[論文レビュー] Informal Control code logic

J.A. Bergstra|arXiv (Cornell University)|Sep 15, 2010

Software Testing and Debugging Techniques参考文献 34被引用数 7

ひとこと要約

本論文は、安全至上主義の埋め込みシステムにおける制御コードについての推論を可能にする概念的枠組みであるInformal Control Code Logic（ICCL）を紹介する。形式的解析が実行ベースの検証に完全に置き換えられない状況、特に時間的制約や不完全な要件定義がある場合、テスト、特に実際のデバイス環境内での埋め込みテストが不可欠であると主張する。

ABSTRACT

General definitions as well as rules of reasoning regarding control code production, distribution, deployment, and usage are described. The role of testing, trust, confidence and risk analysis is considered. A rationale for control code testing is sought and found for the case of safety critical embedded control code.

研究の動機と目的

• 埋め込みシステムにおける制御コードの理解とその役割を包括的に捉える概念的モデルの構築を目的とする。特に安全至上主義の文脈において。
• 論理的枠組みに基づき、制御コードの開発・展開・検証・リスク分析についての推論を形式化すること。
• 制御コードの検証、特に埋め込みシステムにおける検証の根拠を確立すること。形式的検証だけでは不十分な場合があるため。
• 純粋な制御コードの検証と埋め込み制御コードの検証の違いを明確にし、安全至上主義の応用において後者の必要性を主張すること。

提案手法

• IDBR（役割による非形式的記述）、LSCD（論理的単独概念定義）、SCFD（段階的概念ファミリー定義）といった創造的定義を用いて、制御コードやボックス（コード制御デバイス）といったコアな概念を定義する。
• 合成的および分析的実行アーキテクチャを適用し、制御コードがデバイス内でどのように実行されるかをモデル化することで、挙動と正しさに関する推論を可能にする。
• 出荷、ロード、使用、非有用性、リスク分析といった制御関連の行動の分類を導入し、意思決定プロセスを構造化する。
• 安全至上主義の制御コードに対する信頼は、テスト、製造業者への信頼、および実行アーキテクチャの非形式的分析の組み合わせによって生じると主張する。
• 要件定義が曖昧である場合や時間的制約により形式的解析が制限される場合、実行ベースの検証は避けられず、埋め込みテストが不可欠であると主張する。
• 制御コード搭載デバイスの普遍性という哲学的概念を、正しい制御コードが原則として存在可能であると仮定する根拠として導入する。

実験結果

リサーチクエスチョン

• RQ1 埋め込みシステムにおける制御コードのライフサイクルについて、整合的な推論を可能にする概念的枠組みは何か？
• RQ2 形式的検証が利用可能であるにもかかわらず、なぜ制御コードの検証、特に埋め込みテストが不可欠なのか？
• RQ3 テスト、リスク分析、信頼が、安全至上主義の制御コードの展開における意思決定をどのように総合的に支援するか？
• RQ4 形式的解析がテストに置き換えられる状況と、テストが代替不能な状況は、それぞれどのようなものか？
• RQ5 デバイスの普遍性の認識が、正しい制御コードの存在を正当化するために果たす役割は何か？

主な発見

• 形式的解析が不完全または時間的制約がある場合、安全至上主義のシステムにおける信頼を築くために、制御コードの検証が不可欠である。
• 実際のデバイス環境内での検証（埋め込み制御コードの検証）は、分析的実行アーキテクチャが分かっていなくても、一般形式的手法では代替できない。
• システム要件やインターフェースが明確でない場合、テストは文脈的不確実性を低減するため、コード固有の不確実性よりもより情報を得られる。
• 元のコードが失敗しなかったのに対し、変更された制御コードのバージョンが失敗するという成功したテストは、元のコードが安全至上主義的である証拠となる。
• 製造業者への信頼と過去の成功したテストがあれば、時間的制約がある状況でも制御コードに対する信頼を正当化できる。
• デバイスの普遍性の仮定と非形式的推論を組み合わせることで、完全な形式的モデルがない状況でも、正しい制御コードの存在を原則として推論できる。