[論文レビュー] Modelling an Aircraft Landing System in Event-B (Full Report)

Dominique Méry, Neeraj Kumar Singh|arXiv (Cornell University)|Apr 3, 2014

Formal Methods in Verification参考文献 10被引用数 2

ひとこと要約

本論文では、イベントBを用いた段階的正式検証を通じて、航空機の着陸ギアシステムの形式的検証を提示している。時間的・順序的な動作を含む、着陸ギア、ドア、油圧システムの複雑な挙動をモデル化するために、精錬を用いている。主な貢献は、証明に基づく開発により安全性を保証するベンチマークモデルであり、RODINツールセットを用いて各精錬レベルで正しさの形式的証明がなされた。

ABSTRACT

The failure of hardware or software in a critical system can lead to loss of lives. The design errors can be main source of the failures that can be introduced during system development process. Formal techniques are an alternative approach to verify the correctness of critical systems, overcoming limitations of the traditional validation techniques such as simulation and testing. The increasing complexity and failure rate brings new challenges in the area of verification and validation of avionic systems. Since the reliability of the software cannot be quantified, the extit{correct by construction} approach can implement a reliable system. Refinement plays a major role to build a large system incrementally from an abstract specification to a concrete system. This paper contributes as a stepwise formal development of the landing system of an aircraft. The formal models include the complex behaviour, temporal behaviour and sequence of operations of the landing gear system. The models are formalized in Event-B modelling language, which supports stepwise refinement. This case study is considered as a benchmark for techniques and tools dedicated to the verification of behavioural properties of systems. The report is the full version of a paper published for the ABZ 2014 Case Study. is

研究の動機と目的

• 厳密な形式的手法を用いて、形式的に検証された安全要件の厳しい着陸ギアシステムを航空機用に開発すること。
• リアルタイム制約下での、着陸ギア、ドア、油圧システムの複雑な時間的・順序的挙動をモデル化すること。
• 抽象的仕様から段階的に具体的な、正しく構築されたシステムを構築するために、イベントBにおける段階的精錬を適用すること。
• 証明に基づく技術とRODINツールセットを用いて、各精錬ステップの正しさを検証すること。
• 安全要件の厳しい航空電子機器における挙動的性質の検証のためのベンチマークケーススタディを確立すること。

提案手法

• システムは、段階的精錬と安全性検証をサポートする形式手法であるイベントBを用いてモデル化されている。
• 抽象的モデルが段階的により具体的なモデルに精錬され、精錬証明を通じて挙動の正しさが保持されている。
• イベントは、ギアの展開／収納、ドア操作、油圧圧力の監視などのシステム挙動をモデル化している。
• 時間的挙動は、時間進行イベント（tic tock）と時系列順のアクション集合（at）を用いて状態追跡により捉えられている。
• 異常検出は、センサー状態（例：圧力、ドア、ギア、スイッチ）を監視し、不一致が検出された際にアラームを発動する拡張イベントとしてモデル化されている。
• パイロットインターフェースのライト（緑、オレンジ、赤）は、状態依存の出力としてモデル化されており、イベントによりシステム状態に応じた正しいライト動作が保証されている。

実験結果

リサーチクエスチョン

• RQ1 航空機の着陸ギアシステムの複雑なリアルタイム挙動を、イベントBを用いてどのように形式的にモデル化できるか？
• RQ2 イベントBにおける段階的精錬は、ギア展開やドア操作などの安全要件の厳しい挙動の正しさを保証できるか？
• RQ3 時間的制約とセンサー監視を形式的モデルに統合し、異常を検出するにはどうすればよいか？
• RQ4 証明に基づく開発は、航空電子機器の挙動的性質の検証において果たす役割は何か？
• RQ5 このケーススタディは、安全要件の厳しいシステムの形式的検証のベンチマークとして機能できるか？

主な発見

• 形式的モデルは、イベントBを用いて、着陸ギア、ドア、油圧システムの順序的かつ並列的な挙動を成功裏に捉えている。
• RODINツールセットを用いて、各精錬ステップが形式的に正しく証明されており、開発プロセス全体を通じて安全性の性質が保持されていることが保証されている。
• 異常検出メカニズムは、形式的に検証されており、センサー状態（例：ドア、ギア、圧力）が期待される構成から逸脱した際に発動することが保証されている。
• パイロットインターフェースのライト動作が正しくモデル化されている：ギアがロックダウンしている場合にのみ緑色のライトが点灯し、操作中はオレンジ色、異常検出時は赤色となる。
• 時間進行イベント（tic tock）は、将来の時間値が現在の時間より大きく、保留中のアクションと競合しないようにすることで、時間的一致性を保証している。
• 形式的検証による精錬を用いることで、複雑なリアルタイム航空電子機器システムに効果的に適用可能であることが示された。これは、DO-178Bなどの基準による認証の基盤を提供する。