JPH0313779B2 - - Google Patents

Description

【発明の詳細な説明】 （産業上の利用分野） 本発明は、通信プロトコルの仕様を入力し、そ
れに含まれる内部矛盾を仕様誤りとして検出する
とともに仕様誤りを訂正するためのデータを出力
するプロトコルの論理検証方式に関する。

（従来の技術） プロトコルとは、交換機、端末等の複数の各種
通信装置あるいは装置内の複数の論理モジユール
間の通信規約をいう。近年の情報通信システムの
高度化・多様化に伴いプロトコル仕様は大規模
化・複雑化してきた。又、大規模ソフトウエアの
生産にあたつて、プログラムをいくつかのモジユ
ールに分割して作成し、これを組合せて全体とし
て所期の動作を達成するよう構成することが多
い。この場合、モジユール間のプロトコルに論理
的矛盾が無いように設計する必要がある。このよ
うに、いくつかの装置、あるいはプロセスが各々
連絡をとり合つて動作し全体として所定の目的を
達成するようなシステムの設計がますます重要と
なつている。

このようなシステムの設計法を確立するために
は、プロトコル仕様の要求仕様を明確に記述し、
かつ論理的矛盾がないことを事前に検証できるこ
とが必要である。プロトコル仕様への非形式的要
求を分析して形式的に要求仕様を記述することに
より、曖味性を削除できるので、プロトコル仕様
を明確化するとともに自動的検証が可能となる。
プロトコル仕様段階でエラーを発見できれば、ソ
フトウエアの開発保守段階から仕様設計段階への
フイードバツクをなくすことができるので、ソフ
トウエアの生産性を向上させることができる。

従来、一般的に複数のプロセスをもつプロトコ
ルに対し、システム状態を各プロセスの状態とプ
ロセス間の各チヤネルの状態で定義し、初期状態
から到達可能なシステム状態を全て列挙するこ
と、あるいは、検証項目を検出するために必要な
部分集合を列挙する方式が数多く報告されてい
る。例えば、シー・エツチ・ウエスト（C.H.
West）：「通信プロトコル検証のための一般的技
術（General technique for communications
protocol validation）」アイビーエム（IBM）ジ
エー・レス（J.Res），デベル（Devel），1978年
７月） これに対し、前述のシステム状態を列挙する方
法と異なり、各プロセスの状態でメツセージが送
信・受信可能であるための条件に従い、各プロセ
スの状態遷移を木状に展開する方式が最近報告さ
れた。（例えば、デ．ブランド（D.Brand）とピ
ー，ザフイロプロ（P.Zafiropulo）：「有限状態機
械の通信（On communicating finite−state−
machine）」アイビーエム（IBM）レス（Res）．
レツプ（Rep）．RZ1053，1981年） 本願は後者のプロセス単位で検証する方式に係
るので、この従来技術を第１図，第２図を用いて
説明する。第１図は、検証しようとするプロトコ
ルの一例であつて、プロセス１，２および３から
なる通信システムのプロトコル仕様を図示したも
のである。ここで、通信システムとは、例えば、
プロセス１および３が端末装置、プロセス３が交
換機であるシステムであつてもよいし、また、プ
ロセス１，２，３がともにCPU内にあつてもよ
い。すなわち、他の機能と信号の送受信（送信ま
たは受信だけであつてもよい）を行う処理単位を
プロセスと呼ぶ、互いに信号の授受を行う複数の
プロセスを総称して通信システムと呼ぶ。第１図
はプロセス数３の場合のプロトコルの一例であ
る。

第１図において、丸印はプロセスの状態、矢印
は状態遷移、矢印上のラベル−ｘ及び＋ｘはそれ
ぞれ信号ｘの送信及び受信を表す。各プロセスの
初期状態は１とする。従つて、プロセス１は１を
初期状態として、プロセス２に対し信号１を送信
すれば状態２に遷移し、プロセス３から信号３を
受信すれば状態３に遷移する等、動作しているこ
とがわかる。このように、各プロセスの動作は比
較的容易に理解できるが、プロセス１，２，３の
相互間に論理矛盾があるか否かを判定することは
容易でない。

