｂが非アクティ
ブである“１”のとき、次のクロック信号の立ち上がり
で、状態変数ＣＮＴが“１０”に変化する。このタイミ
ングにおけるクリア条件ｆｐｂ３８は、非アクティブで
ある“１”、あるいはアクティブである“０”のどちら
かが入力される可能性がある。したがって、（１，０
１）を示す状態３６₄は、（１，１０）、（０，１０）
を示す状態３６₆、３６₅への遷移があることになり、こ
れに対応して枝で接続される。

【００４０】また、同図（ｄ）に示すように、時刻Ｔで
状態変数ＣＮＴが“０１”で、クリア条件ｆｐｂがアク
ティブである“１”のとき、次のクロック信号の立ち上
がりで、状態変数ＣＮＴはクリアされて“００”に変化
する。このタイミングにおけるクリア条件ｆｐｂ３９
は、非アクティブである“１”、あるいはアクティブで
ある“０”のどちらかが入力される可能性がある。した
がって、（０，０１）を示す状態３６₃は、（１，０
０）、（０，００）を示す状態３６₂、３６₁への遷移が
あることになり、これに対応して枝で接続される。他の
遷移も同様にして示される。

【００４１】以下では、このような有限状態機械への変
換を行う第１の実施例における形式的検証装置の回路記
述処理部１０およびテンプレート処理部１１の要部構成
について説明する。

【００４２】図５は図１に示した回路記述処理部１０の
構成要部の概要を表わしたものである。ただし、図１に
示した形式的検証装置と同一部分には同一符号を付し、
適宜説明を省略する。変数・条件抽出部１５は、変数抽
出部４０と、変数代入・条件抽出部４１とを有してい
る。節点生成部１８は、変数範囲判定部４２と、変数状
態割当部４３と、節点化部４４とを有している。回路記
述入力部１４から入力された検証対象の順序回路を規定
するＲＴＬ記述された回路設計情報は、変数・条件抽出
部１５に入力される。変数・条件抽出部１５では、変数
抽出部４０において、入力されたＲＴＬ記述で用いられ
る内部変数および外部変数が抽出される。さらに変数代
入・条件抽出部４１において、この変数抽出部４０で抽
出された内部変数および外部変数について、ＲＴＬ記述
内における条件と変数代入とが網羅的に抽出される。変
数・条件抽出部１５で抽出された各変数代入および条件
は、有限状態機械変換部１７に通知される。

【００４３】有限状態機械変換部１７では、節点生成部
１８において、状態割当指定部１６から指定された状態
割り当て方法にしたがって、抽出された変数の範囲で節
点を生成する。すなわち、節点生成部１８の変数範囲判
定部４２で、入力されたＲＴＬ記述から変数抽出部４０
で抽出された各変数に基づいて、各変数の取り得る範囲
を判定する。さらに、変数状態割当部４３で、例えばバ
イナリエンコーディングのように状態割当指定部１６で
指定された状態割り当て方法にしたがって、変数範囲判
定部４２で判定された変数範囲から状態の割り当てを行
う。節点化部４４は、変数状態割当部４３で割り当てら
れた状態と変数代入・条件抽出部４１で抽出された遷移
条件とに基づいて、全ての組み合わせの節点を生成す
る。このようにして生成された節点は、枝生成部１９に
おいて、抽出された変数代入および条件にしたがって遷
移される節点間に枝が生成される。

【００４４】図６は図１に示したテンプレート処理部１
１の構成要部の概要を表わしたものである。ただし、図
１に示した形式的検証装置と同一部分には同一符号を付
し、適宜説明を省略する。変数・条件抽出部２１は、変
数抽出部４５と、変数代入・条件抽出部４６とを有して
いる。節点生成部２４は、変数範囲判定部４７と、変数
状態割当部４８と、節点化部４９とを有している。枝生
成部２５は、テンプレート入力部２０から入力されるテ
ンプレートの構成に対応して第１〜第Ｎの枝生成部５０
₁〜５０_Nを備えている。テンプレート入力部２０から入
力されたテンプレートは、変数・条件抽出部２１に入力
される。変数・条件抽出部２１では、変数抽出部４５に
おいて、図２に示したように予め検証対象の順序回路に
応じて設けられた各検証項目の設定値から内部変数およ
び外部変数が解析されて抽出される。さらに変数代入・
条件抽出部４６において、変数抽出部４５で抽出された
内部変数および外部変数について、検証対象となる順序
回路に対応して設けられた検証項目に含まれる各種状態
遷移条件から、遷移条件と変数代入とが抽出される。変
数・条件抽出部２１で抽出された各変数代入および条件
は、有限状態機械変換部２３に通知される。

【００４５】有限状態機械変換部２３では、節点生成部
２４で状態割当抽出部２２によってテンプレートから抽
出された状態割り当て方法にしたがって、抽出された変
数の範囲で節点を生成する。すなわち、節点生成部２４
の変数範囲判定部４７で、入力されたテンプレートから
変数抽出部４５で抽出された各変数に基づいて、各変数
の取り得る範囲を判定する。さらに、変数状態割当部４
８で、例えばバイナリエンコーディングのように状態割
当抽出部２２で抽出された状態割り当て方法にしたがっ
て、変数範囲判定部４７で判定された変数範囲から状態
の割り当てを行う。節点化部４９は、変数状態割当部４
８で割り当てられた状態と変数代入・条件抽出部４６で
抽出された遷移条件と変数代入とに基づいて、全ての組
み合わせの節点を生成する。このようにして生成された
節点同士は、枝生成部２５で抽出された変数代入および
条件にしたがって生成された枝で接続される。枝生成部
２５では、変数代入・条件抽出部４６で抽出された各種
状態遷移条件に対応する第１〜第Ｎの枝生成部５０₁〜
５０_Nにおいて、節点生成部２４で生成された各節点同
士を接続する枝を生成する。

【００４６】このような構成の形式的検証装置は、例え
ばカウンタ回路などのように検証仕様がほぼ固定化され
た順序回路に対して、この順序回路を規定するＲＴＬ記
述と、上述したテンプレートとから、それぞれ直接的に
Ｋｒｉｐｋｅ構造で表現された有限状態機械に変換す
る。そして、それぞれの有限状態機械の節点および枝を
対比して有限状態機械同士を照合することによって、形
式的検証を行う。

【００４７】このような制御を可能とする形式的検証装
置は、図示しない中央処理装置（Central Processing U
nit：ＣＰＵ）を有しており、呼び出し専用メモリ（Rea
d Only Memory：ＲＯＭ）などの所定の記憶装置に格納
されたプログラムに基づいて各種制御を実行することが
できるようになっている。

