NuSMV

模型检验器，通过穷举有限状态空间来验证性质，全自动但面临状态爆炸问题，通常适用于协议和硬件设计。