JPS6171750A - プロトコル検証回路 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 （産業上の利用分野） 本発明は、通信プロトコルの仕様を入力し、それに含ま
れる内部矛盾を仕様誤りとして検出し出力するプロトコ
ル検証方式に関する。

（従来技術） 近年の電気通信の高度化・多様化に伴い、交換機・通信
処理装置等の通信機器におけるソフトウェアは大規模化
・複雑化する一方である。このため通信ソフトウェアの
開発・保守における生産性を向上させることは益々重要
となってきた。

通信ソフトウェアの開発・保守における生産性を向上さ
せる一つの有力な方策は、通信ソフトウェアの要求仕様
を開発・保守の早い段階で正確にかつ過不足なく定義す
ることにより、それ以後の段階からのフィードバック的
な作業をなくすことである。通信ソフトウェアの中で重
要な位置を占めるものとして、通信回線を介して各種の
信号を送受するための信号形式や手順を規定するプロト
コルがある。従って、プロトコルの仕様に論理的矛盾や
あいまいさがあった場合、これを自動的に検出するプロ
トコル検証技術が重要となる。

従来、この種のプロトコル検証方式としては、与えられ
た通信プロトコル仕様に従って、通信システムがとり得
る動作および状態のすべての組合せを順次列挙し、検査
するものであった。

この従来技術を第２図、第３図を用いて説明する。

第２図は、検証しようとするプロトコルの一例であって
、プロセス１．２および３からなる通信システムのプロ
トコル仕様を図示したものである。

ここで、通信システムとは、例えばプロセス１および３
が端末装置、プロセス３が交換機であるシステムであっ
てもよいし、また、プロセス１，２．３がともにＣＰＵ
内にあってもよい。すなわち、他の機能と信号の送受信
（送信または受信だけであってもよい）を行う処理単位
をプロセスと呼び、互いに信号の受授を行う複数のプロ
セスを総称して通信システムと呼ぶ。第２図はプロセス
数３の場合のプロトコルの一例である。

第２図において、○印は状態を、矢印は遷移を表わす。

また矢印に付けられたラベルは信号の送信又は受信を示
し、一般に−ａはプロセスｉからプロセスｊへの信号ａ
の送信を、＋ａはプロセス１」 から送信された信号ａのプロセスＪによる受信を表わす
。従って、プロセス１はＡ、を初期状態として、プロセ
ス２に対し信号１を送信して状態Ｂ１に遷移し、プロセ
ス２から信号２を受信したとき状態Ｃ３に遷移し、プロ
セス３に対して信号３を送信して初期状態Ａ１に戻るよ
うに動作することが分かる。このように、各プロセスの
動作は比較的容易に理解できるが、プロセス１．２．３
の相互間ニ論理矛盾があるか否かを判定することは容易
でない。

前述したプロトコル検証の従来技術とは、一つの信号の
送信又は受信による実行可能な遷移を初期状態から遂−
すべて順次に実行し、到達可能な状態を全て含むような
通信システム全体の状態遷移図を作成し、その作成過程
で論理矛盾、すなわち仕様誤りを検出していた。第２図
のプロトコル例に、この従来技術を適用した結果を第３
図に示す。この第３図はシステム全体の状態遷移を示す
ことからグローバル遷移図と呼ぶ。また、状態は、口印
の中に各プロセスの状態が表示され、これをグローバル
状態と呼ぶ。

先ず、初期グローバル状態（Ａｓ−Ａ２−　Ａ３）にお
いて、即実行可能な遷移を検出すると、プロセスｌにお
ける一１番とプロセス２における−２１である。

プロセス３においては全て受信であり、かつ信号３もし
くは信号４はいずれのプロセスがらも送信されていない
ので実行不可能である。そこで、先スー１五の遷移につ
いてテストするとグローバル状態（Ｂｌ、Ａ２　、Ａ３
　）となる。この状態で再度即実行可能な遷移を検出す
ると、＋１蟲と一２千とである。このうち＋１′２につ
いてテストするとグローバル状態（Ｂ□、Ｃ２，Ａ３）
となる。この状態がら即実行可能な遷移は一４ｘだけで
ありグローバル状態（Ｂ１．Ｂ２．Ａ３）となる。次に
プロセス３が信号４を受信しグローバル状態は（Ｂ、、
　Ｂ２．Ｃｓ　）となる。

