💻 computer science

Visualising CTL Witnesses and Counterexamples -- Extended Version

Dit artikel introduceert een formeel model voor het visualiseren van bewijzen en contra-exemplaren voor CTL-eigenschappen op expliciete toestandsmodellen om menselijk inzicht te vergroten, en bevat de volledige bewijzen van de eerder in SPIN 2026 gepubliceerde resultaten.

Oorspronkelijke auteurs: Arend Rensink

Gepubliceerd 2026-04-23

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Arend Rensink

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

De Detective van de Digitale Wereld: Waarom iets wel of niet werkt

Stel je voor dat je een spelontwikkelaar bent. Je hebt een nieuw computerspel gemaakt. Je wilt zeker weten dat het spel geen fouten bevat en dat de spelers bepaalde doelen kunnen bereiken.

In de wereld van de informatica gebruiken we een speciale taal (logica) om regels op te stellen voor dit spel. Er zijn twee manieren om naar deze regels te kijken:

LTL (Lineaire Tijd): Dit is alsof je naar één enkele filmrolletje kijkt. Je vraagt: "Gaat deze ene specifieke reis van A naar B wel goed?" Als het misgaat, heb je een bewijs van de fout (een counterexample): een filmpje dat precies laat zien waar het misging. Dit is makkelijk te begrijpen.
CTL (Computation Tree Logic): Dit is alsof je naar een boom van mogelijke toekomstige reizen kijkt. Het spel kan op elk moment een willekeurige keuze maken. Je vraagt: "Is er minimaal één manier om te winnen?" of "Is het onmogelijk om te verliezen, ongeacht welke keuzes je maakt?"

Het probleem met CTL is dat het veel complexer is. Als het spel een fout heeft, is het niet genoeg om één slecht filmpje te tonen. Je moet laten zien dat er in de hele "boom" van mogelijke toekomstige paden een probleem zit. Dat is voor mensen lastig te visualiseren.

Wat doet dit paper?
De auteur, Arend Rensink, wil een manier vinden om deze complexe CTL-regels voor mensen begrijpelijk te maken. Hij wil een "bewijs" (evidence) vinden dat laat zien:

Of een regel wél geldt (een getuige/witness).
Of een regel niet geldt (een tegenvoorbeeld/counterexample).

En hij wil dit niet alleen als wiskundige formule, maar als een visueel plaatje dat je direct snapt.

De Drie Sleutels tot Begrip

Om dit te doen, introduceert de auteur drie slimme concepten. Laten we ze uitleggen met een analogie van een Labyrinth (Labyrint).

1. De "Gesloten Deuren" (Closed States)

Stel je voor dat je in een labyrint loopt.

Als je bij een kruispunt staat en er is geen deur naar een andere kamer, dan is dat een gesloten deur.
In de oude manier van kijken (Kripke-modellen) werd vaak aangenomen dat als er geen deur is, je gewoon stopt. Maar in de echte wereld van CTL moet je zeker weten dat er nooit een deur kan worden toegevoegd.
De innovatie: De auteur introduceert het idee van een "gesloten staat". Dit is een kamer in je labyrint waar je zeker weet: "Hier kan je nooit meer weg. Er zijn geen verborgen deuren."
Waarom is dit handig? Als je wilt bewijzen dat je niet kunt winnen (een tegenvoorbeeld), dan is het cruciaal om te laten zien: "Kijk, hier is een kamer waar je vastloopt, en er zijn geen andere uitgangen." Dit "gesloten" karakter is het bewijs dat er geen andere weg is.

2. Het "Minimale Bewijs" (Minimal Evidence)

Stel, je wilt bewijzen dat je in het labyrint wel kunt winnen.

Je hoeft niet de hele kaart van het labyrint te tonen. Je hoeft alleen maar één kort pad te tonen dat van start naar finish leidt. Alles wat daar niet aan bijdraagt, is ruis.
Als je wilt bewijzen dat je niet kunt winnen, moet je laten zien dat alle mogelijke paden vastlopen.
De auteur heeft formules bedacht om precies te zeggen: "Wat is het kleinste, simpelste plaatje dat je nodig hebt om dit te bewijzen?"
- Voor een "winstpad": Toon alleen het pad.
- Voor een "verlies": Toon de kamers waar je vastloopt en laat zien dat er geen uitgangen zijn.

3. "Natuurlijk Bewijs" (Natural Evidence)

Soms is een wiskundig "minimaal bewijs" te kort door de bocht voor een mens.

