[論文レビュー] Control software analysis, Part I Open-loop properties

Éric Féron, Fernando Alegre|ArXiv.org|Sep 28, 2008

Real-Time Systems Scheduling参考文献 7被引用数 15

ひとこと要約

本稿では、リャプノフ安定性理論をC言語実装の不変条件に基づく解析に翻訳することで、制御ソフトウェアの形式的検証フレームワークを提案する。制御系の安定性特性が、コンパイル済み制御ソフトウェアにおける記号実行と楕円体不変条件を用いて保持・検証可能であることを示し、高水準な仕様をはるかに超えてリアルタイム制御実装の正しさを保証する。

ABSTRACT

As the digital world enters further into everyday life, questions are raised about the increasing challenges brought by the interaction of real-time software with physical devices. Many accidents and incidents encountered in areas as diverse as medical systems, transportation systems or weapon systems are ultimately attributed to "software failures". Since real-time software that interacts with physical systems might as well be called control software, the long litany of accidents due to real-time software failures might be taken as an equally long list of opportunities for control systems engineering. In this paper, we are interested only in run-time errors in those pieces of software that are a direct implementation of control system specifications: For well-defined and well-understood control architectures such as those present in standard textbooks on digital control systems, the current state of theoretical computer science is well-equipped enough to address and analyze control algorithms. It appears that a central element to these analyses is Lyapunov stability theory, which translate into invariant theory in computer implementations.

研究の動機と目的

• 高水準な制御仕様が正しくても、低レベルの制御ソフトウェア実装の検証に課題が残っていることに対処する。
• 実行時検証のためのソフトウェア不変条件に、制御系の安定性特性を形式的に翻訳する。
• 自動コーダーや不透明な変換を施すコンパイラによって生成された場合でも、コンパイル済み制御ソフトウェアの独立した解析を可能にする。
• 形式的手法が教科書的な安定性解析をはるかに超えて、組み込み制御コードの正しさを検証できることを実証する。

提案手法

• 制御ソフトウェア実装における不変条件を導出する基盤として、リャプノフ安定性理論を用いる。
• Cコードを命令レベルで解析するための記号実行を適用し、楕円体不変条件を介して変数状態を追跡する。
• 行列不等式を用いて定義される楕円体を用いて変数状態を表現し、特異な場合でも一般化楕円体集合 ${\cal G}_R$ を通じて表現可能にする。
• 状態楕円体の行列変換を用いて、各C文の事前条件と事後条件を構築する。
• 行列の逆行列と正定値性のチェックにより、連続する文の間で整合性が保たれているかを検証する。
• 浮動小数点演算とコンパイラ依存の評価順序に対応するため、保守的な不変条件伝搬を導入する。

実験結果

リサーチクエスチョン

• RQ1 連続時間制御系のリャプノフ安定性特性が、そのコンパイル済みC実装に形式的に保持され、検証可能か？
• RQ2 低レベルCコードを通過する不変条件をどのように構築・伝搬させ、制御ソフトウェアの正しさを検証できるか？
• RQ3 コンパイラ依存の評価順序がリアルタイム制御計算の正しさに与える影響は何か？ そして、その影響をどのように分析できるか？
• RQ4 楕円体不変条件を用いた記号実行は、高水準な仕様をはるかに超えて制御ソフトウェアを検証するための整合的かつスケーラブルな手法とみなせるか？
• RQ5 入力の飽和と数値精度の相互作用を、組み込み制御コードにおいて形式的に分析できるか？

主な発見

• Cコードの19行目の事後条件が20行目の事前条件を含むことが確認され、ループ内での整合性が保証された。
• 行列 $ U^{-1} \geq P $ が成り立つことが示され、最終状態が必要な不変楕円体に留まっていることが確認された。
• 一般化楕円体 $ {\cal G}_R $ を用いることで、特異な変換に対しても不変条件の表現が可能となり、状態のコピーと再代入の解析が可能になった。
• 分析により、18行目のコンパイラ依存の評価順序が中間値に影響を与える可能性があることが判明し、保守的な不変条件伝搬の必要性が強調された。
• 入力飽和を伴う高次元線形制御系に対しても、このフレームワークは拡張可能であり、広範な適用性を示した。
• Cコードレベルでの形式的検証により、高水準な制御理論だけでは検出できない可能性のある数値的不整合が特定された。