しかしながら、この状態において、即実行可能な遷移は
ない。すなわち、プロセス１の状態（Ｂ、）においては
信号２の受信がとり得る遷移であるが、この状態前に信
号２はプロセス２から送信されていないので実行は不可
能であり、また、プロセス２の状態（Ｂ２）においては
、信号１の受信が可能であるものの、プロセス１から送
信された信号１はすでにグローバル状態（Ｂ８．Ａ２．
Ａ３）から（Ｂ１゜Ｃ２，ｋｓ　）への遷移の過程で処
理されているし、さらにプロセス３の状態（Ｃ８）にお
いては、信号５の受信が可能なものの、グローバル状態
（Ｂｌ、Ｂ２゜Ｃ３）となる以前にいずれのプロセスか
らも信号５は送信されていないので、これも実行不可能
である。このように、グローバル状態（Ｂ、、　１３２
．　Ｃｓ　）においては実行可能な遷移を全く持たない
。このような状態をデッドロック状態といい、この状態
を検出することがプロトコル検証の１つの目的である。

また、第３図は、システムの実行可能な全ての遷移を全
て実行した結果であるから、第３図に含まれない第２図
の遷移は過剰であるといえる。この観点からプロセス３
の状態（Ｃ３）における信号受信＋５１が過剰な定義と
して検出される。

さらに、第３図において、グローバル状態（Ａ１゜Ｂ２
．Ａ３）における即実行可能な遷移は−１１だけとなっ
ているが、この状態になる前に信号２がプロセス２から
プロセス１に対して送信されている。

従って、グローバル状態（ＡＩ、Ｂ２．Ａ３　）におい
て、信号２の受信遷移＋２でか可能なはずである。この
遷移は、第２図のプロトコルに不足している定義であり
、未定義受信として検出される。同様な意味で、グロー
バル遷移（ＡＩ、Ｂ２．Ｄ３）において、＋６換の未定
義受信が検出される。

以上のように、初期グローバル状態（Ａｌ、Ａ２．Ａ３
　）から実行可能な遷移を遂−すべて順次に実行するこ
とによりプロトコルの検証が行われる。

（発明が解決しようとする問題点） 上述した従来技術によっては、全ての実行可能な遷移を
検査の対象とするため、プロトコルが大規模化・複雑化
した場合、状態数や遷移数が膨大となり、処理量すなわ
ち処理時間の増大となり実質的に検証が不可能となって
いた。またノ・−ド化の点からは、グローバル状態遷移
図を記憶するためなどの膨大なメモリが必要となり、今
だノ・−ドの実現をみていない。

（問題点を解決するための手段） 本発明は、上述した従来技術の欠点に鑑みなされたもの
で、処理量の少ないプロトコル検証方式を提供すること
を目的とし、その特徴は、仕様誤りを検出するのに支障
ない範囲で通信システムの動作を一括し、必要最小限の
状態と動作を列挙して検査することにある。

（作　用） 本発明によっては、（１）直ちに実行できる遷移の組合
せによるグローバル遷移候補を導出し、（２）冗長なグ
ローバル遷移候補を削除し、（３）送受信遷移一括処理
によるグローバル遷移を最終決定することにより、検査
の対象となる遷移数とグローバル状態数を削減するので
、ハードの量及び処理時間が減少し発明の目的を達成す
ることができる。

（実施例） 本実施例が検証の対象とするプロトコルは、従来技術と
同様第２図に示したプロトコルの例とする。

ここで、プロトコル仕様と仮定および説明のための用語
につ（・て整理しておく。

本実施例では、検証対象とするプロトコルの仕様は、以
下に示すＱｌ、０４２ＭＩＪ、５ｕｃｃ（ｌ、Ｊ＝１゜
・・・、Ｎ；Ｎ：プロセスの個数）の４項の組み合せで
与えられるものとする。

Ｑｌ：プロセ゛スｌの状態集合。

０１：プロセスＩの初期状態。

Ｍｌ、：プロセスｉからプロセス」に送る信号の集合。

ただしＪ＝Φ（空集合）い＝１゜・・・、Ｎ）とする。

５ｕｃｃ　：プロセスが各状態で信号を送受信すること
により遷移した結果とる状態を表 わす関数で、５ｕｃｃ　（ｓ、　ｘ　）は、状態Ｓにあ
るプロセスが信号Ｘの送信（Ｘ＜Ｑ）又は受信（Ｘ＞Ｏ
）により遷移した後の状態を表わす。

