（計算機軟件與理論專業(yè)論文）基于狀態(tài)轉(zhuǎn)換容侵系統(tǒng)模型的smv分析與改進.pdf

基于狀態(tài)轉(zhuǎn)換容侵系統(tǒng)模犁的s m v 分析與改進 基于狀態(tài)轉(zhuǎn)換容侵系統(tǒng)模型的s m v 分析與改進 專業(yè)：計算機軟件與理論 顫生：趙扶欣 導(dǎo)師：蘇開樂 摘要 容饅技零是力強太型嬲絡(luò)綴務(wù)器在受到攻擊磊，戇繼續(xù)提供羧務(wù)( 葳提供舞 級服務(wù)) 的一項網(wǎng)絡(luò)安全技術(shù)。本文介紹了基于狀態(tài)轉(zhuǎn)換的容侵系統(tǒng)模型，同時 根據(jù)現(xiàn)在網(wǎng)絡(luò)攻擊的類獺，構(gòu)造出了攻擊者的有限狀態(tài)轉(zhuǎn)換模型。通過容侵系統(tǒng) 模簍與攻拳者模黧懿耪互俸瘸，菠瘸s m v 淶對容侵系統(tǒng)進行分掌廳。分耩結(jié)聚表 明，容侵系統(tǒng)模型著不通用于所有的嗣絡(luò)攻擊。在此論文中對容侵系統(tǒng)模型逃行 了改進，同時對改進后的模型進行了s m v 分析，最后對此模型的每一個改讖都 給出了稻應(yīng)的實鐨。 關(guān)鍵訶：模聱檢濺；容侵系統(tǒng)；s m v ；d d o s 基于狀憊轉(zhuǎn)攘吝寢系統(tǒng)模型魏s m v 分輯魏速 s m v a n a l y s i so fi n t r u s i o nt o l e r a n ts y s t e ms t a t e t r a n s i t i o nm o d e la n di m p r o v i n g m a j o r：c o m p u t e rs o f t w a r ea n dt h e o r y n a m e：z h a oc o n g x i n s u p e r v i s o r ：s uk a i l e a b s t r a c t i n t r u s i o nt o l e r a n c ei sa ne m e r g i n gn e t w o r ks e c u r i t yt e c h n i q u e ，w h i c h e n a b l e st h ev i c t i ms e r v e r s y s t e m s t oc o n t i n u e o f f e r i n gs e r v i c e s ( o r d e g r a d e ds e r v i c e s ) a f t e rb e i n ga t t a c k e d + as t a t et r a n s i t i o nm o d e lh a sb e e n p r e s e n t e dt od e s c r i b et h ed y n a m i cb e h a v i o ro fi n t r u s i o nt o l e r a n ts y s t e m s i nt h i sp a p e r ，w eb u i l da na t t a c kf i n i t es t a t es y s t e mb a s e do nt h er e c e n t n e t w o r ka t t a c k s ，a n du s es m v ，am o d e l c h e c k i n gt o o l ，t o a n a l y z et h e i n t r u s i o nt o l e r a n ts y s t e mb yt h ei n t e r a c t i o no ft h e s y s t e mm o d e la n dt h e a t t a c km o d e l t h ea n a l y s i sr e s u l t sd e m o n s t r a t et h a tn o ta l lt y p e so fa t t a c k s c a nb em a p p e dt ot h es y s t e mm o d e l w ei m p r o v et h i s s t a t et r a n s i t i o n m o d e la n du s es m vt op r o v et h ec o r r e c t n e s so ft h e i m p r o v e dm o d e l ， m o r e o v e r ，w eg i v et w oa t t a c ki n s t a n c e sm a p p e dt oo u r i m p r o v e dm o d e l k e yw o r d s ： m o d e lc h e c k i n g ；i n t r u s i o nt o l e r a n c es y s t e m ；s m v ；d d o s l i 基于狀態(tài)轉(zhuǎn)換容侵系統(tǒng)模型的s m v 分析與改進 1 1研究背景 第一章引言 網(wǎng)絡(luò)的誕生，極大地方便了人們地溝通和交流，人們在日常生活和工作環(huán)境 日漸依賴信息系統(tǒng)。然而網(wǎng)絡(luò)誕生之日起，網(wǎng)絡(luò)安全問題就一商如影隨形，蠕蟲 病毒，分布式拒絕服務(wù)攻擊。隨著網(wǎng)絡(luò)技術(shù)地飛速發(fā)展，新的威脅和脆弱點不斷 出現(xiàn)，從而對網(wǎng)絡(luò)信息安全技術(shù)提出了更高地要求。 計算機網(wǎng)絡(luò)安全涉及計算機科學(xué)、通信技術(shù)、密碼技術(shù)、信息論等多種學(xué)科。 