前述したプロトコル検証の従来技術とは、一つ
の信号の送信及び受信による実行可能な状態遷移
を初期状態から実行することにより各プロセスの
状態遷移を木状に展開し、その過過程で論理矛
盾、すなわち仕様誤りを検出していた。第１図の
プロトコル例に、この従来技術を適用した結果を
第２図に示す。この第２図は各プロセスの状態遷
移を展開したものであるので状態遷移展開図と呼
ぶ。また、システム状態はプロセスの状態にその
状態に到達するために必ず到着しているはずの他
のプロセスの状態を付けることで把握している。
このプロセス対応の状態対を各状態のＬ値とよ
ぶ。

以降、第１図のプロトコル例に対する状態遷移
展開図の描き方及び各状態のＬ値の計算法を説明
する。先ず、各プロセスの初期状態は１であるの
で、各プロセスに対しを描き、１のＬ値をそれ
ぞれ（１，１，１）と初期設定する。例えば、プ
ロセス１の状態１のＬ値（１，１，１）におい
て、第１要素はプロセス１は自身のプロセスの状
態が１であることを示し、第２，３要素はプロセ
ス１はプロセス２，３の状態がそれぞれ１，１で
あることを知つていることを示している。この時
点で実行可能な送信遷移はプロセス１の−１，プ
ロセス２の−３である。プロセス１の送信遷移−
１の実行に対し、ラベル−１のついた矢印とを
描く。−１の送信によりプロセス１はプロセス２，
３状態の変化を知らないのでプロセス１の状態２
のＬ値を（２，１，１）とする。第１要素２はプ
ロセス１自身の状態が２であることを示してい
る。プロセス１の送信遷移−１に対応してプロセ
ス２の受信遷移＋１を実行する。この実行に対
し、ラベル＋１のついた矢印とを描く。＋１の
受信によりプロセス２はプロセス１の状態が２で
あることを知ることができる。しかし、３の状態
の変化を知らないので、プロセス２の状態２のＬ
値を（２，２，１）とする。第２要素２はプロセ
ス２自身の状態が２であることを示している。

プロセス２の送信遷移−３の実行に対し、ラベ
ル−３のついた矢印とを描く。−３の送信によ
りプロセス２はプロセス１，３の状態の変化を知
らないのでプロセス２の状態３のＬ値（１，３，
１）とする。又、この送信−３の実行により、プ
ロセス２の状態３でプロセス１の状態を１と認識
しているので、プロセス１の送信遷移−１の実行
が可能であり、プロセス２には信号１の受信遷移
＋１があるべきと判定できる。このため、ラベル
＋１にの矢印を描こうとする。しかし、第１図の
プロトコル例ではプロセス２の状態３で受信遷移
＋１が定義されていないため、未定義実行可能遷
移と判定する。これを表現するために、便宜上、
ラベル＋１の点線矢印を描く。プロセス２の送信
遷移−３に対応してプロセス１の受信遷移＋３を
実行する。この実行に対し、ラベル＋３のついた
矢印とを描く。＋３の受信によりプロセス１は
プロセス２の状態が３であることを知ることがで
きる。しかし、プロセス３の状態の変化を知らな
いので、プロセス１の状態３のＬ値を（３，３，
１）とする。第１要素３はプロセス１自身の状態
が１であることを示している。又、このときプロ
セス１の状態１から２への送信遷移が既に存在す
るので、プロセス１の状態２で信号３の受信が可
能であることがわかる。このため、ラベル＋３の
矢印を描こうとする。しかし、第１図のプロトコ
ル例ではプロセス１の状態２で受信遷移＋３が定
義されていないため、上述と同様未定義実行可能
遷移と判定し、便宜上、ラベル＋３の点線矢印を
描く。この時点で、実行可能な送信遷移はプロセ
ス１の−２，−５及びプロセス２の−４である。
プロセス１の送信遷移−５の実行に対しラベル−
５のついた矢印とを描く。この状態４のＬ値を
（４，１，１）とする。プロセス１の送信遷移−
５に対応してプロセス３の受信遷移＋５を実行す
る。この実行に対し、ラベル＋５のついた矢印と
を描く。この状態２のＬ値を（４，１，２）と
する。ここで、プロセス３の−６が実行可能とな
る。この実行に対し、ラベル−６のついた矢印と
を描く。この状態１のＬ値を（４，１，１）と
する。プロセス３の送信遷移−６に対応してプロ
セス１の受信遷移＋６を実行する。この実行に対
し、ラベル＋６のついた矢印とを描く。この状
態４のＬ値を（４，１，１）とする。このとき、
プロセス１，２，３のそれぞれの状態４，２，１
ではチヤネル上に信号が残つていず、実行可能な
送信遷移及び受信遷移が存在しない。この状態を
デツドロツクと判定する。送信遷移−６を実行し
なければ受信遷移＋６は実行できない。以上の説
明のような状態遷移の展開を行うと、プロセス１
の状態１からの送信遷移＋６が実行可能でない
（実行されることがない）ことがわかる。これを
実行不能状態遷移と判定する。なお、説明の便宜
上、展開されたときの状態名、信号名はプロトコ
ル例のそれと同じものを使つているが、２度以上
現れる状態名、信号名を区別するため、“．”以下
に、最初に現れたとき０、２度目に現れたとき
１，…とつける。以上の規則に従つて、第１図の
プロトコル例を展開したものを第２図に示してい
る。

