[論文レビュー] Expressing and verifying embedded software requirements.

Alexandr Naumchev, Bertrand Meyer+4 more|arXiv (Cornell University)|Oct 8, 2017

Advanced Software Engineering Methodologies被引用数 3

ひとこと要約

本論文では、形式的アサーションを用いてプログラミング言語に直接埋め込みソフトウェア要件を表現するAutoReqという手法を提案する。これにより、AutoProofのようなプログラムプローバーを用いた早期検証が可能になる。Design by Contractとホアスタイル論理を統合することで、一貫性が保たれ、誤りが早期に発見される。ランディングギア制御系の事例研究において、機械的に検証された正しさの証明が行われたことが示された。

ABSTRACT

Writing requirements for embedded software is pointless unless they reflect actual needs and the final software implements them. In usual approaches, the use of different notations for requirements (often natural language) and code (a programming language) makes both conditions elusive. To address the problem, we propose to write requirements in the programming language itself. The expected advantages of this seamless approach, called AutoReq include: avoiding the potentially costly miss due to the use of different notations; facilitating software change and evolution, by making it easier to update code when requirements change and conversely; benefiting from the remarkable expressive power of modern object-oriented programming languages, while retaining a level of abstraction appropriate for requirements; leveraging, in both requirements and code, the ideas of Design by Contract, including (as the article shows) applying Hoare-style assertions to express temporal-logic-style properties and timing constraints; and taking advantage of the powerful verification tools that have been developed in recent years. The last goal, verification, is a focus of this article. While the idea of verifying requirements is not widely applied, the use of a precise formalism and a modern program prover (in our case, AutoProof for Eiffel) makes it possible at a very early stage to identify errors and inconsistencies which would, if not caught in the requirements, contaminate the final code. Applying the approach to a well-documented industrial example (a landing gear system) allowed a mechanical proof of consistency and uncovered an error in a previously published discussion of the problem.

研究の動機と目的

• 非形式的な自然言語要件と形式的コードの間のギャップを埋めるために、両者を同一の表記法で統合すること。
• 要件と実装に異なる表記法を用いることで生じる高価な誤解を減らすこと。
• 形式的検証による要件の不整合性や誤りの早期特定を可能にすること。
• 現代のプログラム証明ツールを活用し、実装開始前に要件を検証すること。
• プログラミング言語に形式的アサーションを用いて要件を記述する手法の実現可能性と利点を実証すること。

提案手法

• オブジェクト指向的構文と形式的契約を用いて、Eiffel言語で直接要件を表現すること。
• ホアスタイルのアサーションを用いて、コード内での時間的・タイミング的性質を指定すること。
• AutoProofプローバーを用いて、コード内のアサーションとして表現された要件を形式的に検証すること。
• 正しさと一貫性を要件レベルで保証するため、Design by Contractの原則を統合すること。
• 自然言語要件を、正確で実行可能かつ検証可能なプログラミング言語のアサーションに変換すること。
• 実世界の産業応用例であるランディングギア制御系を対象に、手法の妥当性を検証すること。

実験結果

リサーチクエスチョン

• RQ1 埋め込みソフトウェア要件は、プログラミング言語と形式的アサーションを用いて、効果的に表現され、検証可能だろうか？
• RQ2 要件をコードに記述することで、従来の自然言語アプローチと比較して、不整合性や誤りのリスクが低下するだろうか？
• RQ3 現代のプログラムプローバーは、開発の初期段階で要件をどの程度検証できるだろうか？
• RQ4 要件とコードに同一の表記法を用いることで、ソフトウェアの進化と保守性にどのような影響を与えるだろうか？
• RQ5 要件の形式的検証は、従来の非形式的分析では検出されなかった誤りを明らかにできるだろうか？

主な発見

• AutoReq手法により、ランディングギア制御系について機械的に検証された一貫性の証明が可能になった。これは、形式的要件検証の実現可能性を示している。
• 形式的検証により、以前に発表されたランディングギア制御系の分析に、誤りが発見された。
• プログラミング言語におけるアサーションの使用により、タイミング的および時間論理的性質を正確に表現できた。
• 要件段階での形式的検証により、最終実装にまで影響を及ぼす不整合が特定された。
• Design by Contractとプログラム証明ツールの統合により、論理的欠陥の早期発見が可能になった。
• 要件からコードへのスムーズな移行により、誤解のリスクが低下し、保守性が向上した。