また、検証対象とするプロトコルに対し、以下の仮定を
設ける。

■　信号の送受により各プロセスが遷移する先の状態は
、その信号と元の状態に応じて一意に定まる。

■　一旦初期状態を遷移した後再び初期状態に戻った場
合にはそれ以上遷移しないものとする。

■　各プロセスは、容量が十分大きな信号受信用バッフ
ァを相手プロセス別に持つ。

■　プロセス相互間で送受する信号の受信順序は送信順
序と同一である。

以上の仮定の内■は、実施例の説明を単純にするための
ものであり、省略することも可能である。

次に、実施例により検出する仕様誤りを明らかにするが
、その前に準備として、いくつかの用語を定義する。

プロトコルを用いて通信するシステム全体の状態ＧをＳ
とＣの２項の組み合せ、即ちａ＝＜ｓ、ｃ＞で定義し、
Ｇをグローバル状態と呼ぶ。ここで、５＝＝（Ｓ、、・
・・”’Ｎ）＋　Ｃ＝（ＣＩｌ＋　ＣＩ２＋・・・１Ｃ
ＮＮ）であり、Ｓｉはプロセス１の状態、Ｃ１Ｊはプロ
セス１からプロセスｊに送出されたが未だ受信処理され
ていない信号受信バッファ上の信号の系列である。信号
受信バッファがすべて空のグローバル状態Ｇ＝（Ｓ。

〈ε＞ｌ、Ｊ　＝１＞を安定グローバル状態と呼ぶ。特
に各プロセスの初期状態を含む安定グローバル状態Ｇ＝
＜＜Ｏｉ＞　ｉ以１．＜ε＞　ｉ、ｊＮ＝１＞を初期グ
ローバル状態と呼びＧ。で表わす。　尚、誤解すること
がない場合には、グローバル状態を個々のプロセスの状
態のみで表わすこともある。

グローバル状態Ｇにおいて、一つの信号を送信或は受信
することにより別のグローバル状態げに遷移するどきＧ
とαの関係をＧｌ−αで表わす。更に、初期グローバル
状態Ｇ。からこのような遷移をくり返すことにより到達
するＧ、即ちＧ。Ｉ−・・ｌ−ＧであるＧは到達可能で
あるという。

あるプロセスの状態Ｓと信号Ｘより成る順序対（ｓ、ｘ
）を、Ｘ＜Ｏであれば信号送信遷移、ｘ）Ｑであれば信
号受信遷移と呼ぶ。与えられたプロトコル仕様に５ｕｃ
ｃ　（ｓ、　ｘ）が定義されているとき、＜Ｓ、Ｘ〉を
定義済遷移又は定義済送／受信と呼ぶ。

定義済送信（ｓ、　ｘ）　（ｘ（０）は、Ｓを要素とじ
て含む到達可能なグローバル状態が存在するとき実行可
能である。また定義済受信（ｓ、　Ｘ＞（ｘ）Ｑ　）は
、Ｓを要素として含みかつ該当する信号受信バッファの
先頭に信号Ｘを蓄積している到達可能グローバル状態が
存在するとき実行可能である。

