[論文レビュー] Resolute: An Assurance Case Language for Architecture Models

Andrew Gacek, John Backes+3 more|arXiv (Cornell University)|Sep 16, 2014

Safety Systems Engineering in Autonomy参考文献 16被引用数 7

ひとこと要約

Resolute は、AADL システムアーキテクチャモデル、論理的ルール、形式的検証結果から、厳密で機械検証可能な保証ケースを自動生成する形式的保証ケース言語である。保証ケースをアーキテクチャモデルに密接に統合することにより、ドローンのような複雑なシステムにおける安全・セキュリティに関する議論の整合性を保ち、人的ミスを低減する。

ABSTRACT

Arguments about the safety, security, and correctness of a complex system are often made in the form of an assurance case. An assurance case is a structured argument, often represented with a graphical interface, that presents and supports claims about a system's behavior. The argument may combine different kinds of evidence to justify its top level claim. While assurance cases deliver some level of guarantee of a system's correctness, they lack the rigor that proofs from formal methods typically provide. Furthermore, changes in the structure of a model during development may result in inconsistencies between a design and its assurance case. Our solution is a framework for automatically generating assurance cases based on 1) a system model specified in an architectural design language, 2) a set of logical rules expressed in a domain specific language that we have developed, and 3) the results of other formal analyses that have been run on the model. We argue that the rigor of these automatically generated assurance cases exceeds those of traditional assurance case arguments because of their more formal logical foundation and direct connection to the architectural model.

研究の動機と目的

• 開発段階におけるシステムアーキテクチャモデルと保証ケースの不整合を解消すること。
• 形式的手法とアーキテクチャモデルに根ざした保証ケースの厳密さを向上させること。
• AADL モデル、分野特有のルール、形式的検証結果から保証ケースを自動生成すること。
• 保証ケースの主張を無効にするような設計変更を早期に検出できること。
• モデル検査、証明などの異種の証拠を統一的でトレーサブルな議論構造に統合することを可能とすること。

提案手法

• Resolute は、アーキテクチャコンポーネントおよび特性を保証ケース要素にマッピングする論理的ルールを表現するための分野特有の言語（DSL）を使用する。
• 形式的検証結果（例：モデル検査の出力）を保証ケース構造内の証拠として統合する。
• AADL モデルおよび関連ルールに基づき、保証ケースを構造的で機械検証可能な形式に自動生成する。
• 保証ケースの主張をアーキテクチャモデル要素に直接リンクすることで整合性を保証し、モデルが変更された際に不整合を特定する。
• トップダウンの主張から証拠へのトレーサビリティをサポートするが、GSN に類似したゴール構造表記を用いながらも、形式的根拠を有する。
• フレームワークは、AADL モデルを処理し、ルールを適用し、形式的分析と互換性のある保証ケースアーティファクトを出力するツールチェーンとして実装されている。

実験結果

リサーチクエスチョン

• RQ1 どのようにしてアーキテクチャモデルから保証ケースを自動生成することで、整合性と厳密さを向上させられるか？
• RQ2 システムアーキテクチャの変更が保証ケースに即座に反映される仕組みは何か？
• RQ3 多様な形式的検証結果を、一つの整合的で一貫性のある保証ケースに統合するにはどうすればよいか？
• RQ4 証明や形式論理を保証ケースに埋め込むことで、従来の手作業による方法と比較して、その信頼性はどの程度向上するか？
• RQ5 形式的保証ケース言語は、安全・セキュリティのケースにおける誤った推論や不完全な推論のリスクを低減できるか？

主な発見

• Resolute は、AADL アーキテクチャモデルに直接トレーサブルな保証ケースを生成でき、設計と議論の整合性を保証する。
• アーキテクチャの変更によって過去の保証ケース主張が無効化された場合、ツールが不整合を検出し、潜在的なリスクの早期特定を可能にする。
• 保証ケースを形式論理と検証結果に根拠づけることで、恣意的または手作業による保証ケースと比較して、議論の厳密さと信頼性が向上する。
• モデル検査、証明、テストなどの異種の証拠を、統一的で構造的な議論に統合する支援が可能である。
• 形式的な構造とトレーサビリティを強制することで、人的ミスや論理的誤謬のリスクが低減される。
• ツールチェーンは、HACMS プログラムにおけるドローン設計を対象に検証されており、実世界の航空電子機器およびサイバーセキュリティの文脈で実用性を示している。