次に、展開の停止法を上の例を用いて説明す
る。プロセス１の2.1で表されている状態２のＬ
値は（２，２，１）であり、2.4で表される状態
２のＬ値は（２，２，１）であるため、2.1と2.4
の間の−2.1及び＋4.2で表された状態遷移−２，
＋４が2.4以降反復される。従つて、2.4で停止さ
れる。同様の理由で、プロセス１の2.6，4.1，
4.3，4.5，4.7，4.8プロセス２の3.4及び3.6で停止
される。プロセス１の3.4はプロセス２の3.4から
送信された信号４のみ受信可能だが、プロセス２
の3.4は既に停止されているので、プロセス１の
3.4は停止される。同様の理由で、プロセス２の
2.4は停止される。プロセス３の1.1は、プロセス
１の4.1、プロセス２の2.0、プロセス３の1.1でデ
ツドロツクとなるため停止される。同様の理由
で、プロセス３の1.2，1.3，1.4，1.5は停止され
る。

（発明が解決しようとする問題点） 上述した従来の技術によつては、プロセス対応
の状態遷移系列を全て列挙していること及び展開
を停止する条件がゆるいことの２つの理由のた
め、プロトコルが大規模化、複雑化した場合、展
開された状態数や状態遷移数が膨大となり処理量
すなわち処理時間の増大となり実質的に検証が困
難となつていた。また、ハードウエア化の点から
展開図を記録するための膨大なメモリが必要とな
り、今だハードウエアの実現をみていない。又、
従来技術では未定義実行可能遷移、定義済実行不
能遷移、デツドロツクの３項のみを検証項目とし
ていたが、物理的にチヤネル容量、バツフア容量
が制限されているのでオーバフローを新たな検証
項目として追加している。

（問題点を解決するための手段） 本発明は、上述した従来技術の欠点に鑑みなさ
れたもので、処理量の少ないプロトコル検証方式
を提供することを目的とし、その特徴は、オーバ
フローを含めた仕様誤りを検出するのに支障ない
範囲で展開すべき状態数及び状態遷移数を削減
し、必要最小限の展開で検査することにある。

（作用） 本発明によつては、プロセス単位で状態の遷移
を行いながら、到達した遷移状態が以前に出現し
た遷移状態と同じであるときは、その以降の状態
遷移の展開は、以前に出現した遷移状態以降の状
態遷移の展開と同一とみなして、展開動作を停止
することにより、展開されるべき状態数及び状態
遷移数を削減しつつ、この展開過程で未定義実行
可能遷移、定義済実行不能遷移、デツドロツクお
よびオーバフローを検出する。

