1 Korrektheit Reaktiver Systeme

Formelblatt FGDI 3 <Marco.Moeller@macrolab.de>

Stand: 06.03.2006 - Version: 1.0.0

Erh¨altlich unterhttp://privat.macrolab.de

Diese Formelsammlung basiert auf der Vorlesung“Formale Grundlagen der Informatik - 3”von Prof. Dr. Christoph Walther an der Technischen Universit¨at Darmstadt im Wintersemester 2005/06.

Die folgende Formelsammlung steht zum kostenlosen Download zur Verf¨ugung. Das Urheberrecht und sonstige Rechte an dem Text ver- bleiben beim Verfasser, der keine Gew¨ahr f¨ur die Richtigkeit und Voll- st¨andigkeit der Inhalte ¨ubernehmen kann.

1 Korrektheit Reaktiver Systeme

Transitionssystem T = (S,→, r) Zust¨ande S

Transitionsrelation →⊆S×S

• infix notiert:s→t⇔(s, t)∈→

Anfangszustand r∈Sa

Pfad der L¨angen, mit∀i,0≤i≤n:si→si+1

w=s0. . . sn

Ausf¨uhrung falls∀i,0≤i:si→si+1

p=s0s1. . . W¨orter S^∗sind endlich,S^ω sind unendlich

Element ρ(i)ist dasi-te Element vonρ(ab0 Z¨ahlen!) Suffix ρⁱ ist das beiibeginnende suffix von ρ(ab0Z¨ahlen!) Kripke Struktur K= (S,→, r, AP, ν)

Transitionssystem das zugrunde liegt(S,→, r) Grundaussagen MengeAP

Interpretationen der Grundaussagenν:AP →2^S

• Die Zust¨ande haben als eine Menge von Flags Bild ν⁻¹(ρ)∈ 2^APω

kann jeder Ausf¨uhrungρzugeordnet wer- den:ν⁻¹(ρ) (i) ={a∈AP|ρ(i)∈ν(a)}

erf¨ullt Kerf¨ullt eine LTL Formelφ(geschriebenK |=φ) falls f¨ur alle beirbeginnenden Ausf¨uhrungenρgilt, dassν⁻¹(ρ)⊆ [[φ]]

• Es kann sowohlK2φals auchK |=φgelten!

LTL Formeln

• Ista∈AP so istaeine Formel

• Sindφ1, φ2Formeln, so auch¬φ1, φ1∨φ2,Xφ1, φ1Uφ2

• Jede Formel definiert eine Menge von W¨ortern aus 2^APω

. Sei σ∈ 2^APω

• Semantik[[φ]] ={σ|σ|=φ}

gilt falls

σ|=a a∈σ(0) σ|=¬φ σ2φ

σ|=φ1∨φ2 σ|=φ1 oderσ|=φ2

σ|= Xφ σ¹|=φ

σ|=φ1Uφ2 ∃i: σⁱ|=φ2∧ ∀k < i:σ^k |=φ1

• φ1∧φ2≡ ¬(¬φ1∨ ¬φ2)

• true≡a∨ ¬a

• false≡ ¬true

• Fφ≡true Uφ

• Gφ≡ ¬F¬φ

• φ1Wφ2≡(φ1Uφ2)∨Gφ1

• φ1Rφ2≡ ¬(¬φ1U¬φ2)

• X (φ1∨φ2)≡Xφ1∨Xφ2

• X (φ1∧φ2)≡Xφ1∧Xφ2

• X¬φ≡ ¬Xφ

• F (φ1∨φ2)≡Fφ1∨Fφ2

• G¬φ≡ ¬Fφ

• G (φ1∧φ2)≡Gφ1∧Gφ2

• (φ1∧φ2) Uψ≡(φ1Uψ)∧(φ2Uψ)

• φU (ψ1∨ψ2)≡(φUψ1)∨(φUψ2)

• Fφ≡FFφ

• Gφ≡GGφ

• φUψ≡φU (φUψ)

• F≡φ∨XFφ

• G≡φ∧XGφ

• φUψ≡ψ∨(φ∧X (φUψ))

• φWψ≡ψ∨(φ∧X (φWψ)) B¨uchi-Automat B= (Q,Σ, δ, q0, F)

Zustandsmenge (endlich)Q Alphabet (endlich)Σ

Ubergangsrelation¨ δ⊆Q×Σ×Q Anfangszustand q0∈Q

akzeptierende Zust¨andeF ⊆Q

akzeptiert B akzeptierta0a1. . .∈Σ^ω, gdw.

