[論文レビュー] On modularity in reactive control architectures, with an application to formal verification

Oliver Biggar, Mohammad Zamani+1 more|arXiv (Cornell University)|Aug 28, 2020

Formal Methods in Verification被引用数 5

ひとこと要約

本論文は、行動木（Behavior Trees）、テレオレアクティブプログラム（Teleo-Reactive programs）、意思決定木（Decision Trees）などの反応型制御システムを一般化する、グラフに基づく制御アーキテクチャ「意思決定構造（decision structure）」を導入する。グラフ理論から導出された形式的モジュールの概念によりモularityを定義し、独立性・検証可能性を備えた多項式時間での分解を可能にする。主な貢献は、モジュールの変更がその局所的文脈にのみ影響し、正しさが局所的検証によって保たれる階層的検証フレームワークを提供することであり、複雑なサイバーフィジカルシステムの形式的検証を、モularityと合成可能性が保証された形で可能にする。

ABSTRACT

Modularity is a central principle throughout the design process for cyber-physical systems. Modularity reduces complexity and increases reuse of behavior. In this paper we pose and answer the following question: how can we identify independent `modules' within the structure of reactive control architectures? To this end, we propose a graph-structured control architecture we call a decision structure, and show how it generalises some reactive control architectures which are popular in Artificial Intelligence (AI) and robotics, specifically Teleo-Reactive programs (TRs), Decision Trees (DTs), Behavior Trees (BTs) and Generalised Behavior Trees ($k$-BTs). Inspired by the definition of a module in graph theory, we define modules in decision structures and show how each decision structure possesses a canonical decomposition into its modules. We can naturally characterise each of the BTs, $k$-BTs, DTs and TRs by properties of their module decomposition. This allows us to recognise which decision structures are equivalent to each of these architectures in quadratic time. Our proposed concept of modules extends to formal verification, under any verification scheme capable of verifying a decision structure. Namely, we prove that a modification to a module within a decision structure has no greater flow-on effects than a modification to an individual action within that structure. This enables verification on modules to be done locally and hierarchically, where structures can be verified and then repeatedly locally modified, with modules replaced by modules while preserving correctness. To illustrate the findings, we present an example of a solar-powered drone controlled by a decision structure. We use a Linear Temporal Logic-based verification scheme to verify the correctness of this structure, and then show how one can modify modules while preserving its correctness.

研究の動機と目的

• 反応型制御アーキテクチャにおけるモularityを形式的・数学的根拠に基づき定義すること。
• 行動木（Behavior Trees）、テレオレアクティブプログラム（Teleo-Reactive programs）、意思決定木（Decision Trees）、k-行動木（k-Behavior Trees）といった多様な制御パラダイムを、一つのグラフ理論的フレームワークで統合すること。
• モジュールの変更がその局所的文脈にのみ影響するように保証することで、階層的かつ局所的な形式的検証を可能にすること。
• アーキテクチャの表現力とモularityを特徴付ける複雑性測度「必須複雑性（essential complexity）」を提供すること。
• 検証済みの制御構造をモジュールレベルで段階的に変更しても正しさが保たれることを実証すること。

提案手法

• 反応型制御アーキテクチャを一般化する、ラベル付きノードとアークを持つ有向非巡回グラフ（DAG）としての「意思決定構造（decision structure）」を導入する。
• グラフ理論的モジュール定義を模倣し、同じインバーテックスおよびアウトバーテックスを持つノードの部分集合としてモジュールを定義する。
• 任意の意思決定構造をその最大モジュールに分解するための多項式時間アルゴリズム（O(n²k)）を提案する。
• 構造的モularityを測る指標として「必須複雑性（essential complexity）」を定義し、これはすべてのモジュールにおける最大の巡回複雑性（cyclomatic complexity）として定義される。
• k-行動木が必須複雑性が1である意思決定構造にちょうど一致することを示す。
• モジュールの変更がその自身の振る舞いにのみ影響することを証明することで、形式的検証への応用を実現し、局所的かつ階層的な検証を可能にする。

実験結果

リサーチクエスチョン

• RQ1 どのようにして、合成的設計と検証を可能にする反応型制御アーキテクチャにおけるモularityを形式的に定義できるか？
• RQ2 行動木（BTs）、k-行動木（k-BTs）、テレオレアクティブプログラム（TRs）、意思決定木（DTs）といった多様な制御アーキテクチャを、一つの形式的フレームワークで統合できるか？
• RQ3 制御アーキテクチャにおけるモジュール成分を同定する計算複雑性は何か？
• RQ4 提案されたモularity概念は、構造化プログラミングやソフトウェア工学における既存の概念とどのように関係するか？
• RQ5 モジュールの局所的変更が、形式的検証下で全体の正しさを保証できるか？

主な発見

• 任意の意思決定構造の正規分解（canonical decomposition）は、ノード数nとラベル数kを用いてO(n²k)時間で計算可能である。
• 提案されたモジュールは、行動木、k-行動木、意思決定木における部分木と正確に一致し、一対一の対応関係を確立する。
• k-行動木は必須複雑性が1である意思決定構造として形式的に特徴づけられ、新たな構造的特徴付けを提供する。
• 意思決定構造の必須複雑性は、そのすべてのモジュールにおける最大の巡回複雑性に等しく、モularityの定量的測定を可能にする。
• モジュールの変更は、そのモジュール自身の振る舞いにのみ影響し、境界を超えて伝播しない。これにより、局所的検証が可能になる。
• 形式的検証は階層的に行える：検証済み構造は、新しいモジュールに置き換えることで段階的に変更可能であり、新しいモジュールが同じ仕様を満たしている限り、正しさが保たれる。