（実施例） 本実施例が検証の対象とするプロトコルは、従
来技術と同様第１図に示したプロトコルの例とす
る。

ここで、プロトコル仕様と仮定および説明のた
めの用語について整理しておく。本実施例では検
証対象とするプロトコルの仕様は、以下に示す４
項組Ｐ＝（Ｑ，o₁，Ｍ，succ）で表される。但し、
Ｑ＝（Q₁，…Q_N），ｏ＝（o₁，…，o_N），Ｍ＝₁₁，
…，M_NN），succはQ_iＸ（M_ijUM_ji）→Q_iの関数で
ある。ここで、Ｎはプロセス数、Q_iはプロセスｉ
の状態集合、o_iはプロセスｉの初期状態、M_ijは
プロセスｉからｊにチヤネル（ｉ，ｊ）を通して
送信する信号の集合、succ（si，ｘ）＝tiはｘが送
信信号であれば、状態siでｘを送信すると状態ti
になることを表す。又、ｘが受信信号であれば、
状態Siでｘを受信すると状態tiになることを表
す。すなわち、succは状態遷移である。検証対象
とするプロトコルに対し、以下の仮定を設ける。

プロセス間のメツセージ伝送に要する時間は
有限な非負数値とする。

プロセス内の状態遷移は決定的であり、それ
に要する時間は零とする。

プロセス相互間で送受されるメツセージの受
信順序は送信順序と同じである。

プロトコルＰのグローバル状態（上述したシス
テム状態と同意義でありＧで表す）は、次に示す
２項組Ｇ＝（Ｓ，Ｃ）とする。但し、Ｓ＝（s₁，…
s_N），Ｃ＝（c₁₁，…c_NN）である。siはプロセスｉ
の状態、c_ijはプロセスｉからｊへのチヤネル上の
信号系列を表す。従つて、前述の各プロセスsiの
Ｌ値（s₁，…，s_N）はＳに対応し、各初期状態o_j
からsiまでの状態遷移系列はＣに対応する。つま
り、各プロセスが独立にグローバル状態を把握し
ている。

Ｇ｜―G′は信号１つの送信あるいは受信による
グローバル状態の変化を表す。G_p｜_* ― Ｇは初期グ
ローバル状態G_pから幾つかの状態遷移の実行に
よりグローバル状態Ｇに到達可能であることを表
す。Ｇ＝（Ｓ，Ｃ）が到達可能であり、Ｓ上の状
態に送信遷移ｘが定義されていればｘは実行可能
という。Ｇ＝（Ｓ，Ｃ）が到達可能であり、Ｓ上
の状態に受信遷移ｘが定義されていて、更に、そ
の状態を含むプロセスへのＣ上のチヤネルの先頭
に信号ｘがあれば、ｘは実行可能という。Ｇ＝
（Ｓ，Ｃ）が到達可能であり、Ｃ上に信号が初期
状態または以前の遷移によつて信号が処理された
ために、全くなければ、Ｇは安定グローバル状態
であるという。

以上の準備に基づいて本発明が検出するプロト
コル仕様の誤りは以下の通りである。

未定義実行の可能遷移：プロトコル仕様で定
義されていないが、実行可能な状態遷移。

定義済実行不能遷移：プロトコル仕様で定義
されているにもかかわらず実行可能でない状
態・遷移。

デツドロツク：全てのプロセスの状態遷移が
実行可能でなく、チヤネル上に全く信号のない
安定グローバル状態。

オーバフロー：個々のチヤネルに残つている
信号の総数が所定のチヤネル容量および受信バ
ツフア容量を越える状態。

第３図は、本発明の一実施例を示すブロツク図
である。第３図で、１は外部から与えられるプロ
トコル仕様を蓄積するメモリ、２は検証処理に使
用する各種の変数の初期値を設定する初期設定ブ
ロツク、３は展開された状態において実行可能な
送信遷移を抽出するブロツク、４は送信遷移の実
行により新たに状態及び送信遷移を展開図に追加
し、その状態のＬ値を計算するとともにこの状態
で展開が停止できるか否かを判定するブロツク、
５は４の送信遷移に対応する受信遷移の実行によ
り新たに状態及び受信遷移を展開図に追加し、そ
の状態のＬ値を計算するとともにこの状態で展開
が停止できるか否かを判定するブロツク、６は送
信遷移の遷移元の状態で実行可能な受信遷移系列
を遷移先の状態に移し、新たな状態及び受信遷移
を展開図に追加し、それらの状態のＬ値を計算す
るとともにこの状態で展開が停止できるか否かを
判定するブロツク、７は５，６の処理中に未定義
実行可能遷移を検出するブロツク、８は安定グロ
ーバル状態で実行可能な送信遷移がないものを検
出するブロツク、９は展開完了後、プロトコル仕
様に定義されているのに展開図には１度もでてこ
ない状態遷移を検出するブロツク、１１はオーバ
フローを検出するブロツクである。１０は検証結
果である展開図等及び各種の変数を蓄積するメモ
リである。