• (qi, ai, qi+1)∈δf¨ur alle i≥0

• Es giltqi∈F f¨ur unendlich vielei Sprache L(B) ={σ∈Σ^ω|Bakzeptiertσ}

• von B¨uchi Automaten erkannte Sprachen heißenω-regul¨ar Generalisierter B¨uchi Automat hat eine Menge F =

{F1, . . . , Fn} von Akzeptanzmengen. Er akzeptiert, falls unenedlich viele zust¨ande inFi f¨ur jedes i.

markiertes Produckt B1× B2= (Q,Σ, δ, q0, F)

gegeben B1= (Q1,Σ, δ1, q1, F1)undB2= (Q2,Σ, δ2, q2, F2)

• Q=Q1×Q2× {1,2}

gilt falls

∈δ ∈δ1 ∈δ2

(hs, t,1i, a,hs^′, t^′,1i) (s, a, s^′) (t, a, t^′) s /∈F1

(hs, t,1i, a,hs^′, t^′,2i) (s, a, s^′) (t, a, t^′) s∈F1

(hs, t,2i, a,hs^′, t^′,2i) (s, a, s^′) (t, a, t^′) t /∈F2

(hs, t,2i, a,hs^′, t^′,1i) (s, a, s^′) (t, a, t^′) t∈F2

• q0=hq1, q2,1i

• F =F1×Q2× {1}

LTL→generalisierter B¨uchi

gegeben LTL-Formel φ in Normalform, d.h. Negationen sind nach Innen geschoben.

gesucht Bφ= (Q,Σ, δ, q, F)

Abschluss Cl(φ)einer Formelφist die Menge aller Unterformeln vonφund ihrer Negierungen

Alphabet Σ = 2^AP mitAP den Atomen vonφ

Zust¨ande Q=Elemente von 2^Cl(φ), die folgende Zusatzbedin- gungen erf¨ullen

• ∀φ1∈Cl(φ) :¬φ1∈Q⇔φ1∈/Q

• ∀φ1∧φ2∈Cl(φ) :φ1∧φ2∈Q⇔φ1∈Q∧φ2∈Q

• ∀φ1∨φ2∈Cl(φ) :φ1∨φ2∈Q⇔φ1∈Q∨φ2∈Q Anfangszust¨ande, alle dieφenthalten

Uberg¨¨ ange s_→^l t, fallsl={p∈AP|p∈s}, sowie

• ∀Xφ1∈Cl(φ) : Xφ1∈s⇔φ1∈t

• ∀φ1Uφ2 ∈ Cl(φ) : φ1Uφ2 ∈ s ⇔ φ2 ∈ s ∨ (φ1∈s∧φ1Uφ2∈t)

• ∀φ1Rφ2 ∈ Cl(φ) : φ1Rφ2 ∈ s ⇔ φ1 ∧ φ2 ∈ s ∨ (φ2∈s∧φ1Rφ2∈t)

Akzeptierende Zust¨ande F¨ur jede Unterformel der Form ψ ≡ φ1Uφ2gibt es eine Akzeptanzmenge Fψ wie folgt:

• Fψ ist die Menge der Zust¨ande, dieφ2 oder¬φ1R¬φ2 ent- halten

Kripke →B¨uchi

• gegeben:K= (S,→, r, AP, ν)

• gesucht:BK= (Q,Σ, δ, q, F)

• F =Q=S

• Σ = 2^AP

• (s, A, s^′)∈δ⇔s→s^′ undA={p∈AP|s∈ν(p)}

• q=r

• K |=φ⇔ L(BK)⊆[[φ]]⇔ L(BK× B¬φ) =∅

– L 6=∅wenn Graph von. . .enth¨alt als Kreise mit Enzustand drin die erreichbar vom Start sind

SCC starke Zusammenhangskomponente heißt S ⊆ Qgdw. f¨ur alleq, q^′∈S giltq→^∗q^′

– SCC heitßttrivial wenn|S|= 1und f¨ur q∈S giltq9q – L 6= ∅ wenn Graph von . . . nicht-trivial SCC enth¨alt die

erreichbar vom Start ist

Aktionen K= (S, A,→, r, AP, ν)

• S, r, AP, ν wie bei Kripkestruktur

• Asei eine Menge von Aktionen

• →⊆S×A×S

• Sei(s, a, s^′)∈→deterministisch, so dass sich schreiben l¨assts^′= a(s)

