模型检验

把系统建成有限状态模型，穷举所有状态验证性质。适合并发协议。