其中包括人的惡意行為可能導(dǎo)致的資源( 包括信息資源、計算資源、通信資源等) 被破壞、信息泄漏、篡改、濫用和拒絕服務(wù)，包括一f 四個方而： 1 破壞資源的保密性。即泄密，對信息資源，指信息的語義、存在性等屬 性在存鍵或妻乏瑗過程中被來援投的實體瓣獲矮。 2 破壞系統(tǒng)或信息的完整性。在程序或數(shù)據(jù)的存儲、傳輸過程中通過熊改、 插入、刪除、熏發(fā)的方式，改變數(shù)據(jù)的語義或系統(tǒng)的功能。 3 。玻壞系統(tǒng)或饋惑戇霹弱j 鏊。逶過一定懿攻毒手段建褥系統(tǒng)無法提供有效 的服務(wù)甚至停止服務(wù)，進而使合法用戶對信息資源、計算資源或通信資 源的合法訪問無法進行。 4 。來授投弱矮爨資源。薅患資源、活冀資源或逶信炎源羧未授衩蕊實俸譴 用，這一威脅不破壞信息域系統(tǒng)的保密性、完整性和可用性，但怒可能 繪資源的所有精帶來損失，如流黽盜用。 模蘩檢濺鼓術(shù)跫一門鑫動純羧零，這l 、l 技零驗蠢e 騫藤毛爰態(tài)并行系統(tǒng)。羧壟檢 測系統(tǒng)有兩個輸入：一個系統(tǒng)，我們需要驗證這個系統(tǒng)的正確性；規(guī)格，系統(tǒng)具 有的屬性：模型檢測中主要的挑戰(zhàn)就是狀態(tài)空間的爆炸問題。這個問題足因為系 統(tǒng)中青許多穗互作竭滟因素或者密 二系縫中有餐雜戇數(shù)據(jù)結(jié)梅，蠢這些數(shù)攥結(jié)構(gòu) 可以取許多不同的值。在這樣一種情況下系統(tǒng)狀態(tài)的數(shù)目會變得非常大。 模型檢測技術(shù)的一個優(yōu)點就熄它能夠進行自動化的驗證。程序通常使用一 耱?qū)ο到g豹狀態(tài)空聞窮舉援索豹過疆決定菜些麓格是否為真。給予足夠的資源， 程序?qū)⒖偸且詙 e s n o 同答終結(jié)。 基t 狀態(tài)轉(zhuǎn)換容侵系統(tǒng)橫型的s m v 分析與改進 模型柃測技術(shù)是一種檢測有限狀態(tài)并發(fā)系統(tǒng)的自動化檢測技術(shù)，它主要用來 撿測i 鬲時態(tài)遙輯c t l ( c o m p u t a ti o nt r e el o g i c ) 或l t l ( l i n e a rt i m el o g i c ) 描述 | ! 勺規(guī)范。模型檢測的工具主要有c m u 的s m v 1 ，b e l l 實驗室的s p i n 2 等。 模型檢測 3 ，4 ，5 是熄模型檢驗問題轉(zhuǎn)化為檢驗趣動枧或轉(zhuǎn)換系統(tǒng)礁是否濾 怒邏輯公式s ，鄙赫| = s 愁否成立的一種形式化驗證技術(shù)。模型稔驗已在硬攙電 路、安全協(xié)議的驗證 6 ，7 、軟件系統(tǒng)規(guī)格與分析、分布式系統(tǒng)驗證中 8 中得別 了成功的應(yīng)滕。 但是早期對有限狀態(tài)系統(tǒng)進行模型撿驗，系統(tǒng)的狀態(tài)用顯示表示的。驗證進 行窮盡驗證，但隨著所耍驗證的系統(tǒng)的增大，就出現(xiàn)r 狀態(tài)爆炸的問題，為了解 決這個問題如現(xiàn)。r 符號化模型撿驗。符號化模型檢驗對系統(tǒng)的狀態(tài)用布爾函數(shù)進 行隱式表示，閩時搜索算法的改進，使褥在狀態(tài)空間繕到了攝大麴改進。符號 模型檢測工具s m v ( s y m b o l i cm o d e lc h e c k i n g ) 可以使得模型檢測在機器上自動 運行。 援鏹實驗察在對援爨梭測對安全按議、分棗式系絞等憋建模霸驗證中已經(jīng)暇 了大量的研究，并取褥了一些成果 7 ，8 ，9 ，1 0 。 1 。2察侵系統(tǒng)模型的研究 隨著i n t e r n e t 的飛速發(fā)鼷，耐絡(luò)的安全性受到了臼益嚴羹的挑酸。一方澍 潮絡(luò)攻擊行為日益呈現(xiàn)復(fù)雜化幫自動化的趨勢，拒絕服務(wù)攻擊已經(jīng)成為網(wǎng)絡(luò)運行 的主要隱患。另一方面，由于網(wǎng)絡(luò)中系統(tǒng)軟件和應(yīng)用軟件的快速升級換代，各種 系統(tǒng)漏洞不斷地祓發(fā)現(xiàn)，黼絡(luò)帶寬的迅速增長也使得信息的潞測變得更加困難。 這些挑戰(zhàn)或需求搬動嘲絡(luò)安全技術(shù)的發(fā)展。 容侵技術(shù) 兒 是近些年出現(xiàn)的新型網(wǎng)絡(luò)安全技術(shù)，主要針對網(wǎng)絡(luò)服務(wù)器受到 攻擊后，服務(wù)器魑否能繼續(xù)提供服務(wù)提出來的?，F(xiàn)在犬型軟件系統(tǒng)不可避免的存 在一些安全漏洞，和攻擊者采取攻擊的方法秘手段是不可預(yù)知的，對服務(wù)器來說， 確定受到攻擊后能否繼續(xù)提供服務(wù)比確定是受到的什么樣攻擊的類型更加重要。 對服務(wù)器的攻擊類型可以分為：未授權(quán)使用瓷源，破壞服務(wù)器上資源的機密性， 破甥：系統(tǒng)或信息的完整性、可用性。攻擊鰒類型不同，容鏝系絞保護鮑對象逛苓 基于狀態(tài)轉(zhuǎn)接吝媛系縫摸警黲s m v 分援每教避 棚同。容侵系統(tǒng)就是在服務(wù)器受到攻擊后，采取的一熄相應(yīng)的措施，使服務(wù)器繼 續(xù)提供鞭務(wù)，必要時提供臻級騷務(wù)。 容侵理論研究是網(wǎng)絡(luò)系統(tǒng)安全研究地重要組成部分，國外也羆剛岡i 起步。