[논문 리뷰] Mars 2.0: A Toolchain for Modeling, Analysis, Verification and Code Generation of Cyber-Physical Systems

Bohua Zhan, Xiong Xu외 5명|arXiv (Cornell University)|2024. 03. 05.

Simulation Techniques and ApplicationsDecision Sciences인용 수 3

한 줄 요약

Mars 2.0는 사이버-물리 시스템을 위한 형식적 검증 도구 체인으로, AADL과 Simulink/Stateflow를 통합하여 통합된 그래픽 모델링 프레임워크를 제공하고, 모델을 하이브리드 CSP(HCSP)로 변환하여 Isabelle/HOL과 HHLPy를 사용한 형식적 시뮬레이션 및 검증을 수행하며, 형식적으로 증명된 변환을 통해 정확하게 생성된 C 및 SystemC 코드를 생성함으로써 전반적인 정확성을 보장한다.

ABSTRACT

We introduce Mars 2.0 for modeling, analysis, verification and code generation of Cyber-Physical Systems. Mars 2.0 integrates Mars 1.0 with several important extensions and improvements, allowing the design of cyber-physical systems using the combination of AADL and Simulink/Stateflow, which provide a unified graphical framework for modeling the functionality, physicality and architecture of the system to be developed. For a safety-critical system, formal analysis and verification of its combined AADL and Simulink/Stateflow model can be conducted via the following steps. First, the toolchain automatically translates AADL and Simulink/Stateflow models into Hybrid CSP (HCSP), an extension of CSP for formally modeling hybrid systems. Second, the HCSP processes can be simulated using the HCSP simulator, and to complement incomplete simulation, they can be verified using the Hybrid Hoare Logic prover in Isabelle/HOL, as well as the more automated HHLPy prover. Finally, implementations in SystemC or C can be automatically generated from the verified HCSP processes. The transformation from AADL and Simulink/Stateflow to HCSP, and the one from HCSP to SystemC or C, are both guaranteed to be correct with formal proofs. This approach allows model-driven design of safety-critical cyber-physical systems based on graphical and formal models and proven-correct translation procedures. We demonstrate the use of the toolchain on several benchmarks of varying complexity, including several industrial-sized examples.

연구 동기 및 목표

• 안전이 중요한 사이버-물리 시스템(CPS)에서 물리 시스템, 소프트웨어, 시스템 아키텍처의 이질적 모델링을 통합하는 도전 과제를 해결한다.
• AADL는 연속적인 동역학을 지원하지 않으며, Simulink/Stateflow는 아키텍처 모델링을 지원하지 않기 때문에, 이를 통합하여 단일 그래픽 모델링 프레임워크로 구현한다.
• CPS 설계를 위한 형식적 검증 및 정확하게 생성된 코드 생성을 가능하게 하여 신뢰성과 안전성을 확보한다.
• AADL⊕S/S에서 HCSP로의 모델 변환 및 HCSP에서 C/SystemC 코드로의 변환에 대한 형식적 정확성 보장을 위해 의미론적 일致성 증명을 제공한다.
• 고수준 설계에서 검증된 저수준 구현에 이르기까지 종단 간 툴체인을 제공하여 산업 규모의 CPS 개발을 지원한다.

제안 방법

• AADL와 Simulink/Stateflow를 통합하여 功能, 물리적 동역학, 시스템 아키텍처를 모델링할 수 있는 단일 그래픽 모델링 언어 AADL⊕S/S를 개발한다.
• AADL⊕S/S 모델을 하이브리드 시스템을 위한 일반 미분 방정식을 확장한 형식 언어인 하이브리드 CSP(HCSP)로 자동 변환한다.
• 특수 설계된 HCSP 시뮬레이터를 사용하여 HCSP 프로세스를 시뮬레이션하여 동적 행동을 검증한다.
• Isabelle/HOL의 하이브리드 호어 논리 증명기와 자동화된 HHLPy 증명기를 사용하여 HCSP 모델을 검증함으로써 검증 커버리지를 향상시킨다.
• 정확하게 검증된 HCSP 모델에서 C 및 SystemC 코드를 형식적으로 증명된 번역 과정을 통해 자동 생성한다.
• AADL⊕S/S와 HCSP 간의 의미론적 일致성, HCSP와 생성된 C/SystemC 코드 간의 의미론적 일치를 형식적 증명을 통해 보장한다.

실험 결과

연구 질문

• RQ1 AADL와 Simulink/Stateflow는 사이버-물리 시스템을 위한 단일 통합 모델링 프레임워크로 효과적으로 통합될 수 있는가?
• RQ2 AADL⊕S/S에서 HCSP로의 변환이 의미론적 일치를 보장하는 바탕으로 형식적으로 정확한가?
• RQ3 HCSP와 자동/상호작용 정리 증명을 활용하여 하이브리드 시스템 행동의 형식적 검증을 효과적으로 지원할 수 있는가?
• RQ4 검증된 HCSP 모델에서 C 및 SystemC 코드를 자동으로 생성할 수 있으며, 이에 대한 형식적 정확성 보장이 가능한가?
• RQ5 실제 사이버-물리 시스템 벤치마크에서 Mars 2.0 파이프라인은 이전 방법 대비 행동 및 정확성 측면에서 어떻게 비교되는가?

주요 결과

• Mars 2.0 도구 체인은 AADL⊕S/S 모델링에서 시작하여 검증된 C/SystemC 코드 생성에 이르기까지 안전이 중요한 CPS의 종단 간 개발을 성공적으로 지원한다.
• AADL⊕S/S에서 HCSP로의 변환은 형식적으로 정확하게 증명되어 원본 모델의 의미를 유지한다.
• HCSP에서 C 코드로의 변환은 근사적 바이심일로션을 기반으로 형식적으로 증명되어 형식 모델과 생성된 구현 간 행동 일치성을 보장한다.
• 생성된 C 코드(3500–4000줄)는 이전 연구(Zhan et al., 2019)가 이러한 바이심일로션 보장을 누락한 것과는 달리 원본 ACCS 모델의 세부 행동을 반영한다.
• 생성된 C 코드의 시뮬레이션 결과는 HCSP 모델 시뮬레이션(파란 선)과 이전 연구(Zhan et al., 2019)의 결과와 밀접하게 일치하여 행동 일致성과 정확성을 확인한다.
• 도구 체인은 산업 규모의 벤치마크, 특히 적응형 크루즈 제어 시스템(ACCS)을 대상으로 검증되어 확장성과 실용성을 입증했다.