【００４８】図７はこのような形式的検証を行うプログ
ラムの処理内容の概要を表わしたものである。まず、回
路記述入力部１４から入力された検証対象の順序回路を
規定した回路（ＲＴＬ）記述された回路設計情報を、上
述したように有限状態機械に変換する（ステップＳ５
２）。続いて、テンプレート入力部２０から入力された
検証対象の順序回路の検証項目を規定するテンプレート
の設定値を参照して、有限状態機械に変換する（ステッ
プＳ５３）。ステップＳ５２およびステップＳ５３で変
換された有限状態機械は、Ｋｒｉｐｋｅ構造で表現され
るようになっている。すなわち、変換された有限状態機
械は、各状態とこれらを結ぶ枝とで表現することができ
る。

【００４９】図８は回路記述処理部１０およびテンプレ
ート処理部１１によって行われた有限状態機械の変換結
果の一例を表わしたものである。同図（ａ）は、回路記
述処理部１０によって処理された有限状態機械の変換結
果を示す。同図（ｂ）は、テンプレート処理部１１によ
って処理された有限状態機械の変換結果を示す。同図
（ａ）に示すように、回路記述処理部１０による有限状
態機械の変換結果は、各状態を示す節点５４と、この節
点からの遷移先の節点によって示される第１〜第Ｍの枝
５５₁〜５５_Mとから構成されている。例えば、図３に示
す有限状態機械における（１，００）を示す状態３６₂
については、節点５４に（１，００）、第１の枝５５₁
に枝５６に対応する（０，０１）、第２の枝５５₂に枝
５７に対応する（１，０１）となる。また、同図（ｂ）
に示すように、テンプレート処理部１１による有限状態
機械の変換結果は、各状態を示す節点５８と、この節点
からの遷移先の節点によって示される第１〜第Ｌの枝５
９₁〜５９_Lとから構成されている。例えば、図３に示す
有限状態機械における（１，００）を示す状態３６₂に
ついては、節点５８に（１，００）、第１の枝５９₁に
枝５７に対応する（１，０１）、第２の枝５９₂に枝５
６に対応する（０，０１）となる。

【００５０】図７に戻って説明を続ける。ステップＳ５
２およびステップＳ５３で、それぞれ有限状態機械に変
換された後、図１に示す有限状態機械照合部１２におい
て、図８に示すように各処理結果の節点で示される各状
態同士の照合が行われる（ステップＳ６０）。図８に示
す処理結果の一例においては、同図（ａ）の節点５４に
対して、同図（ｂ）の節点５８にある複数の節点のう
ち、同じ節点（１，００）のものを検索する。次に、こ
れら状態間の遷移関係である枝の照合を行う（ステップ
Ｓ６１）。図８に示す処理結果の一例においては、第１
および第２の枝５５₁、５５₂が、同じ節点の枝である第
１および第２の枝５９₁、５９₂と同一か否かをチェック
する。このようにして、全ての節点について、それぞれ
の枝も同一のとき（ステップＳ６２：Ｙ）、照合結果通
知部１３により、検証仕様が成立したことを通知させ
（ステップＳ６３）、一連の処理を終了する（エン
ド）。ステップＳ６２で、節点あるいは枝の照合のうち
１つでも照合しなかったとき（ステップＳ６２：Ｎ）、
照合結果通知部１３により、検証仕様が不成立であった
ことを通知させ（ステップＳ６３）、一連の処理を終了
する（エンド）。

【００５１】次に、これまで説明した第１の実施例にお
ける形式的検証装置の動作について具体的に説明する。
以下では、検証対象となる順序回路を、クロック信号の
立ち上がりに同期して、状態変数ＣＮＴの取り得る値の
範囲“０”〜“３”でカウントし、そのクリア条件ｆｐ
ｂが１ビットのカウンタ回路とする。

【００５２】図９はこの検証対象となるカウンタ回路の
動作を示す状態遷移の様子を表わしたものである。この
ように検証対象のカウンタ回路は、状態変数ＣＮＴ“０
０”、“０１”、“１０”、“１１”に対応した状態間
を、クリア条件ｆｐｂの値に応じて遷移する。クリア条
件ｆｐｂは、“１”が非アクティブで、“０”がアクテ
ィブである。したがって、クロック信号の立ち上がりエ
ッジで、クリア条件ｆｐｂが“１”のときは、状態変数
ＣＮＴの値を“１”ずつカウントアップし、クリア条件
ｆｐｂが“０”のときは、無条件に状態変数ＣＮＴがク
リアされ“００”になる。状態変数ＣＮＴの上限値は
“１１”で、この上限値でさらにカウントアップした場
合、再び状態変数ＣＮＴは“００”に戻る。

【００５３】図１０はこのような検証対象のカウンタ回
路を規定するＲＴＬ記述例を表わしたものである。この
ＲＴＬ記述は、１行目および２行目の“ｐｒｏｃｅｓ
ｓ”および“ｂｅｇｉｎ”から１４行目の“ｅｎｄ ｐ
ｒｏｃｅｓｓ”までを１つの回路構成単位としている。
その動作としては、３行目のｉｆ条件が真、すなわちｃ
ｌｋ信号の立ち上がりエッジのとき、４行目から１３行
目までのｔｈｅｎ節の動作を行う。４行目のｉｆ条件が
真、すなわちクリア条件ｆｐｂがアクティブの“０”の
とき、状態変数ＣＮＴはクリアされ“０”になる。ま
た、７行目のｉｆ条件が真、すなわちクリア条件が非ア
クティブの“１”で、かつ状態変数ＣＮＴが“３”のと
き、状態変数ＣＮＴは“０”に設定される。さらに１０
行目で、クリア条件が非アクティブの“１”で、かつ状
態変数ＣＮＴが“３”ではないとき、状態変数ＣＮＴは
カウントアップされる。上述した３行目のｉｆ条件で示
されるｃｌｋ信号の立ち上がりエッジのたびに、このよ
うなカウント動作を行う。

【００５４】このようなＲＴＬ記述で規定されたカウン
タ回路の形式的検証を行うために、第１の実施例におけ
る形式的検証装置では、このカウンタ回路の検証仕様を
発生するために予め網羅的な検証項目が規定されたテン
プレートを用いる。

【００５５】図１１は図１０で規定したカウンタ回路の
形式的検証に用いるテンプレートの概要を表わしたもの
である。このテンプレート７０は、有限状態機械におけ
る状態割り当ての対象となる変数を指定する状態変数名
７１₁がＣＮＴであることを示す。そして、この状態変
数ＣＮＴの割り当て方法を指定する状態割当指定７１ ₂
は、バイナリエンコーディングが指定されている。この
ような状態割当指定としては、例えば各状態にそれぞれ
１ビットを割り当てるワンホットエンコーディングや、
隣接して割り当てられた状態間の互いの符号を１ビット
だけ異なるようにするグレイコードエンコーディングな
どがある。そして、状態変数ＣＮＴの初期値７１₃が
“０”として、下限値７１₄および上限値７１₅から、こ
のカウンタ回路が“０”から“３”までカウントされる
ことになる。さらに、ＵＰ条件７１ ₆“Ｔｒｕｅ”によ
り、カウントアップを指定する。このテンプレートは、
ＵＰ条件７１₆と排他的に指定することができるＤＯＷ
Ｎ条件７１₇の項目があり、ＤＯＷＮ条件７１₇が“Ｔｒ
ｕｅ”のとき、カウントダウンを指定する。あるいは、
外部変数に応じてＵＰ条件７１₆あるいはＤＯＷＮ条件
７１₇のいずれか一方が排他的に真となるように指定す
ることも可能である。

