[논문 리뷰] Event-based Formalization of Safety-critical Operating System Standards: An Experience Report on ARINC 653 using Event-B

Yongwang Zhao, Zhibin Yang외 2명|arXiv (Cornell University)|2015. 08. 26.

Formal Methods in Verification참고 문헌 13인용 수 7

한 줄 요약

이 논문은 안전 중심 운영 체제를 위한 ARINC 653 Part 1 표준의 완전한 Event-B 수학적 모델링 및 추론적 검증을 제시한다. 수학적 모델링과 증명 의무를 통해 시스템 기능 및 서비스 사양의 정당성을 검증한다. 검증 과정에서 표준 내에서 숨겨진 오류 3건과 사양 미완성 사례 3건을 발견하였으며, 이는 중요한 시스템 인터페이스의 정확성을 보장하기 위해 형식적 방법의 가치를 입증한다.

ABSTRACT

Standards play the key role in safety-critical systems. Errors in standards could mislead system developer's understanding and introduce bugs into system implementations. In this paper, we present an Event-B formalization and verification for the ARINC 653 standard, which provides a standardized interface between safety-critical real-time operating systems and application software, as well as a set of functionalities aimed to improve the safety and certification process of such safety-critical systems. The formalization is a complete model of ARINC 653, and provides a necessary foundation for the formal development and verification of ARINC 653 compliant operating systems and applications. Six hidden errors were discovered from the verification using the Event-B formal reasoning approach.

연구 동기 및 목표

• 안전 중심 시스템 표준(예: ARINC 653)에서 검출되지 않은 오류가 실시간 운영 체제의 구현 결함을 초래할 수 있는 위험을 해결하기 위해.
• Event-B를 사용하여 ARINC 653 Part 1(버전 3)의 형식적으로 검증된 완전한 모델을 제공하여 철저한 사양 정의 및 검증을 수행하기 위해.
• 개발자들을 오도하고 시스템 안전성을 해칠 수 있는 표준 내의 모순, 모호함 및 누락 사항을 탐지하기 위해.
• ARINC 653 준수 운영 체제 및 응용 프로그램의 형식적 개발, 검증 및 코드 생성 기반을 마련하기 위해.

제안 방법

• 집합 이론과 이벤트 기반 형식적 방법을 사용하여 Event-B로 전체 ARINC 653 Part 1 표준을 시스템 행동 및 상태 전이를 표현하도록 모델링하기 위해.
• 안전 인variant과 정밀화 관계를 포함한 형식적 사양으로 최상위 수준의 시스템 기능 및 서비스 요구사항을 정의하기 위해.
• Rodin 도구를 통해 증명 의무를 통한 추론적 검증을 적용하여 추상 수준 간의 일관성과 인variant의 정확성을 검증하기 위해.
• 자동화된 추론과 증명 해소를 통해 파artitioning, 타임 관리, 내부 및 외부 파artition 통신을 포함한 총 57개의 서비스를 검증하기 위해.
• 표준의 텍스트 기반 서술을 Event-B 모델로 수동으로 형식화하여 의미의 정확성을 확보하기 위해.
• 모델 검증을 위해 ProB를 사용하여 상태 공간 분석을 수행하였지만, 높은 추상 수준에서의 확장성 문제로 제한됨.

실험 결과

연구 질문

• RQ1 안전 중심 운영 체제에서 잘못된 구현을 초래할 수 있는 ARINC 653 Part 1 표준 내 숨겨진 모순 또는 오류는 무엇인가?
• RQ2 Event-B를 사용하여 ARINC 653의 완전한 형식적 모델을 어떻게 구성할 수 있으며, 이는 시스템 행동 및 서비스 의미의 철저한 검증을 어떻게 지원하는가?
• RQ3 Event-B의 증명 의무를 통한 추론적 검증이 추상 수준 간의 일관성을 확보하고 사양 결함를 탐지하는 데 얼마나 효과적인가?
• RQ4 Event-B와 같은 형식적 방법은 전통적인 테스트와 비형식적 분석을 초월하여 안전 중심 시스템 표준의 신뢰성을 향상시킬 수 있는가?
• RQ5 현재의 형식적 검증 접근법은 ARINC 653의 생명성 성질 및 시간 민감한 행동을 다룰 때 어떤 한계를 지니는가?

주요 결과

• ARINC 653 Part 1 표준에서 숨겨진 오류 3건을 확인하였다: 프로세스 관리 서비스에서 1건, 내부 및 외부 파artition 통신 서비스에서 2건.
• 특히 프로세스 상태 전이와 관련된 사양 미완성 사례 3건을 탐지하였으며, 이는 실제 구현에서 모호하거나 정의되지 않은 동작을 유도할 수 있다.
• 추론적 검증 과정에서 증명 의무의 최대 80%가 자동으로 해소되어 수동 작업을 크게 줄였다.
• ProB를 통한 모델 검증은 상태 공간 폭발 문제로 인해 높은 추상 수준에서는 적용이 어려웠으며, 확장성 문제를 드러냈다.
• 형식적 모델은 향후 Rodin 플러그인을 통해 코드 생성을 가능하게 하며, ARINC 653 준수 시스템의 모델 기반 개발 및 검증을 지원한다.
• 본 연구는 현재 Event-B 도구링이 글로벌 양화자 및 복잡한 시간 논리 연산을 네이티브로 지원하지 않아, 생명성 성질 검증을 위한 향상된 도구 지원이 필요하다는 점을 드러냈다.