• enabled(s) ={a|∃s^′: (s, a, s^′)∈→}

Unabh¨angigkeit I⊆A×AheißtUnabh¨angigkeitsrelationf¨urK, falls

• ∀a∈A: (a, a)∈/ I

• ∀(a, b)∈I: (b, a)∈I

• ∀(a, b) ∈ I, s ∈ S : Aktiviertheit: a, b ∈ enabled(s) ⇒ a ∈ enabled(b(s))∧b∈enabled(a(s))∧a(b(s)) =b(a(s))

• aundbheißen unabh¨angig, falls(a, b)∈I

stotter ¨aquivalenz sind zwei Abl¨aufe einer Kripke Strukturσ undρ, falls es Sequenzen 0 = i0 < i1 < i2 < . . . und 0 =j0 < j1 <

j2< . . .gibt, so dass f¨ur allek≥0 gilt:

ν⁻¹(σ(ik)) =ν⁻¹(σ(ik+ 1)) =. . . ν⁻¹(σ(ik+1−1))

=

ν⁻¹(ρ(jk)) =ν⁻¹(ρ(jk+ 1)) =. . . ν⁻¹(ρ(jk+1−1))

• Eine LTL-Formel φ heißtstotter-invariant, gdw. f¨ur alle ¨aquiva- lenten Abl¨aufeσundρgilt

σ|=φ⇔ρ|=φ

• Alle Formeln der LTL Logik ohne den X-Operator sind stotter- invariant

• Zwei KripkeK undK^′ Strukturen heißen stotter-¨aquivalent gdw.

– sie den gleichen Anfangszustand haben

– f¨ur jeden AblaufσinKes einen stotter-¨aquivalenten Ablauf ρin K^′ gibt und umgekehrt.

• Stotter-invariante Formeln k¨onnen stotter-¨aquivalente Kripke- strukturen nicht unterscheiden

Sichtbarkeit Eine Aktion a heißt unsichtbar, falls f¨ur alles, s^′ ∈ S gilt: Falls(s, a, s^′)∈→, dann giltν⁻¹(s) =ν⁻¹(s^′).

Ample sets ample(s)⊆enabled(s)ist die Menge an Nachfolgerzu- st¨anden die tats¨achlich ¨uberpr¨uft werden muss, beim Testen auf Leerheit der Sprache.K wird also aufKR reduziert.

• C0:ample(s) =∅ ⇔enabled(s) =∅

• C1: Auf jedem Pfad beginnend in s in K gilt: keine Aktion, die von einer Aktion inample(s)abh¨angt, kann vor einer Aktion in ample(s)ausgef¨uhrt werden.

Eine Aktion b, die von einer Aktion a ∈ ample(s) abh¨angt, d.h. (a, b) ∈/ I, kann erst nach der Ausf¨uhrung einer Aktion c∈ample(s)ausgef¨uhrt werden.

• C2 : Falls ample(s) ( enabled(s), sind alle Aktionen in ample(s)unsichtbar

• C3: F¨ur alle Zyklen in KRgilt: falls a ∈ enabled(s) f¨ur einen Zustand im Zyklus, danna∈ample(s^′)f¨ur einen Zustands^′ im Zyklus

2 Korrektheit Sequentieller Systeme

Alle volgenden Sysmbole m¨ussen eindeutig zuordbar sein⇔alle Men- gen sind disjunkt. Bei⊂ist die gleichheitnicht ausgeschlossen Sorten S= (s1, . . . , sn)wie Liste von Datentypen

Signatur Σ = (Σws)_ws∈S∗S Angabe ¨uber Fuktionssymbole mit dazu- geh¨origen Stelligkeiten und Sorten.

0-stellig=Konstante Variablensymbole V = (Vs)_s∈S

• V(φ)Menge aller Variablen Symbole in φ

• Vf(φ) ⊂ V(φ)Menge aller freien Variablen Symbole in φ, also die nicht abquantifizierten

Terme T (Σ,V)⊂(V ∪Σ)^∗ Menge der syntaktisch korrekten Terme aus den angegebenen Funktionen und Variablen