【００５６】その他、遷移条件としての第１のクリア条
件７１₈では、クリア条件ｆｐｂが“０”のとき、状態
変数ＣＮＴが第１のクリア値７１₉で示される状態に遷
移させられることを示している。その他の遷移条件とし
て第２のクリア条件７１₁₀と、第２のクリア条件７１₁₀
が真になったときの状態変数ＣＮＴの遷移する値を示す
第２のクリア値７１₁₁の項目があるが、ここでは指定さ
れない。他に、イネーブル条件などが規定される場合も
ある。さらに、ＵＰ条件７１₆が“Ｔｒｕｅ”であるこ
とに対応して、ＵＰ上限値保持７１₁₂を“Ｎｏ”とする
ことで、状態変数ＣＮＴが上限値のとき、さらにカウン
トアップすると状態変数ＣＮＴを再び“０”に遷移させ
て動作させることを示す。ＵＰ上限値保持７１₁₂が“Ｙ
ｅｓ”のときは、それ以上ＣＮＴの値を変更せず、上限
値を保持させる。ＤＯＷＮ条件７１₇が“Ｔｒｕｅ”の
場合には、ＤＯＷＮ下限値保持７１₁₃で“Ｙｅｓ”ある
いは“Ｎｏ”を指定する。

【００５７】上述した図７に示す形式的検証の処理の流
れに従い、まず図１０に示す検証対象のカウンタ回路を
規定するＲＴＬ記述が、回路記述処理部１０の回路記述
入力部１４に入力される。ここでは、図７のステップＳ
５２で示したように、ＲＴＬ記述で規定された回路設計
情報を有限状態機械に変換する。

【００５８】図１２は図７のステップＳ５２に示す回路
記述処理部１０における上述のカウンタ回路を規定する
回路（ＲＴＬ）記述から有限状態機械への変換処理の内
容の概要を表わしたものである。まず、回路記述入力部
１４から図１０に示した回路（ＲＴＬ）記述された回路
設計情報を入力させる（ステップＳ８０）。続いて、状
態割当指定部１６から図１１に示すテンプレート７０の
状態割当指定７１₂と同じ状態割り当て方法を指定させ
る（ステップＳ８１）。そして、変数・条件抽出部１５
の変数抽出部４０で、変数の抽出が行われる（ステップ
Ｓ８２）。すなわち、ＲＴＬ記述から、内部変数および
外部変数を抽出する。より具体的には、ＲＴＬ記述の中
で代入および参照が行われている変数を内部変数と判断
し、図１０に示すＲＴＬ記述に対しては、内部変数とし
て変数ＣＮＴを抽出する。また、ＲＴＬ記述の中で参照
が行われ、かつ代入が行われない変数を外部変数と判断
し、図１０に示すＲＴＬ記述に対しては、外部変数とし
て変数ｆｐｂを抽出する。次に、変数代入・条件抽出部
４１で、ＲＴＬ記述の中から変数代入と遷移条件を網羅
的に抽出する（ステップＳ８３）。したがって、図１０
に示すＲＴＬ記述では、次のように抽出される。

【００５９】 条件：ｆｐｂ＝０ 代入：ＣＮＴ＝０ 条件：ｆｐｂ＝１かつＣＮＴ＝３ 代入：ＣＮＴ＝０ 条件：ｆｐｂ＝１かつＣＮＴ＝３以外 代入：ＣＮＴ＝ＣＮＴ＋１

【００６０】続いて、節点生成部１８の変数範囲判定部
４２で、変数抽出部４０で抽出された変数について、変
数代入・条件抽出部４１で抽出された遷移条件を参照し
て、変数の取り得る値を判定する（ステップＳ８４）。
図１０に示すＲＴＬ記述では、ＣＮＴは“０”〜
“３”、ｆｐｂは“０”または“１”の範囲である。そ
して、変数状態割当部４３で、状態割当指定部１６から
指定された状態割り当て方法にしたがって、ＲＴＬ記述
から抽出した変数の状態割り当てを行う（ステップＳ８
５）。図１０に示すＲＴＬ記述では、変数ＣＮＴは整数
で扱われているが、状態割り当て方法としてバイナリエ
ンコーディングが指定されているため、内部変数ＣＮＴ
が“０”〜“３”の範囲に対して“００”、“０１”、
“１０”、“１１”が割り当てられる。

【００６１】次に節点化部４４で変数の全組み合わせを
節点化する（ステップＳ８６）。図１０に示すＲＴＬ記
述では、ｆｐｂが“０”または“１”、ＣＮＴが“０”
〜“３”であるため、８（＝２×４）通りの節点を生成
する。

【００６２】さらに、枝生成部１９で、変数代入・条件
抽出部４１で網羅的に抽出された変数代入と遷移条件に
基づいて、節点化部４４で生成された節点を接続する枝
を生成する（ステップＳ８７）。図１０に示すＲＴＬ記
述では、条件「ｆｐｂ＝０」に対して代入「ＣＮＴ＝
０」が抽出された変数代入と遷移条件について、現節点
で「ｆｐｂ＝０」が真である全節点から、次節点で「Ｃ
ＮＴ＝００」がｆｐｂにかかわらず真となる全節点に遷
移する枝を生成する。これら生成された枝を、“現節点
（ｆｐｂ，ＣＮＴ）−＞次節点（ｆｐｂ，ＣＮＴ）”と
いう書式で示す場合、次のようになる。

【００６３】 （０，００） −＞ （０，００）、（１，００） （０，０１） −＞ （０，００）、（１，００） （０，１０） −＞ （０，００）、（１，００） （０，１１） −＞ （０，００）、（１，００）

【００６４】また、条件「ｆｐｂ＝１かつＣＮＴ＝３」
に対して代入「ＣＮＴ＝０」が抽出された変数代入と遷
移条件について、現節点で「ｆｐｂ＝１」と「ＣＮＴ＝
１１」が真である全節点から、次節点で「ＣＮＴ＝０
０」がｆｐｂにかかわらず真となる全節点に遷移する枝
を生成する。