第４図はプロトコル仕様をメモリ１に蓄積する
場合の一蓄積形式を示す。また、第５図は展開図
および仕様誤りを表形式でメモリ１０に蓄積する
場合の一蓄積形式を示す。

第６図は第１図のプロトコル例を第３図の実施
例に適用した結果得られた展開図を示す。以下、
第１〜６図の例を用いて、第３図の実施例の動作
を説明するがプロトコル仕様は第４図の形式で既
にメモリ１に蓄えられているものとする。第３図
のブロツク図では、最切に初期設定ブロツク２が
動作する。初期設定ブロツク２はメモリ１にアク
セスし、プロトコル仕様に含まれる各プロセスの
初期状態を入力して初期状態及びそれらのＬ値に
よる展開図を作る。第６図では各プロセスごとに
状態1.0とＬ値（1.0 1.0 1.0）を設定する。又、
初期状態からなる安定グローバル状態を安定グロ
ーバル状態集合Ｖに入れる。第６図ではＶ＝
｛（1.0 1.0 1.0）｝となる。以降、ブロツク３，４，
５を反復し処理を行なう。ブロツク４，５におい
て、ブロツク６をよぶ。ブロツク３，４，５，６
の状態遷移の展開中に未定義実行可能遷移及びデ
ツドロツクを検出する。ブロツク７はブロツク
５，６からよばれ、ブロツク８はブロツク３から
よばれる。展開が完了したのちブロツク９に制御
が移り定義済不能遷移を検出する。

先ず、各プロセスの初期状態で実行可能な送信
遷移をブロツク１にアクセスして抽出する。第１
図のプロトコル例では、プロセス１の送信遷移−
１とプロセス２の送信遷移−３が抽出される。そ
のうち、−１が選択されたとする。次にブロツク
４に移行する。ここでは、プロセス１の状態2.0
と送信遷移−１が展開される。又、2.0のＬ値を
（2.0 1.0 1.0）と計算する。

プロセスｉの送信遷移による展開で新たに加わ
つた状態のＬ値の計算法は次の通りである。送信
遷移元の状態をsi，送信遷移先の状態をtiとする。
ｓのＬ値を（so，…si，…s_N）とする。すると、
tiのＬ値は（so，…ti，…s_N）と計算される。プ
ロセスｉがtiに到達した時点では他のプロセスの
必ず到達しておかなくてはならない状態はかわら
ないからである。

次にブロツク５に移行する。ここでは、まずプ
ロセス１の送信遷移−１を受信可能な受信遷移を
求める。

実行可能な受信遷移の求め方は次の通りであ
る。

展開状態図においてプロセスｋの状態s_Kでプロ
セスｉが状態tiで送信信号ｘを受信することがで
きるための必要な十分条件は次の(1)〜(3)である。

(1) プロセスｉから受信したプロセスｋの最後の
信号はプロセスｋへ送信したプロセスｉの最後
の信号と同じである。

(2) 送信遷移−ｘの遷移後の状態をti′とする。状
態ti′のＬ値で表わされる第１要素の状態と状態
s_KのＬ値で表わされる第１要素の状態は一方か
ら他方へ到達可能な関係にある。但し、Ｌ値の
第ｋ要素の状態については除外する。

