💻 computer science

TREBL -- A Relative Complete Temporal Event-B Logic. Part I: Theory

Dieser Artikel stellt TREBL vor, eine relative vollständige Erweiterung der Event-B-Logik, die es ermöglicht, Lebendigkeitseigenschaften von Ereignisfolgen über Zustände auszudrücken, und beweist die Vollständigkeit eines darauf aufbauenden Ableitungssystems durch geeignete Verfeinerungen der Maschine.

Ursprüngliche Autoren: Klaus-Dieter Schewe, Flavio Ferrarotti, Peter Rivière, Neeraj Kumar Singh, Guillaume Dupont, Yamine Aït Ameur

Veröffentlicht 2026-04-22

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Klaus-Dieter Schewe, Flavio Ferrarotti, Peter Rivière, Neeraj Kumar Singh, Guillaume Dupont, Yamine Aït Ameur

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

🕵️‍♂️ Die Geschichte von TREBL: Der Detektiv für Computer-Systeme

Stell dir vor, du hast einen sehr komplexen Roboter oder ein Software-System gebaut (in der Fachsprache ein „Event-B-Maschine"). Du hast ihm Regeln gegeben, wie er sich verhalten soll. Aber du hast ein Problem: Du willst nicht nur wissen, ob er jetzt gerade korrekt arbeitet, sondern ob er für immer korrekt arbeitet.

Das ist wie bei einem Autofahrer:

Statische Prüfung: „Ist das Auto heute morgen intakt?" (Das ist einfach zu prüfen).
Lebendigkeit (Liveness): „Wird der Fahrer irgendwann ankommen, auch wenn er heute im Stau steht?" oder „Wird er niemals in einer Sackgasse stecken bleiben?"

Das ist das große Rätsel, das dieses Papier löst.

1. Das Problem: Die zwei Welten

Bisher gab es zwei Arten, solche Systeme zu prüfen:

Die statische Welt: Man schaut sich einen einzelnen Moment an. Das ist einfach, aber man sieht nicht, was in der Zukunft passiert.
Die Zeit-Welt (Temporale Logik): Man schaut sich ganze Geschichten (Spuren/Traces) an, die aus vielen Momenten bestehen. Das ist mächtig, aber die Werkzeuge dafür (wie LTL oder CTL) sind oft zu simpel. Sie können nicht tief in die Details des Systems schauen, weil sie nur wie „Ja/Nein"-Fragen funktionieren, ohne den Kontext zu verstehen.

Die Metapher:
Stell dir vor, du willst prüfen, ob ein Schachspieler gewinnt.

Die alten Methoden sagen: „Ist der König im Schach?" (Statisch).
Die anderen Methoden sagen: „Gewinnt er in irgendeiner möglichen Partie?" (Zeitlich), aber sie können nicht genau beschreiben, wie die Figuren bewegt werden, weil sie die Regeln des Schachs nicht wirklich verstehen, sondern nur die Endzustände betrachten.

2. Die Lösung: TREBL (Der neue Super-Detektiv)

Die Autoren (Klaus-Dieter Schewe und Kollegen) haben eine neue Logik namens TREBL erfunden.

Wie funktioniert das? Die „Zukunfts-Brille"
Statt sich die ganze Geschichte (die Spur) von Anfang bis Ende anzusehen, sagt TREBL:

„Schau dir nur den aktuellen Zustand an. Wenn du weißt, wie der Roboter jetzt ist und welche Regeln er hat, dann weißt du automatisch, wie alle möglichen Zukünfte aussehen."

Die Analogie:
Stell dir vor, du stehst an einem Abzweig in einem Labyrinth.

Die alte Methode: Du musst das gesamte Labyrinth durchlaufen, um zu sehen, ob es einen Ausgang gibt.
Die TREBL-Methode: Du stehst am Abzweig und siehst die Karte. Du weißt sofort: „Wenn ich hier stehe, gibt es immer einen Weg nach draußen, egal welche Wendung ich nehme." Du musst nicht durchlaufen, du musst nur die Karte (die Logik) lesen.

Das ist genial, weil es die Komplexität reduziert. Man muss nicht mehr über „Zeitreisen" (Spuren) nachdenken, sondern nur über den „Jetzt-Zustand".

3. Der Trick: Die „Varianten" (Der Energie-Tracker)

Wie beweist man, dass der Roboter immer weiterkommt und nicht stecken bleibt?
Hier kommt das Konzept der Varianten ins Spiel.

