#kiểm chứng chức năng an toàn

An toàn cho hệ có hành vi sinh từ mô hình

Không thể liệt kê hết hành vi của một mô hình, nên không thể chứng minh an toàn theo cách cũ. Lời giải là tách lớp và chỉ chứng minh cho lớp giới hạn.