美 圍國防部目前關(guān)于容侵的資助項目有s i t a r ( s c a l a b l ei n t r u s i o nt o l e r a n c e a r c h i t e c t u r e ) 【1 l 】 、 i t t c i n t r u s i o nt o l e r a n c ev i at h r e s h 0 1d c r y p t o g r a p h y ) 1 2 、i t u a ( i n t r u s i o nt o l e r a n c eb yu n p r e d i c t a b i l i t ya n d a d a p t a t i o n ) 1 3 等，歐洲的項目( 2 0 0 0 - 2 0 0 3 ) 有m a f t i a ( m a l i c i o u sa n d a c c i d e n t a lf a u l tt o l e r a n c ef o ri n t e r n e ta p p l i c a t i o n s ) 1 4 】等。這些項蘸 主要從容侵理論和密碼技術(shù)等方面出發(fā)，研究容侵技術(shù)和容侵系統(tǒng)地體系結(jié)構(gòu)。 在這些項目地支持下，西方潮家在與容侵技術(shù)相關(guān)地領(lǐng)域內(nèi)取得了許多顯著地進 袋。 在重內(nèi)，對容繩技術(shù)的磷究進行懿較少。騫侵技術(shù)關(guān)注的焦點怒，在入侵存 在的情況下系統(tǒng)是否可以正常的提供服務(wù)，系統(tǒng)所提供的服務(wù)是否輿有連續(xù)性， 數(shù)據(jù)地安全髓楚否能得到僳征。它要求系統(tǒng)即使在面稿入侵時，盡可能地保持提 供關(guān)鍵黢務(wù)瓣能力，并且盡餮傺涯關(guān)鍵臻崽的安全。 容侵技術(shù)作為新一代的信息安全技術(shù)，結(jié)合密碼披術(shù)、容錯計算技術(shù)和網(wǎng)絡(luò) 安全控術(shù)，著眼于在人侵絕對存在的情況下，它通過攄供時間、空間地數(shù)據(jù)冗余 以及凌源酶耄秘寒據(jù)供一定懿服務(wù)矮量，叛藏提裹象縫懿安全毪。攘甸疆淀，容 侵技術(shù)旨在提高系統(tǒng)自身的免疫力，使得系絨對于非關(guān)鍵的入侵都可以保持信息 的究戇性、百用性和秘密性，從而提高信怠系統(tǒng)的安全性。 k a t e r i a ng o s e v a - p o p s t o j a n o v a 毒秘f e i y iw a n g 等人裁震竣態(tài)轉(zhuǎn)移圈模型繪 出了容侵系統(tǒng)的動態(tài)行為( 1 5 。這個模型有助于描述已知的和未知的安全攻擊。 遮篇論文超因于以下諜題：國際上出現(xiàn)的對容侵技術(shù)的系統(tǒng)化研究中，已經(jīng) 敬褥了虢土掰討論麓熬分畿桊。但是，還沒有對系統(tǒng)送 子形式訖靜騷涯，不麓鴦 定系統(tǒng)實現(xiàn)或系統(tǒng)模型是否滿足系統(tǒng)規(guī)約的要求。 在本文中介紹了基于狀態(tài)轉(zhuǎn)換的容侵系統(tǒng)模型 1 5 】，同時根據(jù)現(xiàn)在網(wǎng)絡(luò)攻擊 熬類麓，穆造& 了敬擊者的有黻狀態(tài)轉(zhuǎn)換篌黧。給出了系統(tǒng)要滿足的躐麴。通過 察侵系統(tǒng)模型與段潦者模型的相互作用，使用s m v 來對客經(jīng)系統(tǒng)進行分析。分析 結(jié)果表明， 1 5 中的容侵系統(tǒng)橫裂并不邂用予所有的閾絡(luò)攻擊。本文對容侵系統(tǒng) 藍r 桃態(tài)轉(zhuǎn)換容侵系統(tǒng)鏌型的s m v 升析與改進 模型進行了改進，并對改避后的模型遴行了s m v 分褥，最后對此模型的每一個改 進都給出了相應(yīng)靜實例。 1 3研究的動機和鼠的 1 3 1 動機 根據(jù)藏蠢i | = 戇討論，容緩系統(tǒng)是在暇務(wù)器受至攻壹縋靖囂下縫繼續(xù)提供服務(wù)藏 降級服務(wù)，嗣時現(xiàn)在我們已經(jīng)很清楚對服務(wù)器進 j = 網(wǎng)絡(luò)攻擊的方式，這樣我們就 可以給出容侵系統(tǒng)模型要滿足的系統(tǒng)規(guī)約以及可以構(gòu)造出攻擊辮進行攻擊的狀 態(tài)轉(zhuǎn)接模登。簿號化模燮撿測是對系絞瓣菝態(tài)愛蠢爾交數(shù)遘囂爨式表示，霹時羧 索算法的茂進，使得在狀態(tài)空間上得到了很大的改進。符號模型檢測工具s m v 可以使得模飄檢測在機器上自動運行。文獻 1 5 中的撼于狀態(tài)轉(zhuǎn)換的容侵模型的 羧態(tài)轉(zhuǎn)換楚數(shù)囂是有疆熬，我翻穩(wěn)逡瓣攻壹者敬狀態(tài)轉(zhuǎn)換橫蝥鵑獲愨龜是有戮 的，這兩個模型之間消息的傳遞可以看作是有限狀態(tài)的轉(zhuǎn)移，這樣就使得此模裂 可以通過s m v 來進行驗證。 本論文鶼瓣翡羲楚對一個套 受系綾援鍪進孝子符爭沲模型驗疆。籬先對客經(jīng)系 繞基于狀態(tài)轉(zhuǎn)換懿模登避行窮纓，橫援臻在弼絡(luò)攻擊豹類型梅逑出攻壺耆狀態(tài)轉(zhuǎn) 換模型，同時給出了容侵系統(tǒng)模型要滿足的一些規(guī)則。通過容侵系統(tǒng)模型和攻擊 謄系統(tǒng)禳鍪豹籀豆釋；靂，在s 孵上遴行驗涯，驗證豹繡祭表稿寮僚系統(tǒng)模型著不 蹙完備靛，在本論文中疆出了改遂懿模登，著聰改進露麴模型漆孬了形式化懿驗 舐，給出旗子改進后模型的實例。以上的容侵系統(tǒng)模型、構(gòu)造的攻擊者模型、對 系統(tǒng)進行的糕麴、整個輟證過程、驗證絡(luò)鬃、改遂焉酌摸墅和實鍘分祈將會嬲深 辯鴦饅系統(tǒng)秘對系絞邈褥鎊號倦驗證靛談諼，筑巍可勰會薄整令容橙技術(shù)器茨蕊 鞠i 符號化驗證譙網(wǎng)絡(luò)安全中的應(yīng)用有所價值。 基丁狀態(tài)轉(zhuǎn)換容侵系統(tǒng)模型的s m v 分析與改進 1 4論文組織 在第二章中介紹了模型檢測技術(shù)，其中包括進行模型檢測的過程、如何模擬 系統(tǒng)、符號化模型檢測和c t l 的語法和語義。 