Die Metapher:
Stell dir vor, der Roboter hat einen Energiezähler (eine Variante).

Wenn der Roboter eine Aufgabe erledigt, muss dieser Zähler sinken.
Der Zähler kann aber nie unter Null fallen (er ist „wohlgeordnet").
Wenn der Zähler sinkt, weißt du: Irgendwann muss er bei Null ankommen, und dann ist die Aufgabe fertig.

TREBL sagt: „Wenn du mir einen solchen Energiezähler zeigen kannst, der bei jeder Bewegung sinkt, dann beweist das automatisch, dass der Roboter niemals in einer Endlosschleife stecken bleibt."

Das Papier zeigt, dass man für jedes vernünftige System immer einen solchen Zähler finden (oder bauen) kann, wenn man das System nur ein bisschen detaillierter beschreibt (eine sogenannte „Verfeinerung").

4. Was ist neu und wichtig?

Früher gab es eine Einschränkung: Die Logik funktionierte nur, wenn alle möglichen Zukünfte des Systems sich ähnlich verhielten (wie ein Chor, der alle denselben Takt schlägt).

TREBL bricht diese Regel:
Es funktioniert auch dann, wenn das System chaotisch ist und viele verschiedene Pfade hat. Es kann sogar prüfen:

„Gibt es mindestens einen Weg, auf dem alles gut läuft?"
„Ist es auf allen Wegen so, dass..."
„Gilt das nur für eine bestimmte Gruppe von Benutzern (z.B. Sicherheitslevel)?"

Beispiel aus dem Papier (Sicherheit):
Stell dir ein Bank-System vor.

Ein Kunde mit niedrigem Sicherheitslevel darf nicht sehen, was ein Kunde mit hohem Level tut.
TREBL kann beweisen: „Egal welche Aktionen der High-Level-Kunde macht, die Anzeige für den Low-Level-Kunden bleibt immer gleich." Das ist eine sehr komplexe Regel, die mit TREBL aber fast wie ein Kinderspiel formuliert werden kann.

5. Das große Versprechen: Relative Vollständigkeit

Das ist der wissenschaftliche „Killer-Feature"-Teil, einfach erklärt:

Die Autoren sagen: „Wir haben ein Regelwerk (eine Art Kochbuch) für Beweise erstellt.

Soundness (Korrektheit): Wenn ihr die Regeln befolgt, ist das Ergebnis garantiert wahr.
Relative Completeness (Vollständigkeit): Wenn eine Eigenschaft wirklich wahr ist, dann kann man sie mit unseren Regeln beweisen – vorausgesetzt, ihr habt den richtigen „Energiezähler" (die Variante) in eurem System eingebaut."

Und das Beste: Sie beweisen, dass man diesen Zähler immer einbauen kann, wenn man das System nur ein wenig detaillierter beschreibt. Man muss nicht raten, ob es einen Beweis gibt; man weiß, dass er existiert, wenn das System korrekt ist.

Zusammenfassung in einem Satz

TREBL ist ein neues, mächtiges Werkzeug, das es Ingenieuren erlaubt, die Zukunft von komplexen Computersystemen vorherzusagen, indem es nicht die ganze Geschichte abspult, sondern clever die aktuellen Regeln nutzt, um zu beweisen, dass das System niemals hängen bleibt oder Sicherheitslücken öffnet – und zwar mit einem Regelwerk, das garantiert funktioniert, solange man die richtigen „Energie-Zähler" im System definiert.

Es ist wie der Unterschied zwischen dem Versuch, jeden einzelnen Schritt eines Wanderers zu filmen, um zu sehen, ob er den Berg erreicht, und dem einfachen Blick auf die Landkarte, die beweist, dass es einen Weg nach oben gibt. TREBL gibt uns die perfekte Landkarte. 🗺️✨

1. Problemstellung

Die formale Verifikation von Zustandsbasierten Methoden wie Event-B, B oder TLA+ stützt sich traditionell stark auf Invarianten (Zustands- und Übergangsinvarianten), um die Konsistenz von Spezifikationen zu gewährleisten. Während diese Methoden die Verifikation von Sicherheitsbedingungen (Safety) hervorragend unterstützen, ist die Verifikation von Lebendigkeitseigenschaften (Liveness) schwieriger.