(3) 状態tiのＬ値の第ｋ容素である状態から状態
s_Kへ到達可能である。

プロセス１の送信遷移−１に対応する受信遷移
＋１はプロセス２の状態1.0で実行可能である。
理由を示す。上述の条件のうち(1)についてはその
ような信号がないので条件を満たす。(2)について
はプロセス１の状態2.0のＬ値（2.0 1.0 1.0）と
プロセス２の状態0.0のＬ値（1.0 1.0 1.0）をみ
て第１，３要素は条件を満たす。(3)についてはそ
の第２要素は条件を満たす。そして、プロセス２
の状態2.0と受信遷移＋1.0が展開される。又、20
のＬ値を（2.0 2.0 1.0）と計算する。プロセスｋ
の受信遷移による展開で新たに加わつた状態のＬ
値の計算法は次の通りである。受信遷移に対応す
るプロセスｉの送信遷移の遷移先の状態のＬ値を
（s₁，…，s_N）とする。受信遷移の遷移元の状態
Ｌ値を（t₁，…，t_N）とする。以上の準備の元、
受信遷移の遷移後の状態のＬ値の第ｉ要素は、２
つの状態s_i，t_iのうち状態遷移のより進んだもの
とする。例えば、プロセス１の2.0のＬ値の第１
要素2.0はプロセス２の1.0のＬ値の第１要素1.0よ
りも進んでいるのでプロセス２の2.0のＬ値の第
１要素は2.0となつている。

送信遷移−１と受信遷移＋１による展開終了後
Ｖ＝｛（1.0 1.0 1.0），（2.0 2.0 1.0）｝とし、再び
ブロツク３に戻る。次に、送信遷移−３を選択し
たとする。次にブロツク４に移行する。ここで
は、プロセス２の状態3.0と送信遷移−３が展開
される。又、3.0のＬ値を（1.0 3.0 1.0）とする。
このとき、ブロツク６がよばれる。プロセス２の
送信遷移−3.0による受信遷移＋1.0の伝播、つま
り状態3.0で＋1.0が実行可能となる。ところがメ
モリ１に蓄積されているプロトコル仕様をアクセ
スして、定義されていることがわかり、ブロツク
７で未定義実行可能遷移と検出される。第６図で
は太い点線で示す。その後、ブロツク５に移行す
る。−3.0に対応する受信遷移＋３がプロセス１の
状態1.0で実行可能であることを求め、新たに態
3.0と受信遷移＋3.0が展開される。また、3.0のＬ
値が（3.0 3.0 1.0）と計算される。このＬ値は安
定グローバル状態集合に新たに登録されＶ＝
｛（1.0 1.0 1.0），（2.0 2.0 1.0），（3.0 3.0 1.0
）｝と
する。このとき、送信遷移−1.0による受信遷移
＋3.0の伝播が可能であるため、ブロツク６に移
行する。しかし、プロトコル仕様ではプロセス１
の2.0で受信遷移＋3.0が実行可能でないため、ブ
ロツク７で未定義実行可能遷移と判定する。

以上の処理を反復すると第６図のようになる。
冗長な状態遷移系列の展開を防ぐため、安定グロ
ーバル状態集合Ｖを利用して次のような処理を行
つている。６図においてＶ＝｛…，（3.0 ３，０
1.0）（3.1 3.1 1.0）…｝とする。3.0及び3.1に＊
をつけている。これは２つの安定グローバル状態
が等しいことを表している。従つて、プロセス
１，２の3.0と3.1は等しい状態と考えてよく、3.0
と3.1からの状態遷移の展開で一致するものがあ
ればどちらかを省略して冗長的な展開を避けてい
る。これをアサイクリツク展開と呼ぶ。例えば、
3.1から実行可能な受信遷移のうち細い点線で示
したものは3.0から実行可能な受信遷移＋4.0と一
致するので省略している。この関係を→で示して
いる。

最後に、展開の停止法について説明する。従来
の技術では次の停止条件を与えている。次の条件
(1)〜(3)を満たすプロセスｉの状態t_iが出現したと
きタイプ０で停止する。

(1) 状態遷移展開図のプロセスｉにおいて状態t_i
は状態s_iから到達可能である。

(2) s_iのＬ値はt_iのＬ値と“．”以下を除いて一致
する。

(3) 初期状態o_iからs_iの状態遷移系列上の信号の
送信及び受信後のチヤネルに残つている信号初
期状態o_iからs_iの状態遷移系列上の信号の送信
及び受信後のそれと一致する。例えば、第２図
のプロセス１の状態2.4は状態2.1と上述の関係
があるため停止されている。プロセス１の状態
2.6は状態2.5と同様の関係にある。

