Comment puis-je vérifier les contraintes sur mon comportement de la machine d'état?

Question

Mon expérience est assez pratique plutôt que théorique, donc cette question peut être un peu basique.

J'ai une machine d'état avec des événements, et les événements peuvent éventuellement déclencher des fonctions d'action pour être appelés dans le cadre de la transition d'état. En pratique, les fonctions d'actions font des choses comme l'éclairage des LED. La machine d'état est définie dans une langue spécifique au domaine interne, et un outil génère du code C à partir de la définition.

J'ai des contraintes qui doivent être satisfaites - par exemple "quand dans l'état A, seuls 1 et 5 ne doivent être allumés."

Quelles techniques pratiques y a-t-il pour vérifier que la conception de ma machine d'État satisfait mes contraintes?

J'ai envisagé d'utiliser Prolog. Si je pouvais entrer dans les effets secondaires de mes fonctions d'action, la machine d'état indique et les transitions et fonctions d'action valides, je devrais être en mesure de demander si les contraintes sont vraies - est-ce correct?

Y a-t-il d'autres cadres ou outils qui pourraient être utiles dans cette situation?