Voorbeeld: Stel je wilt bewijzen dat je "altijd veilig" bent. Het minimale bewijs zou kunnen zijn: "Kijk, hier is een pad." Maar voor een mens is het verwarrend als je niet ziet wat er anders mogelijk had kunnen zijn.
De auteur introduceert "Natuurlijk Bewijs". Dit is een bewijs dat nog steeds klein is, maar wel genoeg context geeft zodat een mens het direct begrijpt. Het is alsof je niet alleen het pad tekent, maar ook even aangeeft: "Hier was het veilig, en hier was het ook veilig." Het vult de gaten op die een mens nodig heeft om het verhaal te volgen.

Hoe ziet het eruit? (Visualisatie)

De auteur heeft een software-tool gemaakt die deze bewijzen tekent.

Kleuren:
- Groen: Alles is goed (waar).
- Rood: Alles is fout (onwaar).
- Grijs: Onbekend / niet relevant voor dit specifieke bewijs.
De Boom: Je ziet een boomstructuur. Als je op een knop klikt, ziet je precies welk stukje van de boom nodig is om de regel te bewijzen.
Samenvoegen: Vaak moet je voor een groot spel duizenden kleine plaatjes bekijken. De auteur toont aan dat je deze vaak kunt samenvoegen tot één groot plaatje per regel. In plaats van 1000 kaartjes te tonen, toon je er één, waarop je kunt zien: "Kijk, dit is het bewijs dat je overal veilig bent."

Conclusie: Waarom is dit belangrijk?

Vroeger was het voor mensen heel moeilijk om te begrijpen waarom een complexe computerregel wel of niet werkte. Het antwoord was vaak een onbegrijpelijke wiskundige formule.

Dit paper zegt: "Nee, laten we het visueel maken."
Door slimme concepten als "gesloten deuren" (om zekerheid te geven dat er geen uitwegen zijn) en "natuurlijke bewijzen" (om de context te behouden), kunnen we complexe logische problemen vertalen naar duidelijke plaatjes.

In het kort:
Het is alsof je een detective bent die een complex misdrijf oplost. In plaats van een 500 pagina's tellend dossier te lezen, krijg je een visueel bewijs: een kaart met één duidelijk pad dat de dader heeft genomen, of een kaart met alle deuren die dichtgegooid zijn, zodat je direct snapt: "Ah, zo is het gegaan!"

Dit helpt ontwikkelaars om sneller fouten in hun systemen te vinden en te begrijpen, in plaats van alleen te zien dat er een fout is.

Probleemstelling

Temporale logica wordt gebruikt om eigenschappen van systeemevolutie over tijd te specificeren. Er bestaat een fundamenteel verschil tussen LTL (Linear Temporal Logic) en CTL (Computation Tree Logic) met betrekking tot de interpretatie van modelcheck-resultaten:

Bij LTL is het concept van een tegenvoorbeeld (counterexample) intuïtief en eenvoudig: het is een enkele trace (lijn) die de eigenschap schendt.
Bij CTL (die "branching time" gebruikt) is dit niet het geval. Omdat CTL rekening houdt met de vertakkingsstructuur van het model, kan een eigenschap niet worden geschaald door een enkele trace. Een tegenvoorbeeld vereist vaak een deel van de vertakkingsstructuur om te begrijpen waarom een eigenschap niet geldt.
Bovendien is bij CTL het schenden van een eigenschap $\phi$ equivalent aan het voldoen aan de negatie $\neg\phi$ . Er is dus geen fundamenteel onderscheid tussen een "witness" (voor bewijs) en een "counterexample" (voor tegenvoorbeeld); beide zijn vormen van evidence (bewijsmateriaal).

Het probleem dat dit artikel adresseert is tweeledig:

Wat is de eenvoudigste en meest precieze notie van evidence die de reden voor het al dan niet gelden van een willekeurige CTL-formule volledig vastlegt?
Hoe kan deze evidence effectief worden gevisualiseerd voor menselijk begrip, zonder dat de complexiteit van het model de leesbaarheid tenietdoet?

Methodologie

De auteur hanteert een formele aanpak gebaseerd op expliciete toestandsmodellen (Kripke-structuren) en introduceert een nieuw concept: gesloten toestanden (closed states).