グローバル状態Ｇから別のグローバル状態αに移る遷移
をグローバル遷移と呼び（）印で表わす。

以上の準備に基づいて、本発明が検出するプロトコル仕
様の誤りを示すと以下の通りである。

■　信号定義の過剰：プロトコル仕様に含まれる信号の
送受信の内実性し得ないもの。

■　信号定義の不足：プロトコル仕様に含まれないが実
行可能である未定義受信。

■　デッドロック状態：すべてのプロセスについて状態
遷移が実行不可能であり、かつすべての信号受信バッフ
ァが空である安定グローバル状態。

第１図は、本発明の一実施例を示すブロック図である。

第１図で、１は外部から与えられるプロトコル仕様を蓄
積するメモリ、２は検証処理に使用する各種変数の初期
値を設定する初期設定ブロック、３は指定されたグロー
バル状態における実行可能な未定義受信を検出する未定
義受信検出ブロック、４は指定されたグローバル状態に
おいて直ちに実行可能な遷移を抽出する即時実行可能遷
移抽出ブロック、５は指定されたグローバル状態におけ
るグローバル遷移の候補を導出するグローバル遷移候補
決定ブロック、６はグローバル遷移候補決定ブロック５
の処理結果を入力し、冗長なグローバル遷移候補を除去
する冗長グローバル遷移候補削除ブロック、７は冗長グ
ローバル遷移候補削除ブロック６の処理結果に対して送
信遷移と受信遷移を可能な範囲で一括処理することによ
りグローバル遷移を最終決定する送受信一括プロック、
８は送受信一括ブロック７で得られたグローバル遷移、
およびそれらを実行して得られるグローバル状態の内、
その時点までに得られているグローバル状態遷移図（こ
れは後述のメモリ１２に蓄えられている）に含まれない
ものを追加することによりグローバル状態遷移図を更新
するグローバル状態遷移図更新ブロック、９はブロック
８で更新されたグローバル状態遷移図から未処理グロー
バル状態を検索し、未処理グローバル状態が検出できた
とき１；その一つを後述のメモＩＪ　１２に出力し、そ
れが検出できなかったときはその旨の情報を次に示す実
行不可能送受信検出ブロックへ出力する未処理グローバ
ル状態抽出ブロック、１０はプロトコル仕様に含まれる
信号の送受信とグローバル状態遷移図に含まれる信号の
送受信とを比較し、′実行不可能な定義済送受信を求め
る実行不可能送受信検出ブロック、１１は指定されたグ
ローバル状態がデッドロックであるか否か判定するデッ
ドロック検出ブロック、１２は検証結果であるグローバ
ル状態遷移図等および各種の変数を蓄積するメモリであ
る。

第４図は、プロトコル仕様をメモリ１に蓄積する場合の
一蓄積形式を示す。また第５図は、グローバル状態遷移
図および仕様誤りを表形式でメモリ１２に蓄積する場合
の一蓄積形式を示す。

第６図は、第２図のプロトコル例を第１図の実施例に適
用した結果得られるグローバル状態遷移図を示す。以下
、第２，６図の例を用いて、第１図の実施例の動作を説
明するが、プロトコル仕様は第４図の形式で既にメモリ
１に蓄えられているものとする。第１図のブロック図で
は、最初に初期設定ブロック２が動作する。初期設定ブ
ロック２はメモリｌにアクセスし、プロトコル仕様に含
まれる各プロセスの初期状態を入力して初期グローバル
状態を求め、以後の各ブロックにおいて検証処理の対象
とするグローバル状態を指定する変数Ｇに初期グローバ
ル状態を設定する。さらに、未定義グローバル状態の集
合を表わす変数Ａを空集合に設定する。これらの情報を
メモ１月２に出力して蓄積し、未定義受信検出ブロック
３を起動する。

第７図は未定義受信検出ブロック３の動作を示すフロー
チャートである。

未定義受信検出ブロック３は、まずメモＩｊ　１２にア
クセスし、変数Ｇの値を入力する。次にメモリ１のプロ
トコル仕様情報を用いて、Ｇの示すグローバル状態にお
いて実行可能でかつ未定義の受信を、以下の方法により
検出する。即ち、■　グローバル状態Ｇにおける信号受
信バッファの内、空でないものについて、その先頭にあ
る信号の受信がプロトコル仕様に定義されているか否か
を調べる。そして定義されていない受信をすべて実行可
能未定義受信とし、その情報をメモリ１２に出力する。

■　グローバル状態Ｇにおける空の信号受信バッファの
各々について次の処理を行う。その信号受信バッファが
蓄えるべき信号の送信プロセスを１、受信プロセスをｊ
とする。プロセス監がグローバル状態Ｇにおいてプロセ
スｊ宛の送信遷移を持つか否か検査し、送信遷移を持つ
場合にはそのような送信遷移によって送出される信号を
受信する受信遷移をプロセスｌがグローバル状態Ｇで持
つか否か調べとし、その情報をメモＩＪ　１２に出力す
る。

例えば第２．６図の初期グローバル状態（Ａ１゜Ａ２．
Ａ３）においては、信号受信バッファはすべて空である
。そしてこのグローバル状態では、送信遷移として−１
１，と−２丁が定義されている。この内、−２１に対応
する受信遷移はこのグローバル状態では定義されていな
い。。