第三章詳細介紹了基于狀態(tài)轉(zhuǎn)換容侵系統(tǒng)模型，建立此模型上的系統(tǒng)可以允 許多個容侵策略并存并且支持不同級別的安全需要。同時，由于此狀態(tài)模型是根 據(jù)攻擊對系統(tǒng)服務(wù)所造成的影響，不是攻擊過程本身，只要某種攻擊對服務(wù)器產(chǎn) 生的破壞的效果和此模型中已知的攻擊所產(chǎn)生的效果類似，就可以根據(jù)此模型來 處理這種攻擊。在本章中根據(jù)現(xiàn)在唰絡(luò)攻擊的類型構(gòu)造出了攻擊者模型，對每一 個狀態(tài)和每一個狀態(tài)轉(zhuǎn)移都進行了詳細的說明。 第四章對系統(tǒng)進行s m v 分析，其中包括如何在s m v 上針對此容侵系統(tǒng)的模型 建立系統(tǒng)模型、以及給出系統(tǒng)性質(zhì)的描述和分析其驗證結(jié)果。根據(jù)驗證結(jié)果對原 模型進行了改進，對改進后的模型也同樣進行了s m v 分析，表明它的完備性。 第五章根據(jù)現(xiàn)在非常流行的攻擊，給出了相應(yīng)改進后模型的如何進行狀態(tài)轉(zhuǎn) 移的實例。 第八章對繁篇論文的工作做了總結(jié)，歸納了本片論文所作的主要貢獻，并對 未來的工作提出了建議和想法。 基u 狀態(tài)轉(zhuǎn)換窖侵蕞統(tǒng)模型的s m v 分析與改進 第二章模型檢測技術(shù) 模型檢測技術(shù)足一門自動化技術(shù)，遮門技術(shù)驗證有限狀態(tài)并行系統(tǒng)。這種方 法已經(jīng)成功瘸予許多復(fù)雜豹電鼴設(shè)詩秘逶信強波驗證。模型撿濺系綾有囂個輸 入：一個系統(tǒng)，我們想要驗證的系統(tǒng)：規(guī)格，系統(tǒng)具有的屬性。模酗檢測中j e 騷 的挑戰(zhàn)就是狀態(tài)空間的爆炸問題。這個問題足因為系統(tǒng)中有許多相互作用的因索 或者出 系統(tǒng)孛有復(fù)雜懿數(shù)攥結(jié)秘，蕊這些數(shù)擺縫褥霹敬取誨多不霹瓣值；在這 樣一種情況下系統(tǒng)狀態(tài)的數(shù)目會變得非常大。 模型檢測技術(shù)的一個優(yōu)點就是它能夠進行自動化的驗證。檢測程序通常使用 一耱霹系繞瓣狀態(tài)空藏霧舉搜索熬過程決定菜弩戴戇跫否為賣。綴定我囂j 麓詩舞 機足夠強大，檢測程序?qū)⒖偸且詙 e s n o 回答終結(jié)。 2 。l 模型檢測的過糕 把模型檢測技術(shù)應(yīng)用于澄汁由幾項任務(wù)組成 1 6 。 模擬 模型檢測王具都蠢定魄輸入格式，瓣以第一項任務(wù)藏是恕個設(shè)計或系統(tǒng) 轉(zhuǎn)化成模型檢測工具能夠接受的形式。在許多情況下，遮僅僅是一項編譯工作。 在其他憤況下，建于時間積內(nèi)存的局限，一個設(shè)計的模擬可能要求搜用抽象去減 少不楣關(guān)或不重要躲綱警。 給定規(guī)格 在驗證之前，必須提寵設(shè)討或系絞必須瀵足的性藤。這個溉摻逮豢以邏矮公 式鴕形式給出，遴常楚c t l ( c o m p u t a t i o nt r e el o g i c ) 或l t l ( l i n e a rt r e el o g i c ) 公式的形式出現(xiàn)。這聰犖申邏輯公式熊夠燃述系繞隧驁對聞變化艙麟性。本文將要 考感恩c t l 公式來表暴系絞要潢足熬趣捂。 驗證 在理想黲 冤f 驗誕楚完全曩動化灼。鍵是，在實際中經(jīng)零霪要有人豹參譬。 耱人工熟活裁憝驗 委結(jié)聚豹分毒廳。為了游盤番定鑫冬結(jié)聚，出繕熬路徑經(jīng)常星巍 給蠲戶。窯麓夠禳作為溺試震往的反鍘并勰幫韻設(shè)計者跟蹤到出鏈鵲穗方。在這 6 基于狀態(tài)轉(zhuǎn)換容侵系統(tǒng)模型的s m v 分析與改進 種情況f ，分析錯誤路徑可能要求修改系統(tǒng)和重寫模型檢測的算法。 j 一：生錯誤的路徑也可能是因為不正確的系統(tǒng)模擬或是不正確的規(guī)格要求。錯 誤路徑能用于發(fā)現(xiàn)和修補這兩類問題。最后一種可能是驗證任務(wù)可能會不能i _ f 常 地終止，因為模型規(guī)模大到不能裝進計算機內(nèi)存的原因。在這種情況下，可能需要 在更改模型檢測器的參數(shù)或調(diào)整模型后重新驗證。 2 2模擬系統(tǒng) 一個狀態(tài)是系統(tǒng)中的變量在一個特定的時間的一個快照或怒一個現(xiàn)時的描 述。 我稠還需要翔遂系統(tǒng)熬 壹螽箭逮蕊系統(tǒng)靜動佟燹純?？山嘣饫L定系緩褒動 作發(fā)生前和發(fā)生后的狀態(tài)來描述系統(tǒng)的改變。這樣的狀態(tài)對決定了系統(tǒng)狀態(tài)的遷 移。在這壁，在模擬系統(tǒng)時可以使用k r i p k e 結(jié)構(gòu)來描述系統(tǒng)的行為 1 6 。 一個k r i p k e 結(jié)秘密：一令妖態(tài)集合，狀態(tài)之潤的遷移關(guān)系，一個標號函數(shù) 組成。標母函數(shù)用一些在這個狀態(tài)f 為真的命題標識這個狀態(tài)。路徑是一個 k r i p k e 結(jié)構(gòu)在模擬系統(tǒng)汁算的狀態(tài)系列。雖然這櫸的模型非常簡單，但它們有 足夠的表遮箍力對系統(tǒng)遂行猿理。 下面讓我們來看看如何用k r i p k e 結(jié)構(gòu)模擬系統(tǒng)。 假設(shè)a p 海一個原孑命題的集合。一個在a p 上躲k r i p k e 結(jié)褥鹺是一個四元 組 m = ( s ，s 。，r ，l ) s 是有隈狀態(tài)集合 s 。是s 的一個子集，它是系統(tǒng)秘貽狀態(tài)的集合 r 是s s 的一個傳遞關(guān)系，r 必須是完全的，也就是對于每一個s s ，有一 個狀態(tài)s ，滿足r ( s ，s ) l ：s 一 2 ”是一個函數(shù)，這個函數(shù)撼每一個狀態(tài)弼在這個狀態(tài)成立的原子命題 集合標識。 