Formele Definitie van Evidence:
- Een model $M$ is "evidence" voor een bewering (assertion) $(s, \phi, b)$ als de labeling van $M$ voldoende informatie bevat over de subformules van $\phi$ om te garanderen dat de bewering waar is in elke geluid (sound) supermodel van $M$ .
- Gesloten toestanden: Een cruciale innovatie is het onderscheid tussen open en gesloten toestanden. Een gesloten toestand heeft geen uitgaande transities in het submodel, wat impliceert dat er in geen enkel supermodel extra transities kunnen worden toegevoegd. Dit is essentieel voor het modelleren van negatieve informatie (bijv. "er bestaat geen pad dat...").
Minimale Evidence:
- De paper definieert conditionen voor minimale witnesses en minimale counterexamples per temporale operator (EX, EU, EG, etc.).
- Voor een witness van $EX \psi$ volstaat één overgang naar een toestand die $\psi$ voldoet.
- Voor een counterexample van $EX \psi$ moet de huidige toestand gesloten zijn en mogen alle mogelijke opvolgers $\psi$ niet voldoen.
- Voor $EU$ en $EG$ worden specifieke pad-structuren gedefinieerd die minimaal zijn qua toestanden en transities, maar toch voldoende zijn om de eigenschap te bewijzen of te ontkrachten.
Visualisatie-strategieën:
- Syntax Tree (AST): De visualisatie is gebaseerd op de Abstract Syntax Tree van de formule, getoond in elke toestand.
- Lokale Sluiting (Local Closure): Voor niet-temporale operatoren (zoals negatie) wordt de evidence voor de subformules direct in dezelfde toestand getoond om verwarring te voorkomen.
- Natuurlijke Evidence (Natural Evidence): Minimale formele evidence kan soms onintuïtief zijn (bijv. een pad zonder labeling van subformules in tussenliggende toestanden). De auteur introduceert "natuurlijke evidence", waarbij de labeling van alle kinderen in niet-terminale toestanden expliciet wordt getoond, wat het menselijk begrip verbetert.
- Gecombineerde Evidence: In plaats van duizenden losse snapshots voor elke toestand/formule-paar, wordt een enkel model gepresenteerd dat de evidence voor alle toestanden voor een specifieke formule combineert.

Belangrijkste Bijdragen

Formeel Model van Evidence: Een rigoureuze definitie van evidence voor CTL, die zowel witnesses als counterexamples omvat, gebaseerd op het concept van gesloten toestanden en submodellen.
Characterisatie van Minimale Evidence: De paper levert exacte syntactische en semantische voorwaarden (in tabellen 1 en 2) voor wat de kleinste mogelijke evidence is voor elke CTL-operator, onder de aanname van "ongebonden" (unconstrained) formules.
Bewijs van Existentie: Er wordt bewezen dat voor elke geluidse modelcheck-uitkomst een gecombineerde evidence bestaat die alle individuele bewijzen in één model samenvat.
Implementatie en Visualisatie: Een concrete implementatie van een interactieve visualisatietool (demonstrator) die deze concepten toepast. De tool toont evidence op basis van selectie van een toestand en subformule, met ondersteuning voor "natuurlijke" en "lokaal gesloten" weergaven.

Resultaten

De paper toont aan dat het gebruik van gesloten toestanden de complexiteit van het vastleggen van negatieve informatie (bijv. "geen pad bestaat") drastisch reduceert. Dit maakt het mogelijk om evidence voor CTL-formules compact weer te geven, vergelijkbaar met de eenvoud van LTL-traces.
De gedefinieerde minimale en natuurlijke evidence blijken effectief te zijn voor menselijk begrip. De visualisatie vermijdt overbodige informatie (zoals onbereikbare toestanden) maar behoudt wel de contextuele labeling die nodig is voor intuïtie.
De methode van gecombineerde evidence reduceert de hoeveelheid visualisaties die nodig zijn om een volledig bewijs te tonen van "één per toestand/formule-paar" naar "één per temporale operator" voor het hele model.
De tool [18] die bij het artikel hoort, demonstreert succesvol hoe deze theorie in de praktijk werkt op een voorbeeld van een speltoestand (zoals beschreven in Figuur 1 en 2).

Betekenis en Toekomstperspectief

De betekenis van dit werk ligt in het overbruggen van de kloof tussen de formele complexiteit van CTL-modelchecking en de menselijke behoefte aan begrijpelijke uitleg van fouten of successen.

Voor de praktijk: Het biedt ontwikkelaars en verificatie-engineers een manier om niet alleen te zien dat een eigenschap faalt, maar waarom het faalt, in een visueel toegankelijke vorm.
Voor de theorie: Het introduceert een nieuwe manier om negatieve informatie in modelcheck-resultaten te coderen via gesloten toestanden, wat een alternatief biedt voor de traditionele benadering van simulatie-relaties.

Toekomstig werk richt zich op:

Het uitbreiden van deze concepten naar expressievere logica's zoals CTL*, waarbij de uitdaging ligt in het omgaan met pad-formules in plaats van alleen toestands-formules.
Het onderzoeken van simulatie-relaties in de aanwezigheid van gesloten toestanden, waarbij wordt gesuggereerd dat bisimulatie op gesloten toestanden nodig is om de huidige resultaten te generaliseren.

Kortom, dit artikel levert een fundamentele bijdrage aan de interpretatie en visualisatie van modelcheck-resultaten in vertakkende tijdslogica, door een formeel onderbouwde en mensvriendelijke notie van "evidence" te introduceren.