[論文レビュー] Modelling and Verification of Multiple UAV Mission Using SMV

Gopinadh Sirigineedi, Antonios Tsourdos+2 more|CERES (Cranfield University)|Mar 1, 2010

Formal Methods in Verification参考文献 23被引用数 6

ひとこと要約

本稿は、KripkeモデルとSMVモデルチェックヤーを用いたCTL性質を用いて、複数のUAVが協調して探査ミッションを実行する際の形式的検証フレームワークを提案する。UAVの動作、環境的脅威、UAV間の連携をモデル化し、安全かつ活性性の性質を検証した。死琐（deadlock）を正しく検出するとともに、指定されたすべての時相論理的性質が真であることを確認した。

ABSTRACT

Model checking has been used to verify the correctness of digital circuits, security protocols, communication protocols, as they can be modelled by means of finite state transition model. However, modelling the behaviour of hybrid systems like UAVs in a Kripke model is challenging. This work is aimed at capturing the behaviour of an UAV performing cooperative search mission into a Kripke model, so as to verify it against the temporal properties expressed in Computation Tree Logic (CTL). SMV model checker is used for the purpose of model checking.

研究の動機と目的

• 複数のUAVが協調して探査ミッションを実行する様子をKripke構造を用いて形式的にモデル化すること。
• 計算木論理（CTL）を用いてミッションに不可欠な安全および活性性の性質を検証すること。
• 自動モデルチェックを用いて、潜在的な死琐やシステム障害を特定すること。
• 複雑で並列的なUAV運用の検証にSMVを用いる可能性を示すこと。
• ミッションクリティカルなUAVシステムにおける正しさを保証する形式的フレームワークを提供すること。

提案手法

• UAVミッションは、状態、遷移、環境との相互作用を捉えるKripke構造としてモデル化される。
• 状態変数はUAVの位置、進行方向、脅威の有無、他のUAVの移動選択を表す。
• 非決定的変数を用いて外部の脅威や他のUAVの意思決定をモデル化し、不確実性を反映する。
• SMVモデルチェックヤーを用いて、安全、移動ルール、死琐回避を表すCTL性質を検証する。
• 時相論理式を用いて性質をエンコードし、AG（常に）や含意を用いて条件付き動作を表現する。
• 死琐シナリオは「少なくとも1つの空きセルが存在する」条件を破ることでシミュレートされ、障害事例の検証に使用されるトレースが生成された。

実験結果

リサーチクエスチョン

• RQ1 Kripkeモデルは、探査ミッションにおける複数の協調UAVの動作を正確に表現できるか？
• RQ2 SMVモデルチェックヤーは、CTLで表現された主要な安全および移動制御性質を検証できるか？
• RQ3 脅威や混雑によりUAVが進行できなくなる可能性のある死琐シナリオをモデルは検出できるか？
• RQ4 正しい進行方向動作や脅威回避といった指定された時相論理的性質が真として確認できるか？
• RQ5 形式的手法、たとえばモデルチェックは、UAVミッションソフトウェアの従来のテストを代替または補完するのに効果的か？

主な発見

• SMVにより、移動ルールや脅威回避を含む、指定されたすべてのCTL性質が真として検証された。
• すべての隣接セルが脅威を含む場合に死琐シナリオが正しく検出され、システムが進行不能であることが確認された。
• 検証はIntel 2.2 GHzプロセッサ上で0.046875秒のユーザータイム、0.015625秒のシステムタイムで完了した。
• UAVが常に90°または270°の進行方向を保つという性質は、すべてのシステムパスにおいて真であると確認された。
• UAVが脅威があるか、他のUAVが占有しているセルに入らないという安全の性質は、正しく検証された。
• SMVは死琐状況のトレースを生成し、図11で視覚的に確認された。これにより、モデルがシステム障害を露呈できる能力があることが示された。