Grundterme T (Σ) Terme ohne Variablen

sensible Signatur hat von jeder Sorte mindestens ein Konstantensym- bol

Σ-Algebra ist paarA= (A, α)mit Tr¨agermengen A= (As)_s∈S

Deutungsfunktionen α= (αf)_f∈Σ die Signatur von f respek- tiert

Deutung A:T (Σ)→S Abei gegebenerΣ-Algebra A Formeln F(Σ,V)⊂(V ∪Σ∪ {≡,¬,∧,∀})^∗

• Sprache wird auch um andere gewohnte boolsche Operatoren er- weitert

• Fg Menge der geschlossenen Formeln, enthaltenkeinefreien Va- riablen

Atomare Formeln AT (Σ,V)∋t1≡t2 mitt1, t2∈ T (Σ,V) pr¨anexe Normalform ist eine Formel φ wenn alle Quantoren (∀,∃)

ganz links stehen.

universelle Formeln wenn pr¨anex und alle Quantoren ∀

F∀(Σ,V)ist Menge aller solcher Formeln ¨uber geg. Signatur Gleichung siehe Atomate FormelE(Σ,V) =AT (Σ,V)

universelle Gleichung universelle Formel, die hinter den Quantoren nur nich genau ein=steht

E∀(Σ,V)ist die Menge aller solcher universelller Geichungen Allabschluss f¨ur eine∈ E(Σ,V)ist∀edie Gleichung, in der alle freien

Variablen abquantifiziert wurden. Analog f¨ur Formelmengen.

Σ-Interpretation ist ein Paar I = (A,a) mit der Σ-Algebra A und a:V →SA.

Deutung von Formel:αauf Funktionen unda auf Variablen rekursiv anwenden. Atomare Formeln liefern bool. Dieses mit Boolschen Funktionen verkn¨upfen.

I |=Alg(Σ) φ ⇔ die Σ-Interpretation I erf¨ullt eine Formel φ ∈ F(Σ,V)gdw. die Auswertung true liefert.

erf¨ullbar istφgdw. es einerΣ-InterpreationIgibt die Formelφ erf¨ullt

allgemeing¨ultig ist φgdw. jede Σ-InterpreationI die Formelφ erf¨ullt

folgt Φ |=F(Σ,V) φ ⇔ eine Formel φ folgt aus einer Formelmenge Φ, gdw. alle Interpretationen die Φ wahr machen, auch φ wahr machen.

Folgerungen Φ^|=F(Σ,V)ist die Menge aller Folgerungen aus Φ allgemeing¨ultig wenn∅ |=F(Σ,V)φ

¨aquivalent φ1≈φ2 gdw.φ1↔φ2allgeimeing¨ultig

Theorie T h(A) :={φ∈ Fg(Σ,V)|A|=φ} zu gegebenerΣ-Algebra A

• ist angeschlossen und vollst¨andigφoder¬φsind (nicht)enthalten inT h(A)

• T h(A)⊂T h(B)⇒T h(A) =T h(B) Substitution σ:V →ST (Σ,V)

• rekursiv erweitern f¨ur gesamte Terme

Grundsubstitution σ(x)∈ T (Σ,V)∩ {x}f¨ur alle x∈ V Substitutionlemma a(σ(t)) =a[x1/a(t1), . . . , xn/a(tn)] (t)

• A|=∀l≡r⇒A|=σ(l)≡σ(r)f¨ur bel. Substitutionσ

Klasse der Σ-Algebren Alg_Σ

• F¨ur Φ ⊂ Fg(Σ,V) ist ModΣ(Φ) ⊂ Alg_Σ die Klasse aller Σ- AlgebrenAmitA|= Φ

Σ-Homomorphismus F¨ur A, B Σ-Algebren isth: A →S B ein Ho- momorphismus wenn

hs(αf(a1, . . . , an)) =βf(hs₁(a1), . . . , hsn(an))

• id^A:A→A ist Homomorphismus

• Verkettung von Homomorphismen ist wieder Homomorphismus

• h(A(t)) =B(t)f¨ur allet∈ T (Σ) Aquivalenzrelation¨ ist∼∈M×M wenn

reflexiv m∼m

symmetrisch m∼n⇔n∼m transitiv m∼n∧n∼k⇒m∼k

• F¨ur MengenM, Nundf :M →Nist∼F definiert durchm1∼F

m2⇔F(m1) =F(m2)eine ¨Aquivalenzrelation

• Aquivalenzklassen sind disjunkte Zerlegung der Gesamtmenge¨ Aquivalenzklasse¨ [m]_∼ ={n∈M|n∼m} ⊂2^M