【００６５】 （１，１１） −＞ （０，００）、（１，００）

【００６６】さらに、条件「ｆｐｂ＝１かつＣＮＴ＝３
以外」に対して代入「ＣＮＴ＝ＣＮＴ＋１」が抽出され
た変数代入と遷移条件について、現節点で「ｆｐｂ＝
１」と「ＣＮＴ＝１１以外」が真である全節点から、次
節点で「ＣＮＴ＝ＣＮＴ＋１」がｆｐｂにかかわらず真
となる全節点に遷移する枝を生成する。

【００６７】 （１，００） −＞ （０，０１）、（１，０１） （１，０１） −＞ （０，１０）、（１，１０） （１，１０） −＞ （０，１１）、（１，１１）

【００６８】このようにして生成された節点と枝によ
り、図１０に示すＲＴＬ記述は、図３に示すようなＫｒ
ｉｐｋｅ構造の有限状態機械に変換することができる。
この変換結果は、図８に示すように全節点と、これら節
点ごとに遷移先の節点を指定した枝により表現されて格
納される。

【００６９】上述したように検証対象のＲＴＬ記述が有
限状態機械に変換されると、次に図７のステップＳ５３
で示したように図１１に示すテンプレートの各項目を有
限状態機械に変換する。

【００７０】図１３は図７のステップＳ５３に示すテン
プレート処理部１１におけるテンプレートから有限状態
機械への変換処理の内容の概要を表わしたものである。
まず、テンプレート入力部２０から図１１に示したテン
プレートを入力させる（ステップＳ９０）。続いて、状
態割当抽出部２２で入力されたテンプレートから状態割
当指定７１₂で指定した割り当て方法を抽出させる（ス
テップＳ９１）。そして、変数・条件抽出部４６の変数
抽出部４０で、変数の抽出が行われる（ステップＳ９
２）。すなわち、図１１に示すテンプレートから、内部
変数および外部変数を抽出する。より具体的には、テン
プレートの状態変数名７１₁として定義されるＣＮＴを
内部変数として抽出する。また、クリア条件に規定され
る変数を検索し、ここでは第１のクリア条件７１₈のｆ
ｐｂを外部変数として抽出する。外部変数は、ＵＰ条件
７１₆あるいはＤＯＷＮ条件７１₇でも規定される場合も
あるが、ここでは指定されていない。

【００７１】次に、変数代入・条件抽出部４６で、テン
プレートから変数代入と遷移条件の抽出を行う（ステッ
プＳ９３）。すなわち、図１１に示すテンプレートから
第１のクリア条件７１₈の“ｆｐｂ＝０”と、そのとき
の状態変数ＣＮＴへの代入値である第１のクリア値７１
₉“０”とを抽出する。さらに、ＵＰ条件７１₆が“Ｔｒ
ｕｅ”のため、アップカウント時の状態変数の範囲
“０”〜“３”を抽出する。

【００７２】続いて、節点生成部２４の変数範囲判定部
４７で、変数抽出部４５で抽出された変数について、変
数代入・条件抽出部４６で抽出された状態変数の範囲を
判定する（ステップＳ９４）。ここでは、ＣＮＴは
“０”〜“３”、ｆｐｂは“０”または“１”の範囲で
ある。そして、変数状態割当部４８で、状態割当抽出部
２２で抽出された状態割り当て方法にしたがって、テン
プレートから抽出した変数の状態割り当てを行う（ステ
ップＳ９５）。ここでは、状態割り当て方法としてバイ
ナリエンコーディングが指定されているため、内部変数
ＣＮＴが“０”〜“３”の範囲に対して“００”、“０
１”、“１０”、“１１”を割り当てる。

【００７３】次に節点化部４９で変数の全組み合わせを
節点化する（ステップＳ９６）。ここでは、ｆｐｂが
“０”または“１”の２種、ＣＮＴが“０”〜“３”の
４種であるため、８（＝２×４）通りの節点を生成す
る。

【００７４】枝生成部２５は、複数の第１〜第Ｎの枝生
成部５０₁〜５０_Nを備えており、それぞれ入力されたテ
ンプレートの項目ごとに抽出するパラメータが異なり、
節点生成部２４で生成された節点間の枝を生成する。こ
こでは、第１および第２の枝生成部５０₁、５０₂を備え
ている。第１の枝生成部５０₁は、ステップＳ９３にお
いて変数代入・条件抽出部４６で抽出された変数代入と
遷移条件に基づいて、節点化部４９で生成された節点を
接続する枝を生成する（ステップＳ９７）。すなわち、
テンプレートのＵＰ条件７１₆あるいはＤＯＷＮ条件７
１₇で指定されるカウントタイプに依存して、非クリア
かつイネーブル条件を示す節点からは、状態変数をカウ
ントアップあるいはカウントダウンする全ての節点へ遷
移する枝を生成する。次節点は、“クリア条件の取り得
る値×イネーブル条件の取り得る値”の組み合わせの全
ての節点である。図１１に示したテンプレートの場合、
イネーブル条件がないため、非クリアを示す節点から、
状態変数をカウントアップさせた節点への枝が、次のよ
うに生成される。

【００７５】 （１，００） −＞ （１，０１）、（０，０１） （１，０１） −＞ （１，１０）、（０，１０） （１，１０） −＞ （１，１１）、（０，１１） （１，１１） −＞ （１，００）、（０，００）

【００７６】次に、第２の枝生成部５０₂で、ステップ
Ｓ９３で抽出されたクリア条件およびクリア値を参照し
て、クリアを示す節点から状態変数がクリア値となる全
ての節点に遷移する枝を生成する（ステップＳ９８）。

【００７７】 （０，００） −＞ （０，００）、（１，００） （０，０１） −＞ （０，００）、（１，００） （０，１０） −＞ （０，００）、（１，００） （０，１１） −＞ （０，００）、（１，００）

【００７８】さらに、非クリアかつイネーブル条件が偽
の節点からは、同じ状態変数値をもつ節点に遷移する枝
を生成する。同じ状態変数値をもつ次節点は、“クリア
条件の取り得る値×イネーブル条件の取り得る値”の組
み合わせの全ての節点である。しかし、図１１に示した
テンプレートでは、イネーブル条件がないため、この遷
移は行われない。

【００７９】このようにして生成された節点と枝によ
り、図１１に示すテープレートから、図３に示すような
Ｋｒｉｐｋｅ構造の有限状態機械に変換することができ
る。この変換結果は、図８に示すように全節点と、これ
ら節点ごとに遷移先の節点を指定した枝により表現され
て格納される。

【００８０】上述したように検証対象のＲＴＬ記述とテ
ンプレートから有限状態機械にそれぞれ変換されると、
次に図７のステップＳ６０で示したように有限状態機械
の各状態を照合する。これは既に述べたように、図８に
示す有限状態機械の格納状態にある全節点が互いに一致
するか否かを判別する。さらにステップＳ６１の状態間
の遷移関係の照合については、それぞれの枝に対応して
指定される次節点が、各節点ごとに一致するか否かを判
別する。ステップＳ６２で全て照合結果が一致したと
き、ＲＴＬ記述で規定されたカウンタ回路の機能動作
が、テンプレートで規定された検証項目を満足すると判
断して、例えば図示しない表示装置に、検証仕様の成立
の旨を表示させて通知する。ステップＳ６２で、照合結
果が１つでもＯＫではないときは、例えば図示しない表
示装置に、検証仕様が不成立である旨を表示させて通知
する。

