[論文レビュー] Parallel Composition and Modular Verification of Computer Controlled Systems in Differential Dynamic Logic

Simon Lunel, Stefan Mitsch+2 more|arXiv (Cornell University)|Jul 5, 2019

Formal Methods in Verification参考文献 18被引用数 14

ひとこと要約

本稿では、微分動的論理（dL）におけるコンピュータ制御システム（CCS）のコンponentベースの検証フレームワークを提示する。このフレームワークは、コントローラとプラントの並列合成を通じて、モジュラーで時刻に配慮した安全特性の証明を可能にする。時間付き並列合成演算子を導入し、その代数的性質（結合則、可換則）を示し、反応性および制御可能性を符号化したコンポonent契約が整合的に合成されることを証明する。これにより、グローバルシステムの検証が個々のコンポonentの独立的かつパラメータ化された証明に還元される。

ABSTRACT

Computer-Controlled Systems (CCS) are a subclass of hybrid systems where the periodic relation of control components to time is paramount. Since they additionally are at the heart of many safety-critical devices, it is of primary importance to correctly model such systems and to ensure they function correctly according to safety requirements. Differential dynamic logic $d\\mathcal{L}$ is a powerful logic to model hybrid systems and to prove their correctness. We contribute a component-based modeling and reasoning framework to $d\\mathcal{L}$ that separates models into components with timing guarantees, such as reactivity of controllers and controllability of continuous dynamics. Components operate in parallel, with coarse-grained interleaving, periodic execution and communication. We present techniques to automate system safety proofs from isolated, modular, and possibly mechanized proofs of component properties parameterized with timing characteristics.

研究の動機と目的

• 安全で制限された時間的要件（例：コントローラの反応性、プラントの制御可能性）を有する安全を要請するコンピュータ制御システム（CCS）の検証の課題に対処すること。
• 形式的契約を用いて複雑なシステムを独立して検証可能なコンポonentに分解することで、モジュラー検証を可能にすること。
• 粗い粒度のインタリーブを伴う並列実行において、正しく合成されるように保証することで、スケーラブルなボトムアップのシステム設計を支援すること。
• 複数の反応型コントローラと制御可能なプラントの合成を形式的かつ自動化可能に定式化し、安全および時間的保証を維持すること。

提案手法

• 粗い粒度のインタリーブと周期的実行に基づく、dLにおける時間付き並列合成演算子を導入し、コンポonent間のモジュラー推論を可能にする。
• ドメイン、時間的特性（反応性δ）、不変条件（制御可能性C）をパラメータ化したコンポonent契約を定義する。
• dLの定理を適用して、契約が合成のもとで保持されることを証明し、時間的依存関係をモデル化するためのmax+コスト関数を用いる。
• KeYmaera Xを定理証明器として活用し、証明を機械化し、再利用可能な戦略としてフレームワークを実装する。
• 従来の研究を拡張し、時間的制約を合成に統合することで、コントローラの反応性がプラントの制御可能性を超えないように保証する。
• 安全および時間的特性を保持する形で、複数のコントローラ（MRCtrl）、複数のプラント（MPlant）、およびそれらの組み合わせ（MCCS）を体系的に合成するための方法論を提供する。

実験結果

リサーチクエスチョン

• RQ1 コンポonentベースの検証を、コンピュータ制御システムにおけるコントローラの反応性やプラントの制御可能性といった時間的制約をサポートするようにどのように拡張できるか？
• RQ2 複数のコントローラとプラントを並列に合成する際、安全および時間的契約が正当に保たれるような形式的合成メカニズムは何か？
• RQ3 コントローラとプラントの並列合成が、大規模システムへのスケーリングに不可欠な結合則および可換則の代数的性質を保持できるか？
• RQ4 個々のコンポonentのモジュラー証明を、コンポonent相互作用に関する最小限の仮定で、グローバルなシステム安全性証明に合成できるか？
• RQ5 時間パラメータを含む個別コンポonent証明のみを用いて、システムレベルの安全性証明を自動化するための技術は何か？

主な発見

• dLにおける提案された並列合成演算子は、結合則および可換則の代数的性質を保持しており、大規模システムのスケーラブルな検証を可能にする。
• 反応性（δ）および制御可能性（C）を符号化したコンポonent契約は、合成のもとで保持され、システム統合に際して安全特性が維持されることを保証する。
• フレームワークは、コントローラとプラントの独立的でモジュラーな証明のみを組み合わせることで、グローバルなシステム安全性証明を可能にし、時間的適合性に関する弱い仮定で十分である。
• max+コスト関数の使用により、合成時の時間的制約を正確にモデル化でき、現実的なサイバーフィジカルシステム設計を支援する。
• 定理および証明規則は形式的に定式化されており、KeYmaera X定理証明器で再利用可能な戦略として実装可能であり、モジュラー検証の自動化を可能にする。
• 本アプローチは、複数のコントローラとプラントを統合したマルチコンピュータ制御システム（MCCS）の合成をサポートし、産業規模の検証への道筋を示す。