しかし、上述の停止法では冗長の状態遷移の
展開を行なうため、以降に説明する停止条件を
新たに設ける。次の条件(4)(5)を満たすプロセス
ｉの状態t_iが出現したときタイプ２で停止す
る。

(4) 状態遷移展開図のプロセスｉにおいて状態t_i
は状態s_iから到達可能である。

(5) s_iを含む安定グローバル状態とt_iを含む安定
グローバル状態は“．”以下を除いて一致する。

例えば、第６図のプロセス１の2.3は2.2と上述
の関係にあるため展開を停止する。2.3を含む安
定グローバル状態（2.3 3.3 1.0）と2.2を含む安
定グローバル状態（2.2 3.2 1.0）は“．”以下を
除けば一致する。

ブロツク３において実行可能送信遷移が全くな
い状態で停止条件を満たさない状態があればブロ
ツク８に移行してデツドロツクと判定する。例え
ば第６図の安定グローバル状態（4.1 2.0 1.1）及
び（4.3 3.2 1.2）はデツドロツクと判定される。

展開が全て完了した後、メモリ１のプロトコル
仕様にアクセスし、展開図に現れなかつた状態遷
移をブロツク９で定義済実行不能遷移と判定す
る。メモリ１０には展開図及び検証結果を出力す
る。

オーバフローの検出法について第１図のプロト
コル例を展開した第６図及び第７図を用いて説明
する。特にプロセス１から２へのチヤネルc₁₂と
プロセス２から１へのチヤネルC₂₁のオーバフロ
ーに着目する。他のチヤネルのついても同様の処
理を行えばよい。｜c₁₂｜及び｜c₂₁｜はそれぞれ
c₁₂及びc₂₁の信号数を表す。プロセス１の状態1.0
及びプロセス２の状態1.0にそれぞれ｜₁₂｜＝０
及び｜c₂₁｜＝０をつける。ブロツク３で送信遷
移−1.0の展開でプロセス１の状態2.0に｜c₁₂｜＝
１をつける。これは1.0のＬ値の第２要素1.0，2.0
のＬ値の第２要素1.0より、プロセス２は、信号
1.0を受信していると解釈し、チヤネルC₁₂に信号
が１つ残つていることを表す。ブロツク４で受信
遷移＋1.0の展開でプロセス２の状態2.0に｜c₂₁｜
＝０をつける。これは1.0のＬ値の第１要素1.0，
2.0のＬ値の第１要素2.0よりプロセス１から送信
された信号1.0をプロセス２が受信したにすぎず
チヤネルC₂₁に信号の送受がなかつたと解釈し、
チヤネルc₂₁に信号が全くないことを表す。

プロセスｉの状態s_iにつける｜C_ij｜の計算法は
次の通りである。s_iを遷移先とする状態遷移ｘの
遷移元をt_iとする。t_iには｜c_ij｜＝ｍと計算され
ているとする。ｘがプロセスｊへの送信遷移であ
れば｜c_ij｜＝ｍ＋１とする。ｊ以外の送信遷移で
あれば次の処理を行う。t_iのＬ値の第ｊ要素及び
s_iのＬ値の第ｊ要素を調査する。今、それぞれの
状態をt_j，s_jとする。このときt_jからs_jまでの状態
遷移系列上にプロセスｉからｊへの信号の受信遷
移を実行した、つまりチヤネルc_ij上の信号を受信
したとして｜c_ij｜を計算する。

例えば、プロセス１の状態3.3の｜c₁₂｜の計算
は−2.1がプロセス２への送信遷移のため状態2.2
につけられた｜c_ij｜＝２に１を加えたものとな
る。又、プロセス１の状態2.3の｜c₁₂｜の計算は
次のとおりである。状態3.3のＬ値（3.3 2.1 1.0）
の第２要素である第２プロセス２状態2.1状態2.3
のＬ値（2.3 2.3 1.0）の第２要素である第２プロ
セスの状態2.3をとりだす。状態2.1から2.3までに
プロセス１からの受信遷移＋1.0と＋2.0が含まれ
ている。従つて状態3.3につけられた｜c₁₂｜から
２つとり除いて状態2.3につける｜c₁₂｜＝１とす
る。

