[논문 리뷰] From Design to Implementation: an Automated, Credible Autocoding Chain for Control Systems

Timothy C. Wang, Romain Jobredeaux외 5명|arXiv (Cornell University)|2013. 07. 10.

Real-time simulation and control systems인용 수 4

한 줄 요약

이 논문은 도메인 특화 지식과 형식적 방법을 활용하여 제어 시스템 설계를 검증된 C 코드로 자동 번역하는 신뢰할 수 있는 자동코딩 체인을 제시한다. 라파노프 안정성 증명과 성능 보장을 그래픽 모델링 언어(예: Simulink)의 주석으로 통합함으로써, 이 프레임워크는 정리 증명기(theorem prover)를 사용하여 애너테이션 처리된 코드와 기계로 검증 가능한 증명서를 자동 생성하며, 모든 실행에서 형식적 검증을 통해 정확성을 보장한다.

ABSTRACT

This article describes a fully automated, credible autocoding chain for control systems. The framework generates code, along with guarantees of high level functional properties which can be independently verified. It relies on domain specific knowledge and fomal methods of analysis to address a context of heightened safety requirements for critical embedded systems and ever-increasing costs of verification and validation. The platform strives to bridge the semantic gap between domain expert and code verification expert. First, a graphical dataflow language is extended with annotation symbols enabling the control engineer to express high level properties of its control law within the framework of a familiar language. An existing autocoder is enhanced to both generate the code implementing the initial design, but also to carry high level properties down to annotations at the level of the code. Finally, using customized code analysis tools, certificates are generated which guarantee the correctness of the annotations with respect to the code, and can be verified using existing static analysis tools. Only a subset of properties and controllers are handled at this point.

연구 동기 및 목표

• 제어 엔지니어와 형식적 검증 전문가 사이의 의미적 격차를 해소하기 위해 도메인 전문가가 익숙한 설계 도구에서 고수준 기능적 성질을 직접 표현할 수 있도록 하기 위해.
• 고수준 제어 시스템 설계에서 검증된, 생산 수준의 C 코드로의 종단 간 번역을 자동화하여 형식적 정확성 증명서를 제공하기 위해.
• 안전 비판적 성질인 라파노프 안정성 등이 코드 수준에서 유지되고 형식적으로 정확함을 보장할 수 있도록 형식적 검증을 제어 시스템 개발 수명 주기 전체에 통합하기 위해.
• 제어 이론적 증명을 자동 코드 분석의 입력으로 활용하여 안전 비판적 임베디드 시스템에서의 검증 및 검증 비용과 복잡성을 줄이기 위해.

제안 방법

• Simulink와 같은 그래픽 데이터플로우 언어에 라파노프 안정성 및 벡터 마진과 같은 고수준 제어 성질을 표현할 수 있는 도메인 특화 주석을 추가한다.
• 기존의 자동코더를 개선하여 이러한 주석을 모델 수준에서 생성된 C 코드로까지 전파함으로써 의미를 유지한다.
• Why3, PVS, 그리고 proveit 정리 증명기를 포함한 맞춤형 정적 분석 파이프라인을 사용하여 코드 주석에서 검증 조건을 생성하고 해소한다.
• 행렬 부등식의 형식적 검증을 위해 pvs-ellipsoid 플러그인을 활용하여 부동소수점 산술에서도 정확한 결과를 보장하는 타원형 불변성의 검증을 수행한다.
• 검증 조건 분석을 기반으로 동적으로 생성되고 이导向되는 정리 증명 전략을 자동으로 생성함으로써 증명 체인을 자동화한다.
• PVS의 내장 기능이 부족한 경우 외부 도구인 INTLAB을 활용하여 행렬의 정정성에 대한 수치적 검증을 수행한다.

실험 결과

연구 질문

• RQ1 라파노프 안정성과 같은 제어 이론적 증명을 고수준 모델에서 저수준 코드로 체계적으로 인코딩하고 전파할 수 있는가?
• RQ2 제어 엔지니어의 도메인 특화 지식을 존중하면서도 형식적 방법을 숙지할 필요 없이 형식적 검증을 자동화할 수 있는 방법은 무엇인가?
• RQ3 애너테이션 처리된 모델에서 직접 제어 시스템 성질을 위한 기계로 검증 가능한 증명서를 생성하는 데 실현 가능성이 있는가?
• RQ4 부동소수점 산술 오류를 제어 시스템 불변성의 형식적 증명에서 어떻게 신뢰성 있게 다룰 수 있는가?
• RQ5 이 프레임워크는 현재 범위를 넘어서 더 넓은 종류의 컨트롤러와 성질을 지원하기 위해 얼마나 확장 가능한가?

주요 결과

• 프레임워크는 제어 의미를 지닌 Simulink 모델을 애너테이션 처리된 C 코드로 자동 번역하며, 라파노프 안정성과 같은 핵심 성질에 대해 형식적 증명서를 제공한다.
• 증명 체인은 완전히 자동화되어 있다: 검증 조건이 추출되고 Why3를 통해 처리되며, PVS와 proveit 정리 증명기를 사용하여 해소되며, 동적 전략 안내가 이루어진다.
• pvs-ellipsoid 플러그인은 부동소수점 산술이 존재하는 상황에서도 타원형 불변성과 관련된 행렬 부등식의 신뢰성 있는 검증을 가능하게 한다.
• 최종 검증 조건 — 상태가 초기 타원체 내에 유지되는 것 — 은 PVS와 외부 수치 도구인 INTLAB의 조합을 통해 해소된다.
• 프로토타입은 질량- 스프링- 댐퍼 시스템을 대상으로 실현 가능성을 입증하였으며, 형식적 보장을 제공하는 개방 루프 안정성을 입증하였다.
• 이 접근법은 도메인 전문성(제어 설계)과 형식적 검증 전문성(증명 생성)을 분리함으로써 코드 정확성의 독립적 검증을 가능하게 한다.