従って、実行可能未定義受信として＋２でか出力される
。

未定義受信検出ブロック３は、以上の動作を終えると、
即時実行可能遷移検出ブロック４を起動する。

即時実行可能遷移抽出ブロック４は、メモリ１と１２に
アクセスし、以下に示す方法で、グローバル状態Ｇにお
いて直ちに実行可能な送受信遷移を抽出しその結果をグ
ローバル遷移候補決定ブロック５に出力する。

■　グローバル状態Ｇで定義されている送信はすべて直
ちに実行可能であるとする。例えば、第１図のプロトコ
ル例で初期グローバル状態：　−Ｖ、　１　Ａ２．−”
Ｌ３７　＋−？、゛て、−二ｉお；び−２２、二で−で
一フーー２二２で−Ｉち、二興行可百巨−；送信遷移で
ある。

■　グローバル状態Ｇで定義されている受信の内、それ
に対応する信号受信バッファが、その受信遷移の指定す
る信号をその先頭に含んでいるものをすべて直ちに実行
可能であるとする。例えば、第１図のプロトコル例にお
いて、初期グローバル状態でプロセス遷移−１閂と−ど
を実行して得られるグローバル状態（Ｂｌ、Ｂ２　、　
Ａ３　）では、信号受信バッファＣ１□。

Ｃ２Ｉの内容はそれぞれＣｌ２＝　（ｌ）、　Ｃ２、＝
〔２〕であるので、プロセス１．２で定義されている受
信遷移＋目と＋２１はともに直ちに実行可能である。

ブロック４は、以上の処理を終えるとグローバル遷移候
補決定ブロック５を起動する。なお直ちに実行可能な遷
移がないときはブロック１１を起動する。

グローバル遷移候補決定ブロック５は、即時実行可能遷
移抽出ブロック４でつ処理結果を入力１−、イ、マＣＣ
垣、二＝′グ＝−バ、−遷移侯補乞長乏一た後、その結
果を冗長グローバル遷移候補削除ブロック６に出力し、
ブロック６を起動する。

一つのグローバル状態において、直ちに実行可能なプロ
セス遷移が１個であれば、そのグローバル状態からのグ
ローバル遷移候補はそのプロセス遷移とする。直ちに実
行可能なプロセス遷移が複数個ある場合は、直ちに実行
可能なプロセス遷移の組合せの内、各プロセスで実行す
る遷移が高々１個であるような組合せすべてを、そのグ
ローバル状態からのグローバル遷移候補とする。

このようにして求められるグローバル遷移候補には、直
ちに実行可能な遷移を持つプロセスの遷移を含まないも
のもある。このようなグローバル遷移候補を実行して得
られるグローバル状態以降では、元のグローバル状態で
そのようなプロセスが直ちに実行可能だった遷移を除外
してグローバル遷移候補を求める。

例えば第２図のプロトコル例で、初期グローバル状態（
ＡＩ　、Ａ２　、Ａｓ　）において直ちに実行可能な遷
移は、プロセス１での−１１およびプロセス２での−２
でである。これらの組合せによるグローバル遷移候補は
、（−１黍）、　（−２７１，（−１１，−２〒）の３
通りある。これら３つのグローバル遷移候補の内、（−
ｚｙ）は、次に述べる冗長グローバル遷移候補の削除処
理により除去され、最終的には第２図に示す通り（−１
１）と（−１よ、−脣）の２通りとなり、各々を実行す
ると、新グローバル状態として（Ｂ１．Ａ２．Ａ３）と
（Ｂ７．Ｂ２．Ａ３）が得られる。

初期グローバル状態（ＡＩ、Ａ２．Ａ３　）からグロー
バル状態（Ｂ２．Ａ２．Ａ３）へのグローバル遷移（−
２４）は、初期グローバル状態で直ちに実行可能な遷移
−どを持つプロセス２の遷移を含まない。従って、グロ
ーバル状態ＣＢ＋、Ａ２．Ａ３　）からのグローバル遷
移を求める場合には、プロセス２の遷移２Ｆが除外され
、その結果、グローバル状態（Ｂ１゜Ａ２−　Ａ３　）
からのグローバル遷移は、第２図に示すように（＋１↓
）のみとなる。

以上の動作を終えると、ブロック５はブロック６を起動
する。

冗長グローバル遷移候補削除ブロック６は、ブロック５
のグローバル遷移候補決定処理により得られるグローバ
ル遷移候補の内、次に示す二つの条件ａ、ｂを満たすプ
ロセスの遷移を含まないような組合せのグローバル遷移
を削除し、その結果を送受信一括プロック７へ出力し、
ブロック７を起動する。