Lebendigkeitseigenschaften beschreiben, dass bestimmte Zustände oder Ereignisse „irgendwann" eintreten (z. B. Fortschritt, Fairness, Persistenz). Herkömmliche temporale Logiken wie LTL (Linear-Time Temporal Logic) oder CTL (Computation Tree Logic) sind zwar ausdrucksstark für solche Eigenschaften, haben jedoch zwei wesentliche Nachteile im Kontext strenger Methoden:

Propositionaler Charakter: Klassische LTL/CTL sind oft propositionale Erweiterungen, die für die Verifikation komplexer Systeme mit Zustandsvariablen nicht ausreichen.
Unvollständigkeit: Wenn man temporale Logiken auf erste Ordnung erweitert (um Zustandsvariablen zu nutzen), geht die Vollständigkeit der Logik verloren. Es gibt keine vollständige Menge von Ableitungsregeln, um alle gültigen Formeln zu beweisen.

Bisherige Ansätze (z. B. von Hoang und Abrial) versuchten, LTL mit Event-B zu kombinieren, blieben aber entweder unvollständig oder erforderten starke Einschränkungen (wie „Tail-Homogenität", d. h. die Einschränkung der Nichtdeterminismus-Struktur der Maschine), um relative Vollständigkeit zu erreichen.

Das Ziel dieses Artikels ist es, eine temporale Logik für Event-B zu entwickeln, die ausdrucksstark genug ist, um Lebendigkeitseigenschaften über Traces (Ablaufpfade) zu formulieren, aber gleichzeitig relativ vollständig ist, d. h., dass für jede gültige Eigenschaft ein Beweis existiert, sofern die Maschine hinreichend verfeinert ist.

2. Methodik

Die Autoren entwickeln TREBL (Temporal Event-B Logic), einen Fragment der erweiterten Event-B-Logik. Der Kern der Methodik besteht darin, temporale Operatoren nicht als eigenständige Operatoren über Traces zu definieren, sondern als Abkürzungen (Shortcuts) für komplexe Formeln, die über Zustände interpretiert werden.

Kernkonzepte:

Zustandsbasierte Interpretation: Da ein Zustand in einer Event-B-Maschine alle möglichen Traces bestimmt, die von diesem Zustand ausgehen, können temporale Eigenschaften über den Startzustand des Traces definiert werden. Dies vermeidet die Notwendigkeit, Traces als erste Klasse-Objekte in der Logik zu behandeln.
Erweiterung der Logik ( $L_{ext}$ ): Die Autoren erweitern die Standard-Logik von Event-B um:
- Update-Sets: Mengen von Zuweisungen, die den Übergang von einem Zustand zum nächsten beschreiben.
- Modaloperatoren $[X]\phi$ : Diese drücken aus, dass nach Anwendung eines Update-Sets $X$ die Formel $\phi$ gilt.
- Mehrstufige Update-Sets ( $USet^*(k, X)$ ): Diese erlauben die Darstellung von Sequenzen von Schritten (Traces) durch induktive Definition.
Definition temporaler Operatoren: Operatoren wie $\Box$ (immer), $\Diamond$ (irgendwann) und $U$ (bis) werden als syntaktische Zucker für Formeln in $L_{ext}$ definiert, die über Update-Sets quantifizieren. Dies erlaubt auch die Unterscheidung zwischen Eigenschaften, die für alle Traces gelten, und solchen, die für mindestens einen Trace gelten (ein Trace-Analogon).
Varianten (Variants): Um Lebendigkeitseigenschaften zu beweisen, werden sogenannte Variant-Terme verwendet. Diese Terme nehmen Werte in einer wohlgeordneten Menge (z. B. natürliche Zahlen) an und müssen bei jedem relevanten Schritt streng abnehmen.
- Es werden verschiedene Arten von Varianten definiert: $c$ -Varianten (Konvergenz), $d$ -Varianten (Divergenz), $e$ -Varianten (Erreichbarkeit) sowie komplexe Kombinationen (simultane und bedingte Varianten) für fortgeschrittene Progress-Eigenschaften.

