[論文レビュー] Mars 2.0: A Toolchain for Modeling, Analysis, Verification and Code Generation of Cyber-Physical Systems

Bohua Zhan, Xiong Xu+5 more|arXiv (Cornell University)|Mar 5, 2024

Simulation Techniques and ApplicationsDecision Sciences被引用数 3

ひとこと要約

Mars 2.0 は、サイバーフィジカルシステムの形式的検証を可能にするツールチェーンであり、AADL と Simulink/Stateflow を統合して一貫したグラフィカルモデリングフレームワークを提供し、モデルをハイブリッドCSP（HCSP）に変換して Isabelle/HOL および HHLPy を用いた形式的シミュレーションと検証を実施し、形式的証明に基づく正しく生成された C 言語および SystemC コードを出力することで、形式的証明された変換によりエンド・ツー・エンドの正しさを保証する。

ABSTRACT

We introduce Mars 2.0 for modeling, analysis, verification and code generation of Cyber-Physical Systems. Mars 2.0 integrates Mars 1.0 with several important extensions and improvements, allowing the design of cyber-physical systems using the combination of AADL and Simulink/Stateflow, which provide a unified graphical framework for modeling the functionality, physicality and architecture of the system to be developed. For a safety-critical system, formal analysis and verification of its combined AADL and Simulink/Stateflow model can be conducted via the following steps. First, the toolchain automatically translates AADL and Simulink/Stateflow models into Hybrid CSP (HCSP), an extension of CSP for formally modeling hybrid systems. Second, the HCSP processes can be simulated using the HCSP simulator, and to complement incomplete simulation, they can be verified using the Hybrid Hoare Logic prover in Isabelle/HOL, as well as the more automated HHLPy prover. Finally, implementations in SystemC or C can be automatically generated from the verified HCSP processes. The transformation from AADL and Simulink/Stateflow to HCSP, and the one from HCSP to SystemC or C, are both guaranteed to be correct with formal proofs. This approach allows model-driven design of safety-critical cyber-physical systems based on graphical and formal models and proven-correct translation procedures. We demonstrate the use of the toolchain on several benchmarks of varying complexity, including several industrial-sized examples.

研究の動機と目的

• 安全なサイバーフィジカルシステム（CPS）における、物理的システム、ソフトウェア、システムアーキテクチャの異種モデリングの統合という課題に取り組む。
• AADL の限界（連続的ダイナミクスを欠く）と Simulink/Stateflow の限界（アーキテクチャモデリングを欠く）を克服し、両者を統合した単一のグラフィカルモデリングフレームワークを提供する。
• CPS の設計に対して形式的検証と正しく生成されたコード生成を可能にし、信頼性と安全性を確保する。
• AADL⊕S/S から HCSP へのモデル変換および HCSP から C/SystemC コードへの変換について、意味論的一致性の証明を用いて形式的正しさ保証を提供する。
• 高レベル設計から検証済み低レベル実装までをカバーするエンド・ツー・エンドのツールチェーンを提供し、産業規模の CPS 開発を支援する。

提案手法

• AADL と Simulink/Stateflow を統合し、機能、物理的ダイナミクス、システムアーキテクチャをモデリング可能な統合的グラフィカルモデリング言語 AADL⊕S/S を構築する。
• AADL⊕S/S モデルを、ハイブリッドシステム向けに常微分方程式を拡張した形式的言語であるハイブリッドCSP（HCSP）に自動変換する。
• 専用の HCSP シミュレータを用いて HCSP プロセスをシミュレートし、動的動作の妥当性を検証する。
• Isabelle/HOL に統合されたハイブリッドホーア論理プローバーと、自動化された HHLPy プローバーを用いて HCSP モデルを検証し、検証カバレッジを向上させる。
• 形式的証明に基づく近似双模倣を用いた変換プロセスを用いて、検証済み HCSP モデルから C 言語および SystemC コードを生成する。
• AADL⊕S/S と HCSP 間、および HCSP と生成された C/SystemC コード間の変換の正しさを形式的証明により保証する：意味論的一致性を確認する。

実験結果

リサーチクエスチョン

• RQ1 AADL と Simulink/Stateflow を、サイバーフィジカルシステムのための単一で統合的なモデリングフレームワークに効果的に統合する方法は何か？
• RQ2 AADL⊕S/S から HCSP への変換が形式的に正しく保証され、意味論的一致性が確保できるか？
• RQ3 HCSP と自動/対話型定理証明を用いて、ハイブリッドシステムの動作に対する形式的検証を効果的に支援できるか？
• RQ4 検証済み HCSP モデルから、形式的保証付きで C および SystemC コードを自動生成できるか？
• RQ5 Mars 2.0 パイプラインは、実世界の CPS ベンチマークにおいて、従来の手法と比較して動作と正しさの点でどのように差がつくか？

主な発見

• Mars 2.0 ツールチェーンは、AADL⊕S/S モデリングから検証済み C/SystemC コード生成までをエンド・ツー・エンドでサポートし、安全なサイバーフィジカルシステムの開発を実現した。
• AADL⊕S/S から HCSP への変換は形式的に正しく証明されており、元のモデルの意味論が保持されている。
• HCSP から C コードへの変換は近似双模倣を用いて形式的に証明されており、形式的モデルと生成された実装との間で動作の一貫性が保証されている。
• 生成された C コード（3500〜4000行）は、元の ACCS モデルの詳細な動作を反映しており、Zhan ら（2019年）の先行研究とは異なり、このような双模倣保証が欠落していた。
• 生成された C コードのシミュレーション結果は、HCSP モデルのシミュレーション（青線）および先行研究（Zhan ら、2019年）と密接に一致しており、動作の一貫性と正しさが確認された。
• このツールチェーンは産業規模のベンチマーク、特にアダプティブクルーズコントロールシステム（ACCS）を用いて検証され、スケーラビリティと実用性が実証された。