ａ、そのプロセスのその状態における定義済遷移がいず
れも直ちに実行できる遷移か実行し得ない受信遷移のい
ずれかであり、かつ直ちに実行可能な遷移が１個以上存
在すること。ここで、グローバル状態Ｇで定義された受
信は、■それを直ちに実行することができない、かつそ
れに対応する送信がグローバル状態Ｇ以降に定義されて
いない、即ちＧかも初期状態まで各プロセスの定義済遷
移をその遷移方向にたどっていったときそのような信号
が存在しない場合、および、■該当する受信バッファに
別の信号が存在する場合、実行し得ないと判定する。

ｂ、そのプロセスはその状態で他プロセスから信号を受
信することがない。或は受信することが可能でかつその
最初の信号が特定できること。ここであるプロセスに対
する送信がグローバル状態Ｇ以降全（定義されていない
場合、そのプロセスはその状態で他プロセスから信号を
受信し得ないと判定する。また、あるグローバル状態Ｇ
　”　＜＜　Ｓ　ｉ＞ｉだ１．　＜ｃｉｊ＞　ｉｊ’＝
１＞におｌ、−てプロセスｋが状態ｓｋでプロセス１か
ら最初に受信する信号を特定できるための条件は、■グ
ローバル状態ＧにおけろプロセスＩのすべての定義済遷
移がプロセスにへの送信か又は実行不可能である、■プ
ロセスｌがもプロセスに宛の受信バッファが空でない、
のいずれかが成立することである。

例えば、第２．６図の例で、初期グローバル状態（Ａ１
．Ａ２．Ａ３）からのグローバル遷移候補は［−１；）
。

（−２ｒ）、　＋−１；、−脣）の３通りあった。そし
て、次に示すように、初期グローバル状態（ＡＩ　、Ａ
２　。

Ａ３）においてプロセス１は上記の２条件ａｂを満〉 だすので、３つのグローバル遷移候補の内、プロセス１
の遷移を含まないグローバル遷移候補（＜＋を冗長なも
のとして削除することができる。実際、プロセス１の状
態Ａ、における定義済遷移は−１１のみであり、これは
直ちに実行可能である。一方、プロセス２からプロセス
１へ送る信号は２のみであり、かつプロセス２は状態Ａ
２で信号２をプロセス１に送出することかできる。従っ
て、プロセス１が状態Ａ１でプロセス２から最初に受信
する信号は、２と特定できる。また、プロセス３はプロ
　　、セスｌに対して送出する信号を持たない。従って
、プロセス１は状態Ａ１でプロセス３から信号を受信す
ることがない。

送受信一括プロ７り７は、冗長グローバル遷移候補削除
ブロック６での処理の結果得られるグローバル状態Ｇか
らのグローバル遷移候補の内、送信遷移を含むものにつ
いて、 ａ、その送信に対応する受信が元のグローバル状態Ｇで
定義されており、かつその受信バッファが空であること
。

ｂ、その受信プロセスはその状態で他に定義済遷移を持
たない、或は他に定義済遷移を持つ場合それらはすべて
実行し得ない受信であること。

Ｃ１その受信プロセスは、その信号を送るプロセス以外
の各プロセスからその状態で信号を受信することがない
、或は受信することが可能でかつその最初の信号が特定
できること。

０３条件が成立する場合、そのような信号受信遷移をそ
のグローバル遷移に含め、これらを統合しテーラのグロ
ーバル遷移とする。このような処理を送受信遷移一括処
理と呼び、その結果を、グｏ　−パル状態遷移図更新ブ
ロック８へ出力する。

例えば第２，６図の例で、ブロック４〜６の処理により
、安定グローバル状態（Ａ＋、Ｄ２．Ｂ３　）における
グローバル遷移は、（−暢）のみとなる。ところが、こ
の信号を受信するプロセス２は、これを受信する遷移＋
６２以外実行できる遷移を持たないので上記の条件ａ、
ｂを満たす。更にプロセス２が状態Ｄ２でプロセス１か
ら信号を受けることがなく、またプロセス３から最初に
受ける信号は６と特定できるので条件Ｃを満たす。従っ
て、グローバル状態（Ａ、、Ｄ２．Ｂ３）カラのグロー
バル遷移（−弓）は、プロセス２の受信遷移＋６：を統
合した（±６８）となる。

