[論文レビュー] Formal Specification & Analysis of Autonomous Systems in PrCCSL/Simulink Design Verifier

Eun-Young Kang, Li Huang|arXiv (Cornell University)|Jun 20, 2018

Formal Methods in Verification参考文献 13被引用数 5

ひとこと要約

本稿では、拡張された時刻制約記述言語（PrCCSL）とSimulink Design Verifier（SDV）を用いて、自律走行車（AV）システムの形式的確率的モデリングおよび検証フレームワークを提案する。弱い硬さのタイミング制約と確率的特性を指定するためのCCSLへの確率的拡張を導入し、これらを検証可能な証明目的モデル（POM）に翻訳し、確率的タイミング制約下での高い成功確率を示す定量的検証結果を含む、AVの交通標識認識を対象とした事例研究で手法を検証した。

ABSTRACT

Modeling and analysis of timing constraints is crucial in automotive systems. EAST-ADL is a domain specific architectural language dedicated to safety-critical automotive embedded system design. In most cases, a bounded number of violations of timing constraints in systems would not lead to system failures when the results of the violations are negligible, called Weakly-Hard (WH). We have previously specified EAST-ADL timing constraints in Clock Constraint Specification Language (CCSL) and transformed timed behaviors in CCSL into formal models amenable to model checking. Previous work is extended in this paper by including support for probabilistic analysis of timing constraints in the context of WH: Probabilistic extension of CCSL, called PrCCSL, is defined and the EAST-ADL timing constraints with stochastic properties are specified in PrCCSL. The semantics of the extended constraints in PrCCSL is translated into Proof Objective Models that can be verified using SIMULINK DESIGN VERIFIER. Furthermore, a set of mapping rules is proposed to facilitate guarantee of translation. Our approach is demonstrated on an autonomous traffic sign recognition vehicle case study.

研究の動機と目的

• 安全で臨界な自動車システムにおける弱い硬さ（WH）のタイミング制約に対する形式的確率的分析の欠如に対処すること。
• 決定論的時刻制約記述言語（CCSL）に確率的意味論を拡張し、確率的タイミング動作をモデル化すること。
• EAST-ADL/TADLに基づくAVシステムの形式的検証を、信頼性の高い翻訳パイプラインを通じてSimulink Design Verifier（SDV）を用いて可能にすること。
• PrCCSLのタイミング制約からSDVで検証可能な証明目的モデル（POM）への体系的マッピングを提供すること。
• 本手法の実用性と有効性を、実世界の自律交通標識認識車両の事例研究において実証すること。

提案手法

• 弱い硬さのタイミング制約と確率的特性を表現できるように、CCSLの確率的拡張版であるPrCCSLを定義する。具体的には、確率的サブクロック、遅延、確率しきい値を伴う一致／除外を含む確率的タイミング制約を指定可能にする。
• 確率的演算子として⪯pおよび≺pを導入し、あるイベントが別のイベントより確率的に（例：95%の確率で）前に発生することを指定する。
• PrCCSL式をSDVが処理可能なSimulink/Stateflowモデルに形式的翻訳マッピングを構築する。
• 翻訳されたSimulinkモデルから証明目的モデル（POM）を構築し、確率的タイミング制約を形式的検証目的としてエンコードする。
• PrCCSLからSDV互換モデルへの翻訳において、正しさと完全性を保証するための一連の体系的マッピングルールを定義する。
• EAST-ADLの機能アーキテクチャとTADLのタイミング制約を統合し、それらをPrCCSLで形式化し、SDVの確率的分析機能を用いて検証する。

実験結果

リサーチクエスチョン

• RQ1 自動車システムにおける弱い硬さの動作と確率的挙動を両立させるために、どのように形式的確率的タイミング制約を指定できるか？
• RQ2 タイミング制約の確率的推論を可能にするために、CCSLに必要な主要な意味論的拡張は何か？
• RQ3 PrCCSL仕様を、Simulink Design Verifier（SDV）で検証可能な形式モデルに体系的かつ正しく翻訳する方法は何か？
• RQ4 確率的タイミング制約は、AVシステムにおける検証カバレッジとパフォーマンスにどのような影響を与えるか？
• RQ5 提案されたフレームワークは、実世界の自律車両の事例研究において、エンド・ツー・エンドのタイミング制約を効果的に検証できるか？

主な発見

• 提案されたPrCCSLフレームワークは、所定の信頼水準を伴う弱い硬さのタイミング制約をモデル化できるように、CCSLに確率的演算子を効果的に拡張した。
• PrCCSLからSDVで検証可能なPOMへの翻訳は効果的であり、指定された確率的制約下で31の検証目的（R1–R31）すべてが合格した（100%の成功率）。
• 検証結果は高い成功確率を示しており、例としてR17（signIn DelayFor 250 on ms）⪯0.95 {signIn DelayFor (Wctrl + Wvd) on ms} は17.88%の検証時間と6309件のテストケースで合格した。
• 複雑なAV事例研究において、本手法はスケーラビリティと正しさを示した。確率的制約として{cmrTrig DelayFor 430 on ms}⪯0.95 {cmrTrig DelayFor (Wcmr + Wsr + Wctrl + Wvd) on ms} が正常に検証された。
• 排除制約であるemgcy #0.95 turnLeft は233.6秒の検証時間と22,861件のテストケースで合格し、確率的干渉下でも堅牢性が確認された。
• 高い計算コストが伴うものの、本手法は確率的タイミングのCPSにおける早期段階検証に対して形式的に整合的で追跡可能な道筋を提供し、特に自律システムにおいて有効であることが示された。