Quotientenmenge M/∼=

[m]_∼ ∈2^M|m∈M Σ-Isomorphismus ist eine bijektiver Homomorphismus

• A≃ΣB sind zweiΣ-Algebren, wenn ein isomorphismus zwischen ihnen exisitert

• ≃Σist ¨Aquivalenzrelation

• Isomorphe Algebren haben gleiche Theorie

Abstrakter Datentyp f¨ur eine SignaturΣist eine KlasseC⊂Alg_Σ von Σ-Algebren, die unter Isomorphie abgeschlossen ist, d.h. es gilt f¨ur alleA, B∈Alg_Σ

• A∈C⇒(A≃ΣB ⇒B∈C)

monomorph heißtC fallsA∈C⇒(B∈C⇒A≃ΣB) polymorph andernfalls

initial ist eineΣ-Algebra A∈Alg_Σgdw. gilt: F¨ur jede Σ-Algebra B existiertgenau einΣ-Homomorphismus von AnachB.

• giltA≃ΣB ist auchB initial

Termalgebren SeiΣeine Signatur bzgl. einer SortenmengeS. Dann ist die TermalgebraTΣ= (T (Σ), τ)definiert durch

τf(t1, . . . , tn) :=f t1. . . tn

• Diese Termalgebra ist inital in der Klasse allerΣ-Algebren Kongruenzrelation ist≈⊂(As× As)_s∈S wenn:

• ≈sist ¨Aquivalenzrelation

• Kongruenzeigenschaft

a1≈s₁ a^′₁∧. . .∧an≈sn a^′_n ⇒αf(a1, . . . , an)≈sαf(a^′₁, . . . , a^′_n) Kongruenzklasse [a]_≈s analog ¨Aquivalenzklasse

Quotientenmenge As/≈s analog. . .

Quotientenalgebra ist eine Σ-Algebra zu gegebenen A und ≈:

A/≈:= A/≈,α˜˜ mit

˜˜ αf

[a1]_≈s

1, . . . ,[an]_≈sn

:= [αf(a1, . . . , an)]_≈s

Quotiententermalgebra F¨ur eine Σ-Algebra A sei ≈A⊂ T (Σ)× T (Σ)f¨ur allet1, t2∈ T (Σ)definiert durch

t1≈At2⇔A(t1) =A(t2)

die Quotiententermalgebra vonAist dann definiert alsTΣ/≈A= T (Σ)/≈A,^≈_τ^A

• F¨ur Variablenbelegungtund Termtgiltt(t) = [t]_≈A

kanonische Termalgebra heißtA(A, α)gdw.:A ⊂ T (Σ)und∀t∈ A:A(t) =t

Teilsignatur ist eine Signatur, bei der einige Funktionssymbole weg- gleassen wurden

Erzeugte Σ-Algebra SeienΣ^c undΣS-Signaturen mitΣ^c ⊂Σund seiA= (A, α)eineΣ-Algebra. Dann istAdurchΣ^cerzeugtgdw.

gilt:∀s∈S, a∈ As:∃q∈ T (Σ^c_s) :a=A(q)

• bei erzeugter Algebra sind alle Tr¨agermengen abz¨ahlbar

• Ainitial⇒Aerzeugt

• Aerzeugt⇒A≃ΣTΣ/≈A

• Seih:A→B Homomorphismus ist eindeutig, fallsAerzeugt

• erzeugte Algebren mit gleicher Theorie sind isomorph

frei erzeugt wenn zus¨atzlich gilt∀s ∈ S, q1, q2 ∈ T (Σ^c_s) : A(q1) = A(q2)⇒q1=q2

GenΣ⊂Alg_Σbezeichnet die Klasse aller erzeugtenΣ-Algebren

• (frei) erzeugtheit vererbt sich durch Isomorphie und Quotienten- termalgebra bildung

• alle Konstruktoren werden als injektive Funktionen gedeutet

• Es existiert eine isomorphe kanonische TermalgebraTA zuA Redukt ist Reduzierte Algebra zu kleinerer Signatur

• AdurchΣ^c⊂Σerzeugt und seiA^c dasΣ^c Redukt vonA Afreu erzeugt durch Σ^c ⇔A^c≃Σ^c TΣ^c

Expansion ist vollst¨andige Algebra zu großer Signatur

Kongruenz aus Relation Sei A eine Σ-Algebra, und R =⊂

(As× As). Es existiert eine kleinste Kongruenzrelation ≈R die R noch enth¨alt

Kongruenz aus Gleichung F¨ur E⊂ E(Σ,V)ist

RE: = {(θ(l), θ(r))∈ T (Σ)× T (Σ)| l≡r∈E∧θ ist Substitution}

und≈E:=≈RE

• F¨ur alleE⊂ E(Σ,V)giltTΣ/≈E |=∀E

• SeiE⊂ E(Σ,V).Dann istTΣ/≈E initial inModΣ(∀E)

Vorgehen Gegeben seiS,Σ^c⊂ΣundE⊂ E(Σ,V), so dassTΣ/_≈E

eine durch Σ^c freu erzeugte Quotiententermalgebra ist.