【００８１】このように第１の実施例における形式的検
証装置は、順序回路の中でも例えばカウンタ回路などの
ように、検証すべき項目としての検証仕様がほぼ固定化
されている順序回路を規定するＲＴＬ記述と、この順序
回路の固定化された検証項目を項目化したテンプレート
とから、それぞれＫｒｉｐｋｅ構造の有限状態機械に変
換するようにした。このテンプレートは、順序回路特有
の状態変数名や、状態割り当て方法、状態変数の取り得
る値の範囲、遷移条件などを項目化したものである。こ
のように、互いに異なる観点から変換した有限状態機械
のそれぞれの節点と枝を対比して両者を照合し、節点と
枝が全て一致したときＲＴＬ記述で規定された順序回路
がテンプレートに規定された項目を満足すると判断し、
検証仕様が成立することを通知することで、形式的検証
を行うことができる。

【００８２】第２の実施例

【００８３】第１の実施例では単一のカウンタ回路の形
式的検証を行う形式的検証装置について説明したが、同
様に検証仕様がほぼ固定化されていれば、単一のカウン
タ回路に限らず、他の順序回路にも容易に適用すること
ができる。第２の実施例では、カウンタ回路を応用した
同期保護回路の形式的検証を行う形式的検証装置につい
て説明する。第２の実施例における形式的検証装置は、
図１、図５および図６と同様なので説明を省略する。

【００８４】図１４は第２の実施例における形式的検証
装置の検証対象となる同期保護回路の動作を示す状態遷
移の様子を表わしたものである。このように検証対象の
同期保護回路は、ワンホットエンコーディングで状態割
り当てされた状態変数“００１”、“０１０”、“１０
０”に対応した状態間を、遷移条件ＦＬＧに応じて遷移
する。遷移条件ＦＬＧは、“１”がアクティブで、
“０”が非アクティブである。したがって、初期状態の
状態変数を“００１”とすると、クロック信号の立ち上
がりエッジで、遷移条件ＦＬＧが“１”のときは、状態
変数“００１”から状態変数“０１０”、“１００”に
遷移し、遷移条件ＦＬＧが“０”のときは、無条件に状
態変数“００１”に遷移する。すなわち、例えば状態変
数“００１”を「非同期状態」、状態変数“１００”を
「同期状態」であるとすると、２段の後方保護同期と１
段の前方保護同期を実現する同期保護回路の動作を示し
ている。

【００８５】図１５は検証対象の保護同期回路を規定す
るＲＴＬ記述例を表わしたものである。このＲＴＬ記述
は、１行目および２行目の“ｐｒｏｃｅｓｓ”および
“ｂｅｇｉｎ”から２４行目の“ｅｎｄ ｐｒｏｃｅｓ
ｓ”までを１つの回路構成単位としている。その動作と
しては、３行目のｉｆ条件が真、すなわちｃｌｋ信号の
立ち上がりエッジのとき、４行目から２３行目までのｔ
ｈｅｎ節の動作を行う。４行目のｉｆ条件が真、すなわ
ち状態変数ＳＴＡＴＥが“０”の状態のとき、かつ５行
目のｉｆ条件が真、すなわち遷移条件ＦＬＧがアクティ
ブの“１”のとき、状態変数ＳＴＡＴＥが“１”の状態
に遷移し、遷移条件ＦＬＧが非アクティブの“０”のと
き状態変数ＳＴＡＴＥが“０”の状態のままであること
を示す。４行目のｉｆ条件が偽、すなわち状態変数ＳＴ
ＡＴＥが“０”の状態ではなく、１０行目のｉｆ条件が
真、すなわち状態変数ＳＴＡＴＥが“１”の状態のと
き、かつ１１行目のｉｆ条件が真、すなわち遷移条件Ｆ
ＬＧがアクティブの“１”のとき、状態変数ＳＴＡＴＥ
が“２”の状態に遷移し、遷移条件ＦＬＧが非アクティ
ブの“０”のとき状態変数ＳＴＡＴＥが“０”の状態に
遷移することを示す。さらに、１０行目のｉｆ条件が
偽、すなわち状態変数ＳＴＡＴＥが“１”の状態ではな
く、１６行目のｉｆ条件が真、すなわち状態変数ＳＴＡ
ＴＥが“２”の状態のとき、かつ１７行目のｉｆ条件が
真、すなわち遷移条件ＦＬＧがアクティブの“１”のと
き、状態変数ＳＴＡＴＥが“２”の状態のままで、遷移
条件ＦＬＧが非アクティブの“０”のとき状態変数ＳＴ
ＡＴＥが“０”の状態に遷移することを示す。上述した
３行目のｉｆ条件が真になるたびに、このような同期保
護動作を行う。

【００８６】このようなＲＴＬ記述で規定された同期保
護回路の形式的検証を行うために、第２の実施例におけ
る形式的検証装置では、この同期保護回路の検証仕様を
発生するために予め決められた網羅的な検証項目が規定
されたテンプレートを用いる。

【００８７】図１６は図１５で規定した同期保護回路の
形式的検証に用いるテンプレートの概要を表わしたもの
である。このテンプレート１００は、有限状態機械にお
ける状態割り当ての対象となる変数を指定する状態変数
名１０１₁が変数ＳＴＡＴＥであることを示す。そし
て、これら状態の割り当て方法を指定する状態割当指定
１０１₂は、ワンホットエンコーディングが指定されて
いる。このような状態割当指定としては、例えば各状態
を順にバイナリ符号に割り当てるバイナリエンコーディ
ング、隣接して割り当てられた状態間の互いの符号を１
ビットだけ異なるようにするグレイコードエンコーディ
ングなどがある。そして、状態変数ＳＴＡＴＥの遷移が
成立する条件１０１₃をＦＬＧが“１”のときとし、成
立時における保護段数を示す成立保護段数１０１₄を
“２”とする。これは、成立条件１０１₃が２回続けて
真となったときのみ、「同期状態」となることを意味す
る。これに対して、非成立条件１０１₅で示すようにＦ
ＬＧが“０”のときを、遷移の非成立条件とする。した
がって、非成立保護段数１０１₆が“１”であるため、
ＦＬＧが“０”のときは無条件で「非同期状態」に遷移
させられ、再び２回続けて成立条件が真とならない限り
「同期状態」には遷移しないことになる。