有時我鍵霹毆不蘑關(guān)心拐始狀態(tài)爽合s 。在這葶孛壤凝下，可以挺這個狀態(tài)集 合從k r i p k e 結(jié)構(gòu)的定義中刪除。在結(jié)構(gòu)m 中，從一個狀態(tài)s 殲始的一條路徑是 7 鏊，狀態(tài)轉(zhuǎn)換窖餐系統(tǒng)模型的s m v 分析與改進 狀態(tài)的一個無窮序列 r = s o s i s 2 在這里s o = s 并且r ( s 。，s ，。) 對所有的i o 成立。 2 。3 霆一除公式表示系統(tǒng) 可以便刷一階公式來描述系統(tǒng)。在這些公式里麗出現(xiàn)的謂詞和函數(shù)符號將有 了預(yù)先繪定瓣定義。逶零，這耱意義獲上下文寒番怒緩麓確豹。 假設(shè)v 。 v l ，v n 是系統(tǒng)變量的集合。在描述系統(tǒng)時同時假設(shè)在v 中的變 最的取值范圍是有限集合d 。一個對v 的賦值把在v 中的變量v 聯(lián)系到d 中的一 令篷。 通過對v 中所有的窩鼙給定毽就熊夠積系統(tǒng)的一個狀態(tài)描述潞來。也就磚說 個狀態(tài)贛楚個斌 ! 蓬：s ；￥ d 。給定一個斌髓，我們能夠?qū)懗鲆粋€為真的 公式來表示這個斌值。倒懿給定： v = v l ，v 2 ，v 3 和斌 鬣 v l 一2 ，v 2 2 ”鼗霆義藏l ( $ 麓艨有杰s 中為糞夔簸子公式瓣予囊。 如果v 是一個布爾域上的變爨，那么v l ( 8 ) 表示s ( v ) = t r u e ，并尉v 不屬于l ( s ) 表示s ( v ) = f a l s e 。 出予要求懿k r i p k e 蓊鞫懿遷移關(guān)系總楚完全夔。當狀態(tài)s 沒有后繼時宓矮 擴充關(guān)系r 。在這種情況下修改r 使r ( s ，s ) 成立。 2 4二進決定圈 遄過符號億淡示獲態(tài)轉(zhuǎn)移鑿【i 7 】，綴多燹大靜系統(tǒng)幫縫鞍驗證。灝的符號純 表示是基于b r y a n t 的o b d d ( o r d e r e db i n a r yd e c i s i o nd i a g r a m s ) 。o b d d 為布爾 公式掇供了一種標準的表示方式，這種表示方式通常比臺取范式或卡廳取范式更緊 湊，褥雖也有非鬻有效的方法對它們進行搽佟。由于符號純襲示綴緊湊童氌箍述了 凼電路或協(xié)議決定的狀態(tài)空間的規(guī)律性，所以有可能驗 正狀態(tài)空間非常大的系 統(tǒng)。 下面播述怎櫸掰二迸決定圖符號純的襲示霄# 琵狀態(tài)系統(tǒng)。首先討論二進決定 閣怎樣被用來液示稚爾函數(shù)。布爾函數(shù)被定義為在0 和lt 麗，0 代表f a l s e ，t 代表t r u e 。二進決定圖的大小跟變量的順序露很大的關(guān)系。使用這種襲達方式 番種邏輯操作能有效的實現(xiàn)。隨磁討論使掰二滋決定圖怎樣編碼k r i p k e 結(jié)構(gòu)， 遮樣就能準確的表示搪述的系統(tǒng)了。 2 唾+ l 瘸o b d d 淡示蠢笨公式 有序布爾確定蕊( o b d d ) 怒表示布爾公式的一種標凇。他們通常比傳統(tǒng)的合墩 基于狀態(tài)轉(zhuǎn)換容經(jīng)系統(tǒng)模型的s m v 分j 扦與改進 范式或櫥墩范式更緊湊的多，而且它們搡作起來也囂常有效。因此它們廣泛使瘸 在計算楓輔鼢漫詩的各種應(yīng)用中，包括信號模擬，綴合邏輯驗謹，和最近的一些 應(yīng)用于有限狀態(tài)并發(fā)系統(tǒng)的驗證。 我們露先考慮二進決定樹。二遘決定楗是一個有綴蛉，有囪褥，它由兩類綴 點組成，終端結(jié)點和非終端結(jié)點。每一個非終端結(jié)點v 被一個變掇v a r ( v ) 標識， 它有兩個后繼結(jié)點：l o w ( v ) 對應(yīng)變量v 被賦值成為0 的情況，h i g h ( v ) 對應(yīng)變懋 v 被賦值為l 懿情漫。每一個終端結(jié)點v 被表示為v a l u e ( v ) ，v a l u e ( v ) 不是0 裁 是1 。對于一個由公式f ( a l ，a 2 ，b l ，b 2 ) = ( a l h b l ) ( a 2 h b 2 ) 表示的二位比較 器的二進決定樹( 如圖2 - 1 ) 。 圖2 - 1 ( a l b 1 ) f a 2 h b 2 黲= 遴凌定褥 通過從聿霹載攝結(jié)點出發(fā)爨終端結(jié)點我們能夠確定一個對變餐瓣特定載囊毽 賦值是否使那個公式為真或為假。如果變蓬v 被賦值為0 ，那么從根結(jié)點到終端 臻點翡爨經(jīng)上豹下一個繚患懣是l o w ( v ) 。磐果v 蘞簸鑲受1 黔么路經(jīng)巴豹下 個縫點撂楚h i g h ( v ) 。標識終潰結(jié)點揀篷垮會是這個溪數(shù)在這次賦德f 鰓德。濺 如，賦值 邋嶷棟琴為0 戇時予綏點；因此這令公式在這 個賦僮下為假。 二邈決定褥并沒有為布爾函數(shù)援供菲常簡萌豹表示，實際上，它們跟真德表 的大小是網(wǎng)樣的。幸運的是，在這樣的樹鼴通常有許多冗余。例如猩圖2 一l 的那 棵樹，有八棵報結(jié)點標識兔b 2 的子樹，但只有三棵予樹是不榍同豹。因此，邋 過合并嗣態(tài)的予櫥，能夠緇到布爾公式韻爨簡練的表示。合并的結(jié)梁是被稼為= ： i o 基于獻杰轉(zhuǎn)換褰接系縫攘瓤鶼s m v 分撬與敬進 = i i ： 決定圖的有向無環(huán)圖。更凇確的說，一個：二進決定圖撼個有根的有向無環(huán)圖， 它有髑季申結(jié)點，終端結(jié)點和j 黲警端結(jié)點。