[論文レビュー] Deriving Specifications of Dependable Systems: toward a Method

Manuel Mazzara|arXiv (Cornell University)|Sep 20, 2010

Formal Methods in Verification参考文献 17被引用数 18

ひとこと要約

本稿では、通常動作と異常動作を別々のレイヤーに分離する、レイヤードフェイルセーフトランスフォーマブルスペシフィケーション（LFTS）を用いた信頼性の高いシステムの形式的仕様を導出する手法を提案する。エラーインジェクタ（EI）を導入して環境障害をモデル化し、リライアビリティ/ガラントリー推論を用いて一貫性を保証することで、交通分野および自動車分野の事例研究を通じて、現実世界のシステムにおける故障耐性動作の体系的かつ拡張可能な仕様化が可能になる。

ABSTRACT

This paper proposes a method for deriving formal specifications of systems. To accomplish this task we pass through a non trivial number of steps, concepts and tools where the first one, the most important, is the concept of method itself, since we realized that computer science has a proliferation of languages but very few methods. We also propose the idea of Layered Fault Tolerant Specification (LFTS) to make the method extensible to dependable systems. The principle is layering the specification, for the sake of clarity, in (at least) two different levels, the first one for the normal behavior and the others (if more than one) for the abnormal. The abnormal behavior is described in terms of an Error Injector (EI) which represents a model of the erroneous interference coming from the environment. This structure has been inspired by the notion of idealized fault tolerant component but the combination of LFTS and EI using rely guarantee thinking to describe interference can be considered one of the main contributions of this work. The progress toward this method and the way to layer specifications has been made experimenting on the Transportation and the Automotive Case Studies of the DEPLOY project.

研究の動機と目的

• 形式的言語の普及にもかかわらず、システム仕様における形式的技法の欠如に取り組むこと。
• 現実世界の故障および環境的干渉を考慮した、信頼性の高いシステムの体系的仕様化手法を開発すること。
• 異常動作の段階的モデリングを可能にする、形式的かつ積み上げ可能な手法を形式化すること。
• LFTSを用いて通常動作と故障耐性動作を分離することで、より明確で保守性の高い仕様を実現すること。
• DEPLOYプロジェクトの交通分野および自動車分野のシステムにおける事例研究を通じて、本手法の実用可能性を示すこと。

提案手法

• 形式的言語や記法とは異なり、構造的かつ因果的なステップの系列としての方法の概念を導入する。
• 通常動作用のレイヤーと、1つ以上の異常または故障に起因する動作用のレイヤーを含む、少なくとも2つのレイヤーにシステム仕様を組織化する、レイヤードフェイルセーフトランスフォーマブルスペシフィケーション（LFTS）を提案する。
• 環境障害を形式的モデルとして用いるエラーインジェクタ（EI）を採用し、システムに誤動作を模倣する干渉を加える。
• リライアビリティ/ガラントリー推論を用いて、システムとEIとの相互作用を形式的に記述し、レイヤー間の一貫性を保証する。
• 「耐障害性を高める」プロセスを用い、形式的なルールに従って、まれな状態や異常状態への対応を段階的に拡張する。
• 鉄道および自動車分野の実世界の事例研究に本手法を適用し、状態遷移と利用可能状態を変更して故障シナリオを反映させる。

実験結果

リサーチクエスチョン

• RQ1 形式的技法と形式的言語をどのように区別できるか。この区別が信頼性の高いシステム工学においてなぜ重要であるか。
• RQ2 システム仕様における故障耐性動作の体系的モデリングを可能にする構造的原則は何であるか。
• RQ3 システムと環境障害との相互作用を形式的にモデリングし、検証することはどのように可能か。
• RQ4 仕様のレイヤー化が、信頼性の高いシステムにおける明確さ、保守性、正しさをどのように向上させるか。
• RQ5 故障耐性レイヤーの特定と追加プロセスを形式的に定式化することで、自動化と一貫性チェックを支援する方法は何か。

主な発見

• 本稿は、形式的技法と形式的言語が別個のものであり、効果的な手法には構造的かつ因果的なステップの系列が不可欠であることを確立している。
• レイヤードフェイルセーフトランスフォーマブルスペシフィケーション（LFTS）アプローチは、通常動作と異常動作を明確に分離でき、仕様の明確さとモジュラリティを向上させた。
• エラーインジェクタ（EI）とリライアビリティ/ガラントリー条件の統合により、環境障害とそのシステムへの影響を正確にモデリング可能となった。
• 「耐障害性を高める」プロセスは、まれな状態や故障状態への対応を拡張するための形式的かつ形式化可能なフレームワークを提供し、人間の創造性によるレイヤー同定と、一貫性チェックの自動化を実現する。
• 鉄道および自動車分野の事例研究により、本手法の実用的適用性が示された。センサ障害やメッセージ損失などの故障状況が、形式的に捉えられ、管理可能であることが明らかになった。
• 形式的なルールを用いた一貫性チェックにより、複雑な信頼性の高いシステムにおける仕様の一貫性の欠如リスクが低減された。