【００８８】上述した図７に示す形式的検証の処理の流
れに従い、まず図１５に示す検証対象の同期保護回路を
規定するＲＴＬ記述が、回路記述処理部１０の回路記述
入力部１４に入力される。以降における変換処理は、第
１の実施例と同様に、状態変数と遷移条件を抽出し、成
立保護段数１０１₄と非成立保護段数１０１₆とから状態
変数の取り得る値を判断する。そして、テンプレートで
指定されている状態割当指定と同じ状態割り当て方法に
よって、遷移条件と状態変数の値の組み合わせで定義さ
れる節点を生成し、遷移条件にしたがってこれらを接続
する枝を生成する。

【００８９】次に、図１６に示す同期保護回路の検証項
目が指定されるテンプレートが、テンプレート処理部１
１のテンプレート入力部２０に入力される。以降におけ
る変換処理は、第１の実施例と同様に、テンプレートか
ら内部変数ＳＴＡＴＥと、外部変数ＦＬＧとを抽出す
る。そして、成立保護段数１０１₄と非成立保護段数１
０１₆と、成立条件１０１₃および非成立条件１０１₅と
から、クリア条件とそのときの状態変数の遷移値を解析
し、状態変数ＳＴＡＴＥの取り得る範囲を判定する。こ
の場合、上述した遷移条件ＦＬＧが２回連続“１”にな
らない限り、状態変数ＳＴＡＴＥが“００１”から“１
００”へは行われず、遷移条件ＦＬＧが“０”のときは
無条件に状態変数ＳＴＡＴＥ“００１”の状態に遷移す
ることが解析されるようになっている。そして、テンプ
レートの状態割当指定１０１₂から抽出された状態割り
当て方法にしたがって、遷移条件と状態変数の値の組み
合わせで定義される節点を生成し、遷移条件にしたがっ
てこれらを接続する枝を生成する。

【００９０】図１７は、このようにして変換されたＫｒ
ｉｐｋｅ構造の有限状態機械の概要を表わしたものであ
る。この有限状態機械は、ワンホットエンコーディング
により状態が割り当てられた状態変数ＳＴＡＴＥの範囲
“００１”、“０１０”、“１００”で、遷移条件ＦＬ
Ｇが１ビットの同期保護回路を示している。この有限状
態機械は、６つの状態を有する状態集合Ｖと、２つの初
期状態を有する初期状態集合Ｖ₀とを有している。ここ
で、各状態はそれぞれ真となる原始命題Ｉであり、これ
ら状態間の遷移を示す枝Ｒとを備え、上述した（１）式
に対応している。すなわち、状態変数ＳＴＡＴＥの範囲
“００１”〜“１００”の３種類の状態と、遷移条件Ｆ
ＬＧの取り得る値“１”、“０”の２種類との組み合わ
せにより、各状態は（ＦＬＧ，ＳＴＡＴＥ）で示される
６種類の状態１１０₁〜１１０₆からなる。初期状態集合
Ｖ₀は、（０，００１）で示される状態１１０₁と状態
（１，００１）で示される状態１１０₂とからなる。状
態集合Ｖは、初期状態集合Ｖ₀と、それぞれ（０，０１
０）、（１，０１０）、（０，１００）そして（１，１
００）で示される状態１１０₃〜１１０₆とからなる。こ
れら各状態１１０₁〜１１０₆は、それぞれ遷移関係を示
す枝１１１で接続されている。

【００９１】このようにして図１５に示すＲＴＬ記述お
よび図１６に示すテンプレートそれぞれから生成された
節点と枝により、それぞれ図１７に示すようなＫｒｉｐ
ｋｅ構造の有限状態機械に変換される。この変換結果
は、図８に示すように全節点と、これら節点ごとに遷移
先の節点を指定した枝により表現されて格納される。

【００９２】検証対象のＲＴＬ記述とテンプレートから
有限状態機械にそれぞれ変換されると、第１の実施例と
同様にして、図７のステップＳ６０で示したように有限
状態機械の各状態を照合する。これは既に述べたよう
に、図８に示す有限状態機械の格納状態にある全節点が
互いに一致するか否かを判別する。さらにステップＳ６
１の状態間の遷移関係の照合については、それぞれの枝
に対応して指定される次節点が、各節点ごとに一致する
か否かを判別し、ステップＳ６２で全て照合結果が一致
したとき、ＲＴＬ記述で規定されたカウンタ回路の機能
動作が、テンプレートで規定された検証項目を満足する
と判断して、検証仕様の成立を例えば図示しない表示装
置に表示させて通知する。ステップＳ６２で、照合結果
が１つでもＯＫではないときは、検証仕様が不成立であ
る旨を例えば図示しない表示装置に表示させて通知す
る。

【００９３】このように第２の実施例における形式的検
証装置は、検証項目がほぼ固定化されていれば、順序回
路の中でも例えばカウンタ回路を応用した簡単な同期保
護回路についても、検証項目を項目化したテンプレート
とから、それぞれＫｒｉｐｋｅ構造の有限状態機械に変
換することができる。このテンプレートは、順序回路特
有の状態変数名や、状態割り当て方法、同期保護回路特
有の成立保護段数および非成立保護段数、遷移条件を項
目化したものである。このように、互いに異なる観点か
ら変換した有限状態機械のそれぞれの節点と枝を対比し
て両者を照合し、節点と枝が全て一致したときＲＴＬ記
述で規定された順序回路がテンプレートに規定された項
目を満足すると判断し、検証仕様が成立することを通知
することで、形式的検証を行うことができる。

【００９４】なお第１および第２の実施例では、それぞ
れ単一カウンタ回路および同期保護回路について説明し
たが、有限状態機械に変換でき、かつ検証項目を定義す
ることができる回路であれば同様にして形式的検証を行
うことができる。

【００９５】なお第１および第２の実施例では、検証対
象の順序回路をそれぞれ機能記述の一記法であるＲＴＬ
記述で規定したが、これに限定されるものではない。例
えば、順序回路をＲＴＬ記述より回路構成が具体化する
構造記述を用いても同様に有限状態機械に変換すること
ができ、その結果予め決められたテンプレートから生成
された有限状態機械と照合することで形式的検証を行う
ことができる。

【００９６】なお第１および第２の実施例ではＫｒｉｐ
ｋｅ構造の有限状態機械を生成するものとして説明した
が、これに限定されるものではない。有限状態機械同士
を照合することができる構造であれば良い。

【００９７】

【発明の効果】以上説明したように請求項１または請求
項４記載の発明によれば、従来は汎用的であるために非
常に複雑であった特定言語による検証仕様の特定を不要
とし、検証項目の設定を容易にするばかりでなく、検証
すべき項目の漏れをなくすことができるようになる。さ
らに、互いに別の観点から変換した有限状態機械を照合
することで検証仕様の一致を判別するようにしているの
で、従来のように検証対象の規模に増大に伴い飛躍的に
複雑化していた処理の簡素化と処理時間の短縮化を図る
ことができるようになる。