像= 進決定樹攫的情況一樣，每一個非 終端結(jié)點v 被標號為一個變餐v a r ( v ) ，育兩個后繼結(jié)點，l o w ( v ) 和h i g h ( v ) 。每 一個終端結(jié)點被標號為0 或1 。每個以v 為根的二進決定圖決定一個布爾函數(shù) f 。( x “，x 。) ，方式壹 下： 如果v 是個終端結(jié)點 ( a ) 如果v a l u e ( v ) = 1 那么f ，( x ”，x 。) = l 。 ( b ) 妻g 果v a l u e v ) = 0 勇s 么f ，( x ，x 。) = o 。 如果v 是一個非終端結(jié)點，v a r ( v ) = x 。那么f ，是一個函數(shù) ( x ，x 。) = ( 一x ，a f 。) ( x ，x 。) ) v ( x a f , m h ，) ( x 一，x 。) ) 。 猩實際的應(yīng)用中想要得到布爾公式的標準農(nóng)示。這樣一種表示必須具有這樣 一種性質(zhì)：兩個布爾公式邏輯耀簿當且僅當它們有同態(tài)的表示。這個性艨使一些 任務(wù)筒化了，鍘細撿窿兩個公式的相等秘決定一個給定的公式是否可以滿足。如 巢兩個二進決定圈滿足下面的情況，那么兩個二進決定圖愁陌態(tài)：如果存在一個 一對一的函數(shù)h ，遮個函數(shù)把一個終端結(jié)點映射到另個終端結(jié)點上，一個非終 端結(jié)點映射到另一個非終端絳點上，對于每一個終端結(jié)點v ， v a l u e ( v ) = v a t u e ( h ( v ) ) 和對于每一個非終端結(jié)點v ，v a t ( v ) = v a r ( h ( v ) ) ， h ( 1 0 w ( v ) ) = 1 0 w ( h ( v ) ) ，并且h ( h i g h ( v ) ) = h i g h ( h ( v ) ) 。 給二進決定樹加上兩個約柬就可以得到布爾公式的標凇表示。第一個約束： 對于每一條從椴結(jié)點到終端結(jié)點的路徑，變量都以相同的次序出現(xiàn)。第二個約束： 在圖中沒有圓態(tài)秘冗余的結(jié)點存程。第一令約柬通過繪標識二進決定霆縫點的變 量一個全序，并魁要求對于撼一個圖中的結(jié)點u ，如果u 有一個非終端的后繼v ， 那么v a t ( u ) v a r ( v ) 。第二個約束通過重復(fù)運用三條轉(zhuǎn)換規(guī)則達到，這些轉(zhuǎn)換娥 剿并不修改這個隧聯(lián)表示蛉毒零灄數(shù)： 刪除重復(fù)的終端結(jié)點對于一個給定的標號刪除至只有一個終端結(jié)點，并且 把所有盼到被刪除縮點的弧惹定向至那個剩余的結(jié)點。 測狳重復(fù)懿終溱結(jié)點對予蘸個終撩終點u 幫v 有r a g ( h ) = v s r ( v ) ， l o w ( u ) = l o w ) 和h i g h ( u ) = h i g h ( v ) ，那么把u 或v 刪除，并把所有的入弧重 定向至另一個結(jié)點。 基于狀態(tài)轉(zhuǎn)換容侵系統(tǒng)挺型麓s m v 分析與改避 刪除冗余的測試如果對于非終端的結(jié)點v 有l(wèi) o w ( v ) = h i g h ( v ) ，那么刪除v 并蔓重定淘所有潦入孤至l o w ( v ) 。 從二進決定圖滿足有序這個性質(zhì)開始，通過不斷應(yīng)用轉(zhuǎn)換規(guī)則直到圖的大小 不再變小，得到標準形式。b r y a n t 1 8 展示了以一j 神囊底向上方式以一個被稱為 “婦約”的程序?qū)崿F(xiàn)轉(zhuǎn)換規(guī)則。這個程序運行靜時間與二進決定灝大小成線性莢 系。通過這種方式得到的圖稱為有序= 進決定圖( o b d d ) 。例如，如果對于二位比 較函數(shù)使用順序口l b l a 2 b 2 ，就可以餐到如圖2 - 2 的o b d d 。 圖2 2 ( a l b 1 ) ( a 2 b 2 ) 的二遴決定燃 磐巢o b d d 被耀予襲示農(nóng)爾函數(shù)瓣挺濺形式，那么梭查兩個公式樞等就會被 艦約為檢查兩個二進決定圖怒否同態(tài)。相似的，可滿足性可以通過檢蠻是否與只 懋捂一個被稼號為0 豹終端結(jié)點靛o b d d 稿同來薅定。 隨后姆麓釋怎攆爨o b d d 實褒重簦黲邏輯掇圣挈。怒一些東爾公式中蛉一避參 數(shù)x 。限定在常墩b 的這個函數(shù)。這個函數(shù)由f ix 。 一b 表示，并且滿足 f j x ， - b ( x ”，x 。) = f ( x i ”，x h ，b ，x ，x 。) 。 鰓鬃f 被表示藏一令o b d d ，逶過深凄線先遮歷f 瓣o b d d ，黢鍘fx ； - b 黲o b d d 能夠很容易的計算出來。如果結(jié)點v 有個指針指向結(jié)點w ，并且v a r ( w ) = x 。， 如粟b 楚0 ，把指針兩l o w ( w ) 代替，如采b 怒t 孢稽針用h i g h ( w ) 代替。這 群褥到黲潮珂熊不是稼灌形式懿，為了褥弱表示i x 。 - b 鮑o b d d ，對這個圖應(yīng)溺 1 2 基于捩惑轉(zhuǎn)按窖幔系統(tǒng)模型揀s m v 分櫥號敬述 規(guī)約函數(shù)。 對于所有具有巍個參數(shù)的十六個邏輯擻 箏，能夠綴容易的用表示戲o b d d 的 布爾函數(shù)來實觀。實際上搽作是兩個o b d d 參數(shù)的線性笈雜度。有激實現(xiàn)這些操 作的的關(guān)鍵思想是s h a n n o n 擴展。 f = ( 一x a f ! x ； 一0 ) v & a f x ， 一1 ) b r y a n t 為計算所有的1 6 個邏輯操作給定了一個統(tǒng)一的被稱為a p p l y 的算 法。骰設(shè)率是任惑靜其有兩個參數(shù)麓邏輯操律，f 幫f 為兩個布爾瀚數(shù)。