[論文レビュー] A Generic Model of Contracts for Embedded Systems

Albert Benveniste, Benoı̂t Caillaud+1 more|ArXiv.org|Jun 11, 2007

Formal Methods in Verification参考文献 12被引用数 30

ひとこと要約

本稿では、制御信号と非制御信号を区別することで、組み込みシステムの契約を形式的に定式化する汎用的な数学的モデルを提示する。このモデルにより、仮説的でコンポーネント指向の設計が可能となり、仮定と保証を行動的制約として形式化する。トレース意味論に基づく合成的理論を導入し、合成、論理積、統合の演算子を備え、関数的、時間的、信頼性的側面を網羅する、異種のシステムコンポーネントに対するきめ細やかな、複数視点の検証を可能にする。

ABSTRACT

We present the mathematical foundations of the contract-based model developed in the framework of the SPEEDS project. SPEEDS aims at developing methods and tools to support "speculative design", a design methodology in which distributed designers develop different aspects of the overall system, in a concurrent but controlled way. Our generic mathematical model of contract supports this style of development. This is achieved by focusing on behaviors, by supporting the notion of "rich component" where diverse (functional and non-functional) aspects of the system can be considered and combined, by representing rich components via their set of associated contracts, and by formalizing the whole process of component composition.

研究の動機と目的

• 安全で臨床的意義のある組み込みシステムにおける分散的・並列的設計の課題に応えるために、コンポーネント契約の形式的数学的基盤を提供すること。
• 複数のチームが並列にコンポーネントを開発し、契約を通じて制御された統合が可能な、仮説的設計を支援すること。
• 複数の契約を用いて、多様な（関数的および非関数的）システム的側面をカプセル化する豊富なコンポーネントを形式化すること。
• OEMとサプライヤー間の責任の明確な分離を、明確な契約ベースのインターフェースモデルによって実現すること。
• 統一された代数的フレームワークを用いて、契約と行動の形式的検証および合成を可能にすること。

提案手法

• 実行トレースを用いてシステムの動作をモデル化し、制御信号（入力）と非制御信号（出力）を区別することで、コンポーネントの責任を定義する。
• 契約を、環境の動作（仮定）とコンポーネントの動作（保証）のペアとして定義し、トレースの集合として形式化する。
• 契約の精錬のための優位関係（dominance relation）を導入し、仮定の緩和と保証の強化を可能にする。
• 並列合成をコンポーネントの結合の主要メカニズムとして定義し、信号の分割によって相互適合性を保証する。
• 論理積と論理和のためのブール的ミートおよびジョイン演算子を導入し、複数視点の分析を可能にする。
• 合成と論理積を統合する統合演算子（fusion operator）を提案し、相互作用を考慮しつつ、複数の仕様を満たす最小の具体的な契約を計算可能にする。

実験結果

リサーチクエスチョン

• RQ1 どのようにして、汎用的な数学的契約モデルが、分散型組み込みシステムにおける仮説的・並列的設計を支援できるか？
• RQ2 多様な関数的および非関数的特性を持つコンポーネントの相互適合性と正しい合成を保証する形式的メカニズムは何か？
• RQ3 複数の視点（例：関数的、時間的、安全性）において、正しさを保持したまま契約を精錬および合成する方法は何か？
• RQ4 性能、信頼性など、異なる視点からの契約を統合的に扱うための代数的構造は何か？
• RQ5 制御信号と非制御信号を有するオープンシステムにおいて、仮定と保証の相互作用は、提案されたモデルでどのように扱われるか？

主な発見

• 本モデルは、関数的および非関数的特性を網羅する、形式的かつ合成的な契約ベースの設計の基盤を提供する。
• 契約精錬のための優位関係により、仮定の変化に応じたコンポーネント正しさの体系的推論が可能になる。
• 統合演算子により、異なる視点から得られる複数の、互いに干渉する可能性のある仕様を満たす最小の契約の合成が可能になる。
• 制御信号／非制御信号を伴うトレースベースの意味論の使用により、コンポーネントの責任と相互適合性の正確なモデル化が可能になる。
• 時間的、安全性など、異なる分野における独立した仕様化と検証を可能にするため、異種設計を支援する。
• 本モデルは、連続時間ダイナミクスやさまざまな計算モデルをサポートする十分な一般性を持つが、特定のモデルを強制しない。