【００９８】また請求項２または請求項５記載の発明に
よれば、検証対象とする順序回路がカウンタ回路の形式
的検証についても、テンプレートとして項目化されてい
る状態変数名、状態割り当て方法、状態変数の初期値、
上限値、下限値および遷移条件だけを指定すれば良いの
で、網羅的な検証を確実、かつ簡素に処理することがで
きる。

【００９９】さらに請求項３または請求項６記載の発明
によれば、検証対象とする順序回路が同期保護回路の形
式的検証についても、テンプレートとして項目化されて
いる状態変数名、状態割り当て方法、遷移条件、条件成
立保護段数および条件非成立保護段数だけを指定すれば
良いので、網羅的な検証を確実、かつ簡素に処理するこ
とができる。

【図面の簡単な説明】

【図１】本発明の第１の実施例における形式的検証装置
の構成の概要を示すブロック図である。

【図２】第１の実施例におけるテンプレートの構成の概
要を示す説明図である。

【図３】第１の実施例における有限状態機械の構成の概
要を示す説明図である。

【図４】第１の実施例における有限状態機械の遷移の様
子を説明するための説明図である。

【図５】第１の実施例における回路記述処理部の構成要
部の概要を示すブロック図である。

【図６】第１の実施例におけるテンプレート処理部の構
成要部の概要を示すブロック図である。

【図７】第１の実施例における形式的検証の処理内容の
概要を示す流れ図である。

【図８】第１の実施例における有限状態機械への変換結
果の構成を説明するための説明図である。

【図９】第１の実施例におけるカウンタ回路の動作を示
す状態遷移図である。

【図１０】第１の実施例におけるカウンタ回路のＲＴＬ
記述例を示す説明図である。

【図１１】第１の実施例におけるカウンタ回路の形式的
検証に用いるテンプレートの概要を示す説明図である。

【図１２】第１の実施例における回路記述処理部の有限
状態機械への変換処理内容の概要を示す説明図である。

【図１３】第１の実施例におけるテンプレート処理部の
有限状態機械への変換処理内容の概要を示す説明図であ
る。

【図１４】第２の実施例における同期保護回路の動作を
示す状態遷移図である。

【図１５】第２の実施例における同期保護回路のＲＴＬ
記述例を示す説明図である。

【図１６】第２の実施例における同期保護回路の形式的
検証に用いるテンプレートの概要を示す説明図である。

【図１７】第２の実施例における同期保護回路が変換さ
れた有限状態機械の構成の概要を示す説明図である。

【符号の説明】

１０ 回路記述処理部 １１ テンプレート処理部 １２ 有限状態機械照合部 １３ 照合結果通知部 １４ 回路記述入力部 １５、２１ 変数・条件抽出部 １６ 状態割当指定部 １７、２３ 有限状態機械変換部 １８、２４ 節点生成部 １９、２５ 枝生成部 ２０ テンプレート入力部 ２２ 状態割当抽出部 ４０、４５ 変数抽出部 ４１、４６ 変数代入・条件抽出部 ４２、４７ 変数範囲判定部 ４３、４８ 変数状態割当部 ４４、４９ 節点化部 ５０₁〜５０_N 第１〜第Ｎの枝生成部

Claims (6)