為了簡 化算法的擴展我j i 、j 引入下面的符號： v j nv 分另u 怒0 b d df 著口f 的 良 x m v a r ( v ) 并且x = v a r ( v ) 取決于v 和v 關(guān)系的幾種情況： 如果v 和v 都是終端結(jié)點，那么f * f = v a l u e ( v ) * v a l u e ( v ) 如粟x = x ，郡么使用s h a n n o n 擴震 f * f = ( 一x ( f l x ； 一o 球f i x i 一0 ) ) v ( x a ( f x 、 一1 術(shù)f ! x t 1 ) ) 把這 個問題分解成魂個子聞題。這個閥題被遴歸的解決。最后就可以褥到的0 b d d 的 板結(jié)點將是一個新縫點宵，v a t ( w ) = x ，l o w ( w ) 將是表示( f jx t ( 一0 球f7 | x ； 一0 ) 的 0 b d d ，h i g h ( w ) 將是襲示( f 舊 l 冰f x ； 一1 ) 的o b d d 。 如聚x ( x ，那么f x l 0 = f lx ； l = f ，因為f 并不襖賴予x 。在這雄 情況下s h a n n o n 擴展簡化為： f * f = ( 一x a ( f ix i 一o 牢f ) ) v ( x a ( f x 、 一1 冰f ) ) f * f 鮑o b d d 像第二穆情況下一樣被遞歸計算。 如果x s 為把布爾向量映射到狀態(tài)的函數(shù)。出于每個斌傻跫s 中一個狀態(tài)的編碼，襲 示s 的特蘞蕊數(shù)是表示值為i 靜o b d d 。需要兩個布爾變量翡集合，一個表示開 始狀態(tài)，另1 個表示一個遷移后的狀態(tài)。如果遷移函數(shù)被編碼成布爾關(guān)系 r ( x ，j ( ) ，粥么r 被表示戲特征函數(shù)致。最后，考感映射乙，盡管l ，被定義為扶 狀態(tài)到原子命題子集的浹射，耙它看成從原子命題副狀態(tài)子集的映射將更方便。 原子命題p 燒被映射到滿足( s ip l ( s ) 的狀態(tài)的集合。稱這些狀態(tài)的集合l p ； 使鼴像上蘑彤一樣的編碼我們也能夠表示b 。靂這犖孛方式分別表示每個原子命 題。 圖2 3 狀態(tài)遷移圈 為了黼鞠o b d d 怎樣能被羽來表示一個k r i p k e 緒構(gòu)，考慮圖2 3 表示靜兩 個狀態(tài)的系統(tǒng)。在這種情況下這里有兩個變量，a 和b 。引入兩個附加的變量，a 剮b 。因此，可以使用含取 a a b a a a b 表示從狀態(tài)s 1 到s 2 的遷移。整個遷移函數(shù)由以下布爾公式蝓定： 婦a b a a a b ) v ( a a b a 8 a b ) v ( a a b a a 八 b ) 在這個公式里有三個析取因為k r i p k e 結(jié)構(gòu)有三個遷移。現(xiàn)在這個公式轉(zhuǎn)化 為一爪0 b d d ，藏霹噬鴦這個遷移關(guān)系霉到一個籬沽的裘示。 基于獲態(tài)轉(zhuǎn)換吝愛系統(tǒng)摸掣黲s m v 分輯與改避 2 5符號模型檢測和s m v 符號模型檢測楚緩o b d d 為工具、投據(jù)不動點理論t 算出潢足時態(tài)邏輯描述 的規(guī)范的狀態(tài)聚合。 o b d d ( o r d e r e db i n a r yd e c i s i o nd i a g r a m s ) 為布爾公式提供了一羊申標準的表 示方式，這； 申表示方式通常比臺較范式或祈敦范式更緊湊，麗且也有非常有效的 方法對它們進行操作。由于符號化表示很緊湊地描述了內(nèi)電路或協(xié)議決定的狀態(tài) 空間的規(guī)律性，鼴戳有可能驗證狀態(tài)空聞 # 鬻大的系統(tǒng)。 符號優(yōu)模螫徐測技術(shù)酶鏊本步驟一般分為三步： l + 建立模整，對掰要檢驗靜系統(tǒng)避行籀象，將其攢逐為有窮獲態(tài)遷移系統(tǒng)。 2 用c t l 表示繪出所要驗證的狀態(tài)遷移系統(tǒng)性質(zhì)的描述。 3 。在s m v 上檢驗系統(tǒng)是否滿足規(guī)范。如聚滿足就輸出t r u e ，鎰則就輸出 f a l s e 辯潮辯箍示系統(tǒng)不滿是蕊范鶼反鍘。 s m v 是在1 9 8 7 年秋天由卡內(nèi)基一梅隆大學(xué)在讀博士生m c m i l l a n 研發(fā)韻模型檢 測系統(tǒng) 1 9 。它的主要思想鼴采用符號模型算法檢驗系統(tǒng)怒否滿足用 e 我( e o 戳p h t a t i 。nt r e el o g i c ) 愈麓時態(tài)滋輯攢述熬燕菠。s m v 在復(fù)雜電鼴設(shè)計 的驗證 2 0 、安全協(xié)議驗證 2 1 中得到了廣泛的應(yīng)用。 用s m v 驗證系統(tǒng)時，系統(tǒng)說明囂用s m v 規(guī)定躺語言編程，系統(tǒng)屬性部分爝c t l 邏輯襲達。s m v 工作服理圖如圖2 4 所示。 豳2 4s m v 工作原理圈 2 6c t l 的語法和語義 c t l 公式戇語法： 個c t l 公式由兩部分構(gòu)成，一部分魑路徑輟詞a ( 對于所有的路徑) ，e ( 存 在某些路徑) ，努一部分是時態(tài)量詞x ( 下一個狀態(tài)) 、f ( 將來的某個狀態(tài)) 、g ( 所 基于狀態(tài)轉(zhuǎn)換容侵系統(tǒng)模型的s m v 分析與改進 有狀態(tài)) 和u ( 直到某個狀態(tài)) 。路徑量詞和時態(tài)量詞不能分開來單獨使用。 ( 1 ) 每個原子公式是一個c t l 公式： ( 2 ) 如果f ，g 是c t l 公式，則 ，( f g ) ，正伍e x f , , 爿刪，f 倒 是c t l 公式： ( 3 ) 只有有限次應(yīng)用( 1 ) ，( 2 ) 得到的公式是c t l 公式。 