3. Wichtige Beiträge

Definition von TREBL: Einführung eines logischen Fragments, das die gängigen Lebendigkeitseigenschaften (Invariant, Existenz, Fortschritt, Persistenz, Erreichbarkeit) abdeckt, einschließlich Varianten für einzelne Traces und definierbare Teilmengen von Traces.
Ableitungsregeln (Derivation Rules): Formulierung einer umfassenden Menge von sounden (korrekten) Ableitungsregeln für TREBL. Diese Regeln basieren auf der Konstruktion von Varianten-Termen, die den Abstieg in einer wohlgeordneten Menge garantieren.
Relative Vollständigkeit: Der wichtigste theoretische Beitrag ist der Beweis der relativen Vollständigkeit des Systems.
- Aussage: Wenn eine Formel $\phi$ in einer konsistenten Event-B-Maschine $M$ gültig ist ( $M \models \phi$ ), dann existiert eine Ableitung ( $M \vdash \phi$ ), vorausgesetzt, dass $M$ so verfeinert ist, dass die notwendigen Varianten-Terme definiert werden können.
- Entfernung von Einschränkungen: Im Gegensatz zu früheren Arbeiten ([FRS+24]) wird die Einschränkung der Tail-Homogenität (die besagte, dass alle Traces eine bestimmte Struktur bezüglich der Lebendigkeit haben müssen) vollständig entfernt.
Existenz von Verfeinerungen: Es wird bewiesen, dass für jede konsistente Maschine, die eine Lebendigkeitseigenschaft erfüllt, eine konservative Verfeinerung existiert, in der die erforderlichen Varianten-Terme explizit definiert werden können. Dies zeigt, dass die Voraussetzung der relativen Vollständigkeit immer erfüllbar ist.
Anwendung auf Sicherheitsaspekte: Die Autoren demonstrieren die Anwendbarkeit von TREBL an komplexen Beispielen aus dem Bereich der Sicherheit, insbesondere bei Non-Interference (Nicht-Interferenz) und Bounded Deducibility. Im Gegensatz zu klassischen temporalen Logiken, bei denen solche Eigenschaften schwer zu formulieren sind, lassen sie sich in TREBL durch relativ einfache Invarianzbedingungen mit Übergangsformeln ausdrücken.

4. Ergebnisse

Soundness (Korrektheit): Alle eingeführten Ableitungsregeln sind sound. Das bedeutet, dass jede aus den Regeln ableitbare Formel auch semantisch gültig ist.
Relative Vollständigkeit: Das System ist relativ vollständig für das Fragment TREBL. Dies bedeutet, dass es keine „wahren, aber unbeweisbaren" Lebendigkeitseigenschaften gibt, solange die Maschine die notwendigen Varianten enthält.
Praktische Machbarkeit: Die Theorie wurde an Beispielen (z. B. ein Producer-Consumer-System mit begrenztem Puffer und ein Multi-Level-Security-Stack) erfolgreich angewendet. Die Beweise für Lebendigkeitseigenschaften wie „Fairness" oder „Erreichbarkeit eines Ziels" konnten durch die Konstruktion geeigneter Varianten-Terme mechanisiert werden.
Erweiterbarkeit: Die Logik erlaubt die Kombination von Operatoren für alle Traces und einzelne Traces sowie die Quantifizierung über definierbare Mengen von Traces, was eine höhere Ausdruckskraft als frühere Ansätze bietet.

5. Bedeutung und Ausblick

Die Arbeit stellt einen wichtigen Durchbruch in der formalen Verifikation von Event-B-Modellen dar.

Überwindung des Expressivitäts-Vollständigkeits-Dilemmas: Traditionell musste man sich zwischen ausdrucksstarken temporalen Logiken (die unvollständig sind) und vollständigen Logiken (die oft zu schwach für Lebendigkeit sind) entscheiden. TREBL umgeht dieses Problem durch die Interpretation über Zustände und die Nutzung von Verfeinerungen.
Wegbereiter für Werkzeugunterstützung: Die Autoren bereiten eine zweite Teilarbeit vor, die die Integration dieser Ableitungsregeln in das RODIN-Tool (die Standard-Umgebung für Event-B) über die EB4EB-Metatheorie beschreibt. Dies ermöglicht eine vollautomatische oder halbautomatische Verifikation von Lebendigkeitseigenschaften in der Praxis.
Allgemeingültigkeit: Obwohl die Arbeit auf Event-B basiert, sind die zugrundeliegenden Prinzipien (Zustandsbestimmung von Traces, Nutzung von Verfeinerungen für Varianten) auf andere zustandsbasierte strenge Methoden wie B, TLA+ oder Abstract State Machines (ASMs) übertragbar.

Zusammenfassend bietet TREBL ein rigoroses, theoretisch fundiertes und praktisch anwendbares Framework, um Lebendigkeitseigenschaften in Event-B-Modellen nicht nur zu spezifizieren, sondern auch formell und mechanisch zu verifizieren, ohne dabei auf die Vollständigkeit der Beweismethoden verzichten zu müssen.