【特許請求の範囲】
1. 【請求項１】 検証対象となる順序回路の設計仕様を記
   述した回路設計情報を入力するための回路設計情報入力
   手段と、 この回路設計情報入力手段から入力された回路設計情報
   から前記順序回路の変数を抽出する第１の変数抽出手段
   と、 前記回路設計情報から前記順序回路における状態変数の
   遷移条件を抽出する第１の条件抽出手段と、 前記順序回路における状態変数の割り当て方法を指定す
   る状態割当指定手段と、 この状態割当指定手段によって指定された状態割り当て
   方法にしたがって前記第１の変数抽出手段および前記第
   １の条件抽出手段によって抽出された変数および遷移条
   件から、有限個の状態を有しこれら状態間の遷移が定義
   される状態遷移動作モデルとしての有限状態機械を生成
   する第１の有限状態機械生成手段と、 前記順序回路の検証項目を予め項目化したテンプレート
   を入力するためのテンプレート入力手段と、 このテンプレート入力手段から入力されたテンプレート
   から変数を抽出する第２の変数抽出手段と、 前記テンプレートから前記順序回路における状態変数の
   遷移条件を抽出する第２の条件抽出手段と、 前記テンプレートで指定された前記順序回路における状
   態変数の状態割り当て方法にしたがって前記第２の変数
   抽出手段および前記第２の条件抽出手段によって抽出さ
   れた変数および遷移条件から有限状態機械を生成する第
   ２の有限状態機械生成手段と、 前記第１および第２の有限状態機械生成手段によって生
   成された有限状態機械同士を照合する有限状態機械照合
   手段と、 この有限状態機械照合手段によって照合された結果を通
   知する照合結果通知手段とを具備することを特徴とする
   形式的検証装置。
2. 【請求項２】 検証対象となるカウンタ回路の設計仕様
   を記述した回路設計情報を入力するための回路設計情報
   入力手段と、 この回路設計情報入力手段から入力された回路設計情報
   から前記カウンタ回路の変数を抽出する第１の変数抽出
   手段と、 前記回路設計情報から前記カウンタ回路における状態変
   数の遷移条件を抽出する第１の条件抽出手段と、 前記カウンタ回路における状態変数の割り当て方法を指
   定する状態割当指定手段と、 この状態割当指定手段によって指定された状態割り当て
   方法にしたがって前記第１の変数抽出手段および前記第
   １の条件抽出手段によって抽出された変数および遷移条
   件から、有限個の状態を有しこれら状態間の遷移が定義
   される状態遷移動作モデルとしての有限状態機械の状態
   変数と遷移条件とを対にした節点およびこれら節点間を
   結ぶ枝を生成する第１の有限状態機械生成手段と、 前記カウンタ回路の検証項目として状態変数名、状態割
   り当て方法、状態変数の初期値、上限値、下限値および
   遷移条件を予め項目化したテンプレートを入力するため
   のテンプレート入力手段と、 このテンプレート入力手段から入力されたテンプレート
   から変数を抽出する第２の変数抽出手段と、 前記テンプレートから前記カウンタ回路における状態変
   数の遷移条件を抽出する第２の条件抽出手段と、 前記テンプレートで指定された状態割り当て方法にした
   がって前記第２の変数抽出手段および前記第２の条件抽
   出手段によって抽出された変数および遷移条件から、有
   限状態機械の状態変数と遷移条件とを対にした節点およ
   びこれら節点間を結ぶ枝を生成する第２の有限状態機械
   生成手段と、 前記第１および第２の有限状態機械生成手段によって生
   成された有限状態機械を構成する全節点の一致を照合す
   る節点照合手段と、 この節点照合手段によって互いの節点が全て一致したと
   き前記第１および第２の有限状態機械の節点に対応して
   遷移先の節点を指定する枝の全ての一致を照合する枝照
   合手段と、 この枝照合手段によって照合された結果を通知する照合
   結果通知手段とを具備することを特徴とする形式的検証
   装置。
3. 【請求項３】 検証対象となる同期保護回路の設計仕様
   を記述した回路設計情報を入力するための回路設計情報
   入力手段と、 この回路設計情報入力手段から入力された回路設計情報
   から前記同期保護回路の変数を抽出する第１の変数抽出
   手段と、 前記回路設計情報から前記同期保護回路における状態変
   数の遷移条件を抽出する第１の条件抽出手段と、 前記同期保護回路における状態変数の割り当て方法を指
   定する状態割当指定手段と、 この状態割当指定手段によって指定された状態割り当て
   方法にしたがって前記第１の変数抽出手段および前記第
   １の条件抽出手段によって抽出された変数および遷移条
   件から、有限個の状態を有しこれら状態間の遷移が定義
   される状態遷移動作モデルとしての有限状態機械の状態
   変数と遷移条件とを対にした節点およびこれら節点間を
   結ぶ枝を生成する第１の有限状態機械生成手段と、 前記同期保護回路の検証項目として状態変数名、状態割
   り当て方法、遷移条件、条件成立保護段数および条件非
   成立保護段数を予め項目化したテンプレートを入力する
   ためのテンプレート入力手段と、 このテンプレート入力手段から入力されたテンプレート
   から変数を抽出する第２の変数抽出手段と、 前記テンプレートに指定された遷移条件、条件成立保護
   段数および条件非成立保護段数から前記同期保護回路に
   おける状態変数の遷移条件を抽出する第２の条件抽出手
   段と、 前記テンプレートで指定された状態割り当て方法にした
   がって前記第２の変数抽出手段および前記第２の条件抽
   出手段によって抽出された変数および遷移条件から、有
   限状態機械の状態変数と遷移条件とを対にした節点およ
   びこれら節点間を結ぶ枝を生成する第２の有限状態機械
   生成手段と、 前記第１および第２の有限状態機械生成手段によって生
   成された有限状態機械を構成する全節点の一致を照合す
   る節点照合手段と、 この節点照合手段によって互いの節点が全て一致したと
   き前記第１および第２の有限状態機械の節点に対応して
   遷移先の節点を指定する枝の全ての一致を照合する枝照
   合手段と、 この枝照合手段によって照合された結果を通知する照合
   結果通知手段とを具備することを特徴とする形式的検証
   装置。
4. 【請求項４】 検証対象となる順序回路の設計仕様を記
   述した回路設計情報から抽出した変数および前記順序回
   路における状態変数の遷移条件に基づいて予め指定され
   た前記順序回路における状態変数の割り当て方法にした
   がって前記回路設計情報から変換した有限個の状態を有
   しこれら状態間の遷移が定義される状態遷移動作モデル
   としての第１の有限状態機械と、前記順序回路の検証項
   目を予め項目化したテンプレートから抽出した変数およ
   び前記順序回路における状態変数の遷移条件に基づいて
   前記テンプレートで指定された状態割り当て方法にした
   がって前記テンプレートから変換した第２の有限状態機
   械とをそれぞれ生成する有限状態機械生成ステップと、 この有限状態機械生成ステップで生成された第１および
   第２の有限状態機械同士を照合する有限状態機械照合ス
   テップと、 この有限状態機械照合ステップで照合された結果を通知
   する照合結果通知ステップとを具備することを特徴とす
   る形式的検証方法。
5. 【請求項５】 検証対象となるカウンタ回路の設計仕様
   を記述した回路設計情報から抽出した変数および前記カ
   ウンタ回路における状態変数の遷移条件に基づいて予め
   指定された前記カウンタ回路における状態変数の割り当
   て方法にしたがって前記回路設計情報から変換した状態
   変数と遷移条件とを対にした節点およびこれら節点間を
   結ぶ枝からなり、有限個の状態を有しこれら状態間の遷
   移が定義される状態遷移動作モデルとしての第１の有限
   状態機械と、前記カウンタ回路の検証項目として状態変
   数名、状態割り当て方法、状態変数の初期値、上限値、
   下限値および遷移条件を予め項目化したテンプレートか
   ら抽出した変数および前記カウンタ回路における状態変
   数の遷移条件に基づいて前記テンプレートで指定された
   状態割り当て方法にしたがって前記テンプレートから変
   換した状態変数と遷移条件とを対にした節点およびこれ
   ら節点間を結ぶ枝からなる第２の有限状態機械とを生成
   する有限状態機械生成ステップと、 この有限状態機械生成ステップで生成された第１および
   第２の有限状態機械を構成する全節点が一致するかを照
   合する節点照合ステップと、 この節点照合ステップで互いの節点が全て一致したとき
   前記第１および第２の有限状態機械の節点に対応して遷
   移先の節点を指定する枝が全て一致するかを照合する枝
   照合ステップと、 この枝照合ステップで照合された結果を通知する照合結
   果通知ステップとを具備することを特徴とする形式的検
   証方法。
6. 【請求項６】 検証対象となる同期保護回路の設計仕様
   を記述した回路設計情報から抽出された変数および前記
   同期保護回路における状態変数の遷移条件に基づいて予
   め指定された前記同期保護回路における状態変数の割り
   当て方法にしたがって前記回路設計情報から変換した状
   態変数と遷移条件とを対にした節点およびこれら節点間
   を結ぶ枝からなり、有限個の状態を有しこれら状態間の
   遷移が定義される状態遷移動作モデルとしての第１の有
   限状態機械と、前記同期保護回路の検証項目として状態
   変数名、状態割り当て方法、遷移条件、条件成立保護段
   数および条件非成立保護段数を予め項目化したテンプレ
   ートから抽出した変数および前記テンプレートに指定さ
   れた遷移条件、条件成立保護段数および条件非成立保護
   段数から抽出した前記同期保護回路における状態変数の
   遷移条件に基づいて前記テンプレートで指定された状態
   割り当て方法にしたがって前記テンプレートから変換し
   た状態変数と遷移条件とを対にした節点およびこれら節
   点間を結ぶ枝からなる第２の有限状態機械とを生成する
   有限状態機械生成ステップと、 この有限状態機械生成ステップで生成された第１および
   第２の有限状態機械を構成する全節点が一致するかを照
   合する節点照合ステップと、 この節点照合ステップで互いの節点が全て一致したとき
   前記第１および第２の有限状態機械の節点に対応して遷
   移先の節点を指定する枝が全て一致するかを照合する枝
   照合ステップと、 この枝照合ステップで照合された結果を通知する照合結
   果通知ステップとを具備することを特徴とする形式的検
   証方法。