除了定義形成c t l 語言的公式之外，在實際中經(jīng)常用劍其它c t l 公式，這些 公式可以按下列規(guī)則得到： f vg = 一 ， 一1 9 ) ：a f g = 4 ( t r u eu je f g = e ( t r u eu ? a c f = - ，e ( t r u e ，1 ，) ：r g f = 詛( f p u 1 廠) c t l 公式的語義 c t l 公式鵑語義疑鬏據(jù)符號狀態(tài)轉(zhuǎn)投強定義的。符號狀態(tài)轉(zhuǎn)換黼是一個5 元 緦氍= ( a p ，s ，l ，n ，s 。) ，其中a p 是原子命題的集合，s 是狀態(tài)f 咚有限集合， l 是以原子命題標記集合的函數(shù)，n s s 是轉(zhuǎn)換關(guān)系，s o 是初始狀態(tài)集合。 “計算路徑”定義為狀態(tài)穿列s 。，s 。，s 。，其中對于任一n ( s ，s m ) 為真。 m ，sbp i f f p p ( s ) m ，s 凈叫 例，s 降f m ，s 眵f a g 彬，s 巨f m ，s | _ g m ，s i = a x ( f ) o t ( ( s ，f ) r a m ，t i x f ) m ，s 滓e x ( f ) i j 掃t ( ( s ，t ) 仨r m ，t 仁f ) m ，s a f u g ( f ) 阿x ( x = ( s o ，s l ，。) ( s o = s ，3 i ( i o a m ，s i g w e j ( s e r v e r s t a t e = a c t i v e _ a t t a c k ) ) e ：a s s e r tg ( ( s e r v e r s t a t e = a c t i v ea t t a c k ) 一 f ( s e r v e r 。s t a t e = g o o d ) ) d ：a s s e r tg ( ( a t t a c k s t a t o = a t t a c k i n g ) 一 f ( ( a t t a c k s t a t e = s p y i n g ) ( a t t a c k ，s t a t e = p a r t l y s u c c e s s ) ) ) 基于狀態(tài)轉(zhuǎn)換容緩系統(tǒng)模型翦s m v 分搬萼教避 4 2系統(tǒng)的性質(zhì)描述 騫侵系統(tǒng)摸型茲系絞擐絞遵過騷務(wù)器彝攻擊者菠令方囂親表璦出來。 第一個方預(yù)是：容侵系統(tǒng)要能對所有的攻擊都能夠進行處理，也就是容侵系 綾模型對攻毒瓣建蒺完備瞧。 另外一個方面是：根嘏容侵系統(tǒng)模烈的性質(zhì)，系統(tǒng)要在受到攻擊后，能夠繼 續(xù)提供服務(wù)，或提供降級服務(wù)。 這囂方甏戇幢矮在騷務(wù)器移攻擊羲貔模型至表示為： 如果服務(wù)器受到了攻擊，表明攻擊者正在進行攻擊。用c t l 表示為： a g ( ( s e r v e r s t a t e = a c t i v e a t t a c k ) 一 ( a t t a c k s t a t e = a t t a e k i n g ) )( 1 ) 要驗證模鱉是不是筑夠搐述掰有翡竣擊糞蘩，露熱栗攻擊者遺滅竣擊狀 態(tài)時，服務(wù)器也耍進入受到攻擊狀態(tài)。用c t l 表示為： a g ( ( a t t a c k s t a t e = a t t a c k i n g ) 一 ( s e r v e r s t a t e = a c t i v e a t t a c k ) ) ( 2 ) 整個c t l 邏輯表達式( 2 ) 懿含義為：在系統(tǒng)橫愛靜囂毒靜鼴徑上，只要 a t t a c k 進入攻擊態(tài)，那么s e r v e r 就要進入豫到攻擊的狀態(tài)。 對于熬個窯侵系統(tǒng)，如果服務(wù)器受到了攻擊，鄹么都會轉(zhuǎn)換到正常服務(wù) 狀態(tài)。 a g ( ( s e r v e r s t a t e = a c ti v e a tt a c k ) 一 a f ( s e r v e r s t a t e = g o o d ) ) ( 3 ) 對予玻擊者的狀態(tài)轉(zhuǎn)移圖來說，只要攻擊者發(fā)動了攻擊，對予這些攻擊， 騷務(wù)器采用稿應(yīng)瓣容侵措施，可以提供競?cè)?wù)，或者提供降級服務(wù)。 用攻潞者的狀態(tài)轉(zhuǎn)換模型來表示，所有攻擊成功，最后都瓔轉(zhuǎn)到部分成 功鮑狀態(tài)或者c s 狀態(tài)。用c t l 表示為： a g ( ( a t t a c k s t a t e = a t t a c k i n g ) 一 a f ( ( a t t a c k s t a t e = s p y i n g ) l ( a t t a c k ，s t a t e = p a r t l y _ s u c c e s s ) ) )( 4 ) 所有黢務(wù)器豹提供黲級綴務(wù)的狀態(tài)，最后都熬轉(zhuǎn)換裂匆始狀態(tài)g 。愛玫 壁下狀態(tài)轉(zhuǎn)換容侵系統(tǒng)模型的s m v 分析與改進 擊者的狀態(tài)轉(zhuǎn)換模型來表示，即為所有攻擊部分成功的狀態(tài)，最后都要 轉(zhuǎn)換到c s 狀態(tài)。 a g ( ( a t t a c k s t a t e = p a r t l y s u c c e s s ) 一 a f ( a t t a c k s t a t e = s p y i n g ) ) ( 5 ) 4