ブロック７は以上の動作を終えると、ブロック８を起動
する。

グローバル状態遷移図更新ブロック８は、送受信一括プ
ロック７で最終決定したグローバル遷移に関する情報を
入力し、それに基づいてメモリ１２内のグローバル状態
遷移図および未処理グローバル状態集合Δを更新する。

具体的には、まず、メモリ１内のプロトコル仕様を用い
て、ブロック７から得られる各グローバル遷移を実行し
た結果得られる新しいグローバル状態を決定する。次に
、このようにして得られたグローバル状態の内、メモｌ
）　１２内のグローバル状態遷移図に含まれるグローバ
ル状態と同一のものを除き、メモリ１２内の未処理グロ
ーバル状態の集合Ａに追加する。さらに以上で得られた
グローバル遷移および未処理グローバル状態をメモリ１
２のグローバル状態遷移図ニ追加し、ブロック９を起動
する。

未処理グローバル状態抽出ブロック９は、メモ１）　１
２上のΔにアクセスし、その中から一つの未処理グロー
バル状態を検索する。もし未処理グローバル状態が存在
しないときは、実行不可能送受信検出ブロック１０を起
動する。未処理グローバル状態が存在するときは、メモ
リ１２内のＧにそれを蓄積し、未定義受信検出ブロック
３を起動する。

実行不可能送受信検出ブロック１０は、メモリ１内のプ
ロトコル仕様に含まれる送受信遷移と、メモＩＪ　１２
内のグローバル状態遷移図に含まれる送受信遷移とを比
較し、前者に含まれるが後者に含まれない送受信遷移を
実行不可能送受信としてメモリ１２に出力する。

デッドロック検出ブロック１１は、メモリ１内のプロト
コル仕様を参照して、メモリ１２内のＧで指定されたグ
ローバル状態において直ちに実行可能な遷移が存在する
か否かを調べる。その結果が否のときのみ、そのグロー
バル状態をデッドロックとしてメモリ１２に蓄積する。

その後、未処理グローバル状態抽出ブロック９を起動す
る。

以上述べた方法により、仕様誤りをすべて正しく検出で
きることを以下に説明する。既に述べたように、本発明
による方式が従来方式と異なるのは、即時実行可能遷移
抽出ブロック４〜送受信一括ブロック７の動作にあるの
で、これらのブロックの動作によって仕様誤りを検出し
損なうことがないことを説明する。尚、以下では、ブロ
ック４と５の処理をまとめて第１の処理、またブロック
６と７の処理をそれぞれ第２．第３の処理と呼ぶ。

まず、第２．第３の処理を実行せず、第１の処理結果を
直接ブロック、８に出力することによって仕様誤りを検
出し損なうことがないこと、即ち、第１の処理により得
られるグローバル遷移をすべて実行してグローバル状態
遷移図を作成することにより、先述した仕様誤りをすべ
て検出できることを説明する。

第１の処理は、実行可能となったプロセス遷移の各々に
ついて、実際に実行する場合と実行しない場合とに明確
に分け、前者の場合には実行する遷移をすべて直ちに実
行させてしまうものである。

従って、検出不可能となる実行可能な定義済送受信がな
いことは明らかである。一方、一般に、あるグローバル
状態に到達するための実行プロセス遷移系列において実
行するプロセス遷移の順序を入れ替えた場合、入れ替え
後の系列が実行可能でかつ各プロセス毎の系列の順序が
変わらないならば、到達するグローバル状態は変わらな
い。言い換えると、第１の処理によりすべての到達可能
なグローバル状態を列挙できる。従って、検出不可能と
なる実行可能な未定義受信やデッドロック状態はない。

以上で第１の処理、即ちグローバル遷移候補決定処理の
みによってグローバル状態遷移図を作成することにより
仕様誤りをすべて検出できることが言える。

次に、第１の処理、即ちグローバル遷移候補導出処理の
結果に第２の処理、即ち冗長グローノくル遷移候補の削
除処理を加えて得られるグローノくル遷移を用℃・てグ
ローバル状態遷移図を作成することにより、仕様誤りを
すべて検出することができることを説明する。

