[論文レビュー] Lessons Learned/Sharing the Experience of Developing a Metro System Case Study

Renato Silva|arXiv (Cornell University)|Oct 26, 2012

Model-Driven Software Engineering Techniques参考文献 7被引用数 3

ひとこと要約

本論文は、Event-BとRodinプラットフォームを用いた安全関連の都市鉄道システムの開発に関する事例研究を提示する。複雑さを管理するため、トップダウンの段階的精製、分解、および汎用インスタンス化を強調している。著者は、これらの技術が形式的証明の再利用を通じて証明作業を削減し、モデルの保守性を向上させることを示している。大規模なシステムモデルにおいて、909個の証明義務のうち74.6％が自動的に解決され、人的作業を最小限に抑えた。

ABSTRACT

In this document we share the experiences gained throughout the development of a metro system case study. The model is constructed in Event-B using its respective tool set, the Rodin platform. Starting from requirements, adding more details to the model in a stepwise manner through refinement, we identify some keys points and available plugins necessary for modelling large systems (requirement engineering, decomposition, generic instantiation, among others), which ones are lacking plus strengths and weaknesses of the tool.

研究の動機と目的

• 大規模で安全関連の都市鉄道システムモデルを形式的手法を用いて開発した実務的教訓を共有すること。
• 分解と汎用インスタンス化の有効性を評価し、証明作業の削減とモデルの管理性向上に寄与するかを検証すること。
• Rodinプラットフォームが大規模な形式的モデルをサポートする現状の能力を評価し、ツールの限界と強みを特定すること。
• 産業規模の組み込みシステムに適用可能な再利用可能で構造化されたモデリング手法を促進すること。
• 利用可能なツール拡張機能を用いて、形式的手法におけるトレーサビリティと要件工学の課題を解決すること。

提案手法

• 抽象的なシステム動作から始めるトップダウンの段階的精製アプローチを用いて、都市鉄道システムをEvent-Bでモデリングすること。
• モノリシックなコンポーネントを管理可能なサブコンポーネントに分解することで、状態とイベントの複雑さを低減すること。
• 特定の形式的パターン（特に車両ドア）を複数のインスタンス（例えば、非常用ドアとサービスドア）に再利用するため、汎用インスタンス化を適用すること。
• Rodinのプラグイン（モデル分解、共有イベント構成）と手動インスタンス化を活用し、モジュラリティと証明再利用を支援すること。
• 自動的およびインタラクティブな戦略を用いて証明義務（PO）を解決し、重複する証明作業を最小限に抑えること。
• 非形式的要件と形式的モデルを統合し、利用可能なProRプラグインを用いてトレーサビリティと整合性チェックを支援すること。

実験結果

リサーチクエスチョン

• RQ1 分解と汎用インスタンス化は、Event-Bにおける大規模形式的モデルの管理性とスケーラビリティをどのように向上させるか？
• RQ2 大規模なEvent-Bモデルの証明において直面する主な課題は何か。構造化されたモデリング手法によってどのように緩和できるか？
• RQ3 現存するRodinプラットフォームのプラグインは、複雑で産業用の強固な形式的システムの開発をどの程度サポートできるか？
• RQ4 汎用インスタンス化による証明再利用は、形式的検証における全体的な証明作業をどの程度削減できるか？
• RQ5 現行のツール支援（例：Rodin、ProR）は、現実世界の要件やモデルの進化を処理する上で、どのような限界を有するか？

主な発見

• Rodin v2.1を用い、手動による汎用インスタンス化と分解を実施した結果、909個の証明義務のうち678個（74.6％）が証明解決された。
• 汎用インスタンス化により、ベースパターン（GCDoor）から得た257個の証明義務を再利用することで、証明作業が顕著に削減された。これにより、サービスドアと非常用ドアの独立した精製が可能になった。
• 分解はモデルの複雑さを管理する上で不可欠であった。コンポーネントごとの変数およびイベント数が減少し、証明がより扱いやすくなった。
• ツールの限界が存在する中でも、適切な証明戦略が特定されれば、インタラクティブな証明解決は実現可能であり、適切な構造化が施された場合、形式的検証は依然として実行可能であることを示している。
• 汎用インスタンス化や証明義務戦略の再利用に対する自動サポートの欠如が、人的作業を増加させた。今後のツール改善の必要性が浮き彫りになった。
• 非形式的要件と形式的モデルの統合は依然として課題であるが、利用可能なProRプラグインの支援があれば、トレーサビリティと不整合の検出が向上する。