[論文レビュー] End to End Verification and Validation with SPIN

Asankhaya Sharma|arXiv (Cornell University)|Feb 20, 2013

Formal Methods in Verification参考文献 15被引用数 9

ひとこと要約

本論文は、SPINモデルチェッカーを用いたリアルタイムシステムのエンドツーエンド形式的検証および検証フレームワークを提示する。SQRLペースメーカー形式的メソッドチャレンジを対象として、PROMELAでペースメーカーをモデル化し、LTLを用いて時系列的性質を検証し、精錬を用いてCコードを生成し、実装を検証する。これらはすべてSPIN内で実行され、ツールが仕様と実装の両方の検証に加え、性質の保存を保証する能力を証明した。

ABSTRACT

Over the last several years the tools used for model checking have become more efficient and usable. This has enabled users to apply model checking to industrial-scale problems, however the task of validating the implementation of the model is usually much harder. In this paper we present an approach to do end to end verification and validation of a real time system using the SPIN model checker. Taking the example of the cardiac pacemaker system proposed in the SQRL Pacemaker Formal Methods Challenge we demonstrate our framework by building a formal model for the cardiac pacemaker in SPIN, checking for desirable temporal properties of the model (expressed as LTL formulas), generating C code from the model (by refinement of PROMELA) and validating the generated implementation (using SPIN). We argue that a state of the art model checking tool like SPIN can be used to do formal specification as well as validation of the implementation. To evaluate our approach we show that our pacemaker model is expressive enough to derive consistent operating modes and that the refinement rules preserve LTL properties.

研究の動機と目的

• 産業規模の形式的検証におけるモデル実装の検証の課題に対処すること。
• SPINが統合されたフレームワーク内で形式的仕様と実装検証の両方を支援できることを示すこと。
• PROMELAモデルからCコードへの精錬が、リアルタイムシステムにおけるLTL性質を保存することを示すこと。
• 一貫した動作モードの導出を通じて、ペースメーカーモデルの表現力と正しさを検証すること。
• SPINを安全で重要なシステムにおけるフルスタック形式的検証に使用する可能性を評価すること。

提案手法

• SPINを用いて、PROMELAを用いて心臓ペースメーカーシステムの形式的モデル化を行う。
• 線形時相論理（LTL）式を用いて、望ましい時系列的動作を仕様化する。
• 正しさの性質を保持しながら、PROMELAモデルを精錬してCコードを生成する。
• 精錬手法を用いて、形式的モデルからCコードを自動生成する。
• SPINのモデル検査機能を用いて、生成されたC実装を検証する。
• SPINを用いて、抽象モデルと具象実装の両方の整合性と正しさを検証する。

実験結果

リサーチクエスチョン

• RQ1 SPINは、単一のワークフロー内で形式的仕様と実装検証の両方に対して効果的に使用可能か？
• RQ2 PROMELAモデルからCコードへの精錬プロセスが、元のモデルのLTL性質を保存するか？
• RQ3 形式的モデルは、ペースメーカー・システムの一貫した動作モードを導出するのに十分な表現力を持っているか？
• RQ4 SPINを用いて、単一のツールチェーンでエンドツーエンド検証を達成できるか？
• RQ5 SPINを産業規模のリアルタイムシステムに適用する実用的妥当性は何か？

主な発見

• SPINモデルチェッカーは、ペースメーカー・システムの形式的モデル上で、すべての指定されたLTL性質を正常に検証した。
• PROMELAからCコードへの精錬プロセスが、意図したLTL性質を保持したため、実装の正しさが保証された。
• 形式的モデルは、ペースメーカーの一致した正しい動作モードを導出するのに十分な表現力を持っていた。
• 生成されたCコードは、SPINを用いて正常に検証され、エンドツーエンド検証が達成されたことを示した。
• このアプローチは産業規模のリアルタイムシステムにおいて実用的であることが証明され、SPINがモデル検査を超えて、完全な検証と検証のための有用性を示した。
• 本研究は、SPINが安全で重要なシステムにおける形式的仕様と実装検証の統合プラットフォームとして機能できることを確認した。