冗長グローバル遷移候補削除処理により実行可能な定義
済遷移が実行不可能となることはないので、実行可能な
定義済遷移を検出し損なうことがないのは明らかである
。一般にあるグローバル状態Ｇ＝＜＜Ｓｉ＞シ１．＜Ｃ
ｉｊ＞　ｉ、ｊ監１〉において、プロセスにの遷移を含
まないグローバル遷移を除外すると、プロセスにの状態
Ｓｋで実行可能な未定義受信を検出し損なうことがある
。しかしこの処理では、先に述べた条件すが成立するプ
ロセス、即ち他プロセスから最初に受信できる信号が特
定できるプロセスについてのみそのようなグローバル遷
移を除外するので、実行可能な未定義受信を検出し損な
うことはない。

また、一般に冗長グローバル遷移候補削除処理により（
安定）グローバル状態が一部削除される。

しかし削除されたグローバル状態は、元のグローバル状
態Ｇかものグローバル遷移を実行した結果得られる新し
いグローバル状態のいずれかと元のグローバル状態Ｇと
の途中に位置し、必ず前者のグ＝−ハ・・次言、二遷移
￥るこニて一可能であつ、デ２・・°＝２クニは′″：
ろ−；、。侘ってデ、・パ二７・り、大災を検出し損ね
ることはない。

以上から、第１の処理に第２の処理を追加してグローバ
ル状態遷移図を作成することにより、仕様誤りをすべて
検出できることが言える。

次に、第３の処理、即ち送受信一括処理を第１゜２の処
理に追加して得られるグローバル状態遷移図を作成する
ことにより、仕様誤りをすべて検出できることを説明す
る。この第３の処理は単に実行可能な受信処理を早く行
うものであり、他の実行可能な遷移の実行を妨げること
はない。従って、実行可能な定義済遷移を検出し損なう
ことがな〜・のは明らかである。また先に述べた条件Ｃ
かも、一括処理される受信を持つプロセスのその状態で
実行可能な受信は漏れな（検出できるので、実行可能な
未定義受信を検出し損なうことはない。さらにこの第３
の処理は受信のみを早く実行するので、この処理により
安定グローバル状態が除去されることはない。従って、
デッドロック状態を検二”−づ″：勺二二、；ｔ、っ クニ、）っ、千−−４−二ゝ３．つ：こ埋をてへて夷行
してグローバル状態遷移図を作成することにより、プロ
トコル仕様に含まれる誤りをすべて検出できろことが分
かる。

（発明の効果） 以上詳細に説明したように、本出願による方式は、従来
方式に比較すると仕様誤りの検出に支障ない範囲で各プ
ロセスの遷移を一括してグローバル状態遷移図を作成す
る。このため、従来方式に比較するとグローバル状態遷
移図に含まれるグローバル状態およびグローバル遷移と
も大幅に減少する。例えば、第２図のプロトコル例に対
するそれらの値の比較を第８図に示す。このため、従来
方式に比較して、本出願による方式は検証処理に必要と
なる処理量が大幅に減少するとともに、グローバル状態
遷移図等を蓄積するために必要となるメモリの容量を大
幅に削減することができると℃・う利点がある。

【図面の簡単な説明】

第１図は本発明の一実施例を示すブロック図、第２図と
第３図はプロトコル検証の説明図、第４図はプロトコル
仕様のメモリへの蓄積を示す例、第５図（ａｌ〜（ｄｌ
はグローバル状態遷移及び仕様誤りをメモリに蓄積する
例を示す図、第６図は第２図のプロトコル例を第１図に
適用して得られるグローバル状態遷移図、第７図は未定
義受信検出ブロックの動作を示すフローチャート図、第
８図は第２図のプロトコル例に対する遷移数と状態数を
従来の技術と本発明について示す図である。

Claims (1)

【特許請求の範囲】
1. 電気的信号により表現されたプロトコル仕様を入力とし
   て、該プロトコル仕様の有する遷移情報に従ってグロー
   バル状態を遷移しつつプロトコル仕様を検証するプロト
   コル検証方式において、プロセス毎の状態とプロセス間
   の信号受信バッファ内の信号系列とから構成されるグロ
   ーバル状態を生成し、該グローバル状態で直ちに実行で
   きる遷移の組合せによるグローバル遷移候補を導出し、
   該候補のうち予め定まる条件に該当する冗長なグローバ
   ル遷移を削除してグローバル遷移を決定し、該グローバ
   ル遷移に従って前記検証動作を順次行うことを特徴とす
   るプロトコル検証方式。