[論文レビュー] From model checking to a temporal proof for partial models: preliminary example

Anna Bernasconi, Claudio Menghi+3 more|arXiv (Cornell University)|Jun 8, 2017

Formal Methods in Verification参考文献 2被引用数 3

ひとこと要約

この論文は、THRIVEと呼ばれるフレームワークを用いて、部分的に指定されたモデルにおける時間的性質の検証に新たなアプローチを提示する。THRIVEは、悲観的および楽観的モデルチェック近似を組み合わせたものである。不確実な状態命題を含む医療機器のステレオアキュイティ評価システムを分析することで、『誤りが発生した場合、患者は認定解除されず、第二段階にとどまる』という性質が楽観的仮定のもとで成立することが示され、未知の命題の真偽値が未定の間は結果が「おそらく（maybe）」となる。

ABSTRACT

This paper describes in detail the example introduced in the preliminary evaluation of THRIVE. Specifically, it evaluates THRIVE over an abstraction of the ground model proposed for a critical component belonging to a medical device used by optometrists and ophtalmologits to dected visual problems.

研究の動機と目的

• 不完全または部分的に指定されたモデルを有するシステムにおける時間論理的性質の検証の課題に対処すること。
• THRIVEフレームワークが、重要な医療機器部品における不確実性を扱う有効性を評価すること。
• 近似技術を通じて、部分的モデルへのモデルチェックの拡張がどのように可能かを示すこと。
• 不完全な状態情報があるにもかかわらず、性質の満たし方を形式的・演繹的に証明すること。

提案手法

• 命題 fl および sl の真理値が不明な状態を含む医療機器のステレオアキュイティ評価システムを表す部分的Kripke構造を構築する。
• 未知の命題（fl および sl）に偽値を割り当てることで悲観的近似を適用し、性質 ψ3 = (edb → (cert ∨ fl)) が違反されていないかを確認する。
• 未知の命題に真値を割り当てることで楽観的近似を実行し、性質が依然として成立するかをテストする。
• 性質の否定 ¬ψ3 を Büchi自動機で表現し、モデルチェック解析のための積自動機 M ⊗ A¬ψ3 を計算する。
• 不動点意味論に基づく形式的で帰納的な証明を適用し、楽観的近似が性質を満たしていることを検証する。
• 三値モデルチェックアルゴリズムを活用し、未知の命題に対する将来の真理値割り当てに依存するため、結果として「おそらく（maybe）」を返す。

実験結果

リサーチクエスチョン

• RQ1 不完全または部分的に指定されたモデルを有するシステムにおいて、時間論理的性質を形式的に検証できるか？
• RQ2 完全な仕様が得られない状況下で、モデルチェックがシステム状態の不確実性をどのように扱えるか？
• RQ3 楽観的および悲観的近似が、不確実性下での時間的性質の妥当性をどのように決定するか？
• RQ4 モデルが不完全であっても、楽観的近似において性質が成立することを形式的証明で示すにはどうすればよいか？
• RQ5 未知の状態命題がモデルチェックの結果に与える影響は何か？ また、その不確実性はどのように形式的に伝えることができるか？

主な発見

• 部分モデルの悲観的近似により、反例パス (s0, s2, s5, s7ω) が得られ、性質 ψ3 がこの仮定のもとで違反されていることが証明された。
• 楽観的近似では、¬ψ3 に対して受理ループをもたない積自動機が得られ、ψ3 がこの仮定のもとで違反されていないことが示された。
• すべての関連状態が公式 µ(q0) = (edb → (cert ∨ fl)) を満たすことを示す形式的帰納的証明が構築された。これにより、楽観的モデルにおいて性質が成立することが確認された。
• 証明により、初期状態 s0 が性質 ψ3 を満たすことが示され、楽観的仮定のもとで Mopt |= (edb → (cert ∨ fl)) が成立することが立証された。
• 三値モデルチェックの結果は「おそらく（maybe）」であり、性質の最終的な満たし方は、状態 s6 および s7 における未知の命題 fl および sl の真理値に依存することを示している。
• フレームワークは、部分的モデルにおけるモデルチェックから形式的時間的証明へのシフトに成功し、不確実性下での推論の健全な基盤を提供した。