[論文レビュー] Using Ellipsoidal Domains to Analyze Control Systems Software

Fernando Alegre, Éric Féron+1 more|ArXiv.org|Sep 10, 2009

Formal Methods in Verification参考文献 21被引用数 13

ひとこと要約

本稿では、ソフトウェア実装された制御システム、特に線形および一部の非線形コントローラーの安定性特性を検証するための楕円体ドメインを用いた抽象解釈フレームワークを提案する。状態変数を楕円体制約でモデル化し、離散リャプノフ方程式を解いて不動点を求める手法により、高水準モデルや自動コーダ固有の意味論に依存せずに、自動化された安定性検証が可能となる。

ABSTRACT

We propose a methodology for the automatic verification of safety properties of controllers based on dynamical systems, such as those typically used in avionics. In particular, our focus is on proving stability properties of software implementing linear and some non-linear controllers. We develop an abstract interpretation framework that follows closely the Lyapunov methods used in proofs at the model level and describe the corresponding abstract domains, which for linear systems consist of ellipsoidal constraints. These ellipsoidal domains provide abstractions for the values of state variables and must be combined with other domains that model the remaining variables in a program. Thus, the problem of automatically assigning the right type of abstract domain to each variable arises. We provide an algorithm that solves this classification problem in many practical cases and suggest how it could be generalized to more complicated cases. We then find a fixpoint by solving a matrix equation, which in the linear case is just the discrete Lyapunov equation. Contrary to most cases in software analysis, this fixpoint cannot be reached by the usual iterative method of propagating constraints until saturation and so numerical methods become essential. Finally, we illustrate our methodology with several examples.

研究の動機と目的

• 航空機用に使用される制御システムのソフトウェア実装における安定性特性を自動的に検証するための手法を開発すること。
• モデルベース検証が、コードの複雑さや浮動小数点演算の挙動のため、実装レベルでのコントローラー正しさの検証に不十分であるという課題に対処すること。
• 特定の自動コーダーや高水準モデリングツールに依存しない検証フレームワークを構築することで、より広範な適用可能性を確保すること。
• 制御ソフトウェアにおける混合変数タイプのモデル化を可能にするために、楕円体ドメインを他の抽象ドメインと統合すること。
• 反復的制約伝播の限界を克服するため、行列方程式の数値的解法による不動点計算を実現すること。

提案手法

• 状態変数に楕円体制約を構築することで、ソフトウェアレベルにおけるリャプノフ法を用いた安定性検証を形式化する。
• 状態変数の境界を表現するためのパラメトリック抽象ドメイン（楕円体に基づく）を導入し、到達可能な状態の過剰近似を可能にする。
• 状態変数以外の変数をモデル化するため、他の抽象ドメイン（例：長方形型や多面体型）と楕円体ドメインを組み合わせる。
• コントローラ論理における変数の役割と挙動に基づき、適切な抽象ドメインに変数を分類するアルゴリズムを開発する。
• 不動点計算ステップとして、離散リャプノフ方程式を解くことで、標準的な反復的制約伝播を置き換える。
• 分析（制約生成）と合成（証明検証）を分離し、分析段階と検証段階で異なるドメインを柔軟に使用できるようにする。

実験結果

リサーチクエスチョン

• RQ1 制御理論におけるリャプノフに基づく安定性証明を、コンパイル済み制御ソフトウェアの静的解析にどのように適応できるか。
• RQ2 線形および非線形コントローラーの静的解析において、状態変数のダイナミクスを最も効果的に捉える抽象ドメイン表現は何か。
• RQ3 標準的な反復的伝播が収束しない場合に、抽象解釈における不動点計算を効果的に解く方法は何か。
• RQ4 抽象ドメイン選択と証明合成を分離するモジュラーな手法を設計できるか。
• RQ5 浮動小数点の不正確さを扱いながら、安定性検証の正しさを損なわずに保てるか。

主な発見

• 提案された楕円体抽象ドメインは、制御ソフトウェアにおける状態変数の挙動を効果的に過剰近似可能であり、安定性領域の幾何的構造を捉えることができる。
• 離散リャプノフ方程式を解くことで、線形コントローラーの安定性が成功裏に検証され、解析における不動点条件として機能する。
• 非線形コントローラーの場合は、リャプノフ関数が楕円体制約を用いて近似可能な場合にまでそのアプローチを拡張可能である。
• 分析（制約生成）と合成（証明検証）の分離により、柔軟なドメイン使用が可能となる—例として、効率性を重視する場合に楕円体、精度を重視する場合に多面体を組み合わせられる。
• フレームワークは、特許権を有する自動コーダーや高水準モデルに依存しないため、さまざまなコード生成ツールやプラットフォームに適用可能である。
• この文脈において、数値的手法が不動点計算に不可欠であることが示された。標準的な反復的伝播では収束しないためである。