チヤネルc₁₂及びc₂₁の容量が２であればブロツ
ク１１で、プロセス１の状態3.3及びプロセス２
の状態2.3でオーバフローと判定される。

以上の処理の正当性は展開の停止が状態遷移系
列の反復となる状態で行なわれていること及び送
信を優先的に実行することで保証される。

最後に、この状態遷移展開によるプロトコル検
証がプロトコル設計の支援となることを図１のプ
ロトコル例及び図６の展開図を用いて説明する。

この検証で得られる状態遷移展開図はプロセス
対応の状態遷移系列を与えてくれる。そのため、
プロトコル仕様の誤りに導くプロセス対応の状態
遷移系列をプロトコル仕様設計者に提供すること
ができる。

例えば、図６のプロセス１の状態2.0から4.1へ
の状態遷移系列はデツドロツクに導く。この系列
はプロセス３の状態1.0から1.1への状態遷移系列
に対応している。従つて、プロトコル設計者はプ
ロセス１とプロセス３のこれらの状態遷移系列の
みを修正すればよい。

（発明の効果） 以上詳細に説明したように本発明による方式は
従来方式に比較すると仕様誤りの検出に支障ない
範囲で冗長な状態遷移系列を削除し、状態遷移展
開図を作成する。このため、従来方式と比較する
と、展開図に含まれる状態及び状態遷移とともに
大幅に減少する。例えば、第１図のプロトコル例
に対するそれらの値の比較を第８図に示す。この
ため従来方式に比較され本発明による方式は検証
処理に必要となる処理量が大幅に減少するととも
に、状態遷移展開図等を蓄積するために必要とな
るメモリの容量を大幅に削減することができると
いう利点がある。

【図面の簡単な説明】

第１図はプロトコルの１例を示す図、第２図は
従来の状態遷移展開図、第３図は本発明の１実施
例のブロツク図、第４図はメモリ１の蓄積形式例
を示す図、第５図ｅは状態遷移展開図、第５図ｂ
は未定義実行可能遷移を示す図、第５図ｃはデツ
ドロツク及び安定状態の出力例、第５図ｄは定義
済実行不可能遷移の例、第５図ｅはオーバフロー
検出出力例、第６図は本発明による状態遷移展開
図、第７図はオーバフローの検証を示す図、第８
図は本発明の効果を示す図である。

Claims (1)

1. 【特許請求の範囲】 １ 電気信号により表現されたプロトコル仕様を
   入力として、該プロトコル仕様の有する遷移情報
   に従つて各プロセスの状態を遷移しつつ該プロト
   コル仕様を検証するプロトコル論理検証方式にお
   いて、 各プロセスごとに送信遷移と受信遷移とを対応
   させながら状態遷移の展開を実行し、実行中にチ
   ヤネル上に信号が全くない状態が検出されたら該
   状態を安定状態として判定するとともに安定状態
   の集合を記憶するメモリの内容を参照しながら該
   安定状態が既に出現したものか新たに出現したも
   のであるかを判定し、既に出現した安定状態でか
   つ２つの安定状態が異なる状態遷移系列上に存在
   する状態であれば該２つの安定状態以降の展開は
   互いに等しくなるものとして一方の安定状態につ
   いてのみ展開を実行することとし、既に出現した
   安定状態で２つの安定状態が同じ遷移系列上の状
   態であれば既に出現した安定状態から該安定状態
   までの遷移が以降反復するものとして該遷移系列
   の展開を停止し、新たに出現した安定状態であれ
   ば前記メモリにこれを登録しながら展開を継続し
   て実行し、検証結果の展開された状態遷移と、当
   該状態遷移及び前記プロトコル仕様から検出され
   たプロトコル仕様誤りを出力をあらわす電気信号
   を出力することを特徴とするプロトコルの論理検
   証方式。