• Wir erweitern S zu S^′, Σ^c zu Σ^c′, Σ^d zu Σ^d′und E zu E^′ ⊂ E^′(Σ^′,V)

• Wir ben¨otigen Gleichungen nur, wenn wirΣ^d um ein neues Funk- tionssymbolf zuΣ^d′ erweitern.

• Solch eine GleichungsmengeE^′\Emuß garantieren, daßTΣ^′/≈E′

durch Σ^c frei erzeugt ist, d.h. f¨ur alle qi ∈ T (Σ^c)ein q ∈ T (Σ^c)mit

TΣ^′/≈E′(f q1. . . qn)∈[q]_≈

E′

existiert und f¨ur alleq∈ T (Σ^c)

T (Σ^c)∩[q]_≈E′ ={q}

gilt. Wir nennen solche GleichungsmengenE^′\E zul¨assig.

• ^E_{τ f}(q1, . . . , qn) := q gdw. ^≈_{τ f}^E [q1]_≈E, . . . ,[qn]_≈E

= [q]_≈E definiert eine frei erzeugte kanonische Termalgebra TΣ,E = T (Σ^c),^E_τ

f¨ur die giltTΣ,E ≃ΣTΣ/≈E

structure struct<=cons1(sel1,1:sct1,1, . . . , sel1,n₁ :sct1,n₁), . . .

• scti,h ∈ (S\ {bool})∪ {struct} f¨ur alle i ∈ {1, . . . , k} und alle h∈ {1, . . . , ni}. (sct=struct)

• ni≥0f¨ur alle{1, . . . , k}

• Anzahl der Konstruktoren:k≥1 Axiome EQstruct

• Gleichheit von Konstanteneqstruct(consi, consi)≡true

• Gleichheit von l¨angeren Konstruktoren (geschachtelt, allquantifi- ziert)eqstruct(consi(. . .), consi(. . .))≡eq(eq(. . .))

• Nichgleichheit bei f¨uhrenden Konstruktoren eqstruct(consi(. . .), consj(. . .))≡f alse

• Falsch angewendete Selektoren liefern Beispielterm (Konstante)

• Selektoren∀x1:structi,1. . . .seli,h(consi(. . .))≡xh

• ifstruct(true, x, y)≡x ifstruct(f alse, x, y)≡y

function proc(x1:struct1, . . . , xk:structk) :struct <=Rproc

• xi Parameter vom Typ structi

• nameP roc und R¨uckgabe vom Typstruct

• Rproc ist Rumpf und muss sich zustructauswerten lassen konstruktive Spec. Sist eine FolgehD0, . . . , Dnivon Datenstruktur-

und Prozedurdefinitionen.

• S(0) = {bool}, Σ (0)^c_bool = {true, f alse}, Σ (0)^cbool,bool,bool,bool={ifbool}

• S,Σ^c,Σ^d, E,V sind Funktionen voni→nummer der konstrukti- onsiteration

• hD0, . . . , Dni ⊕D=hD0, . . . , Dn, Di

zul¨assige Spec. Eine Konstruktive Spezifikation S = hD0, . . . , Dni ist zul¨assig, gdw. dieΣ (n)-AlgebraTΣ(n)/≈En frei erzeugt durch Σ (n)^c ist

• Datenstrukturdefinitionen sind automatisch zul¨assig in Verifun prozedur Relation f¨ur gegebenesproc ist

>proc⊂ T (Σ^c)_struct

1×. . .× T (Σ^c)_structn2

(q1, . . . , qn) >proc (q^′₁, . . . , q_n^′) gdw. beim Aufruf von proc(q1, . . . , qn)wirdproc(q^′₁, . . . , q_n^′)rekursiv aufgerufen

• Eine Prozedur terminiert und damit ist ihre Definition zul¨assig, gdw.>proc fundiert ist.

Fundierte Relation Eine Relation≻⊂M×M heißt fundiert gdw. es gibt keine unendliche Folgenm0, m1, . . .mitmi ≻mi+1 f¨ur alle i∈N