[논문 리뷰] Modelling an Aircraft Landing System in Event-B (Full Report)

Dominique Méry, Neeraj Kumar Singh|arXiv (Cornell University)|2014. 04. 03.

Formal Methods in Verification참고 문헌 10인용 수 2

한 줄 요약

이 논문은 이벤트-베이시스(Event-B)를 사용하여 항공기 착륙기어 시스템의 단계적 형식 검증을 제시한다. 복잡한 시간적 및 순차적 행동을 모델링하기 위해 정밀한 보완(refinement) 기법을 적용하였다. 주요 기여는 안전성을 보장하기 위해 증명 기반 개발을 수행하는 벤치마크 모델이며, RODIN 도구세트를 통해 각 보완 수준에서 정당성 증명이 이루어진 것으로 검증되었다.

ABSTRACT

The failure of hardware or software in a critical system can lead to loss of lives. The design errors can be main source of the failures that can be introduced during system development process. Formal techniques are an alternative approach to verify the correctness of critical systems, overcoming limitations of the traditional validation techniques such as simulation and testing. The increasing complexity and failure rate brings new challenges in the area of verification and validation of avionic systems. Since the reliability of the software cannot be quantified, the extit{correct by construction} approach can implement a reliable system. Refinement plays a major role to build a large system incrementally from an abstract specification to a concrete system. This paper contributes as a stepwise formal development of the landing system of an aircraft. The formal models include the complex behaviour, temporal behaviour and sequence of operations of the landing gear system. The models are formalized in Event-B modelling language, which supports stepwise refinement. This case study is considered as a benchmark for techniques and tools dedicated to the verification of behavioural properties of systems. The report is the full version of a paper published for the ABZ 2014 Case Study. is

연구 동기 및 목표

• 엄격한 형식적 방법을 사용하여 형식적으로 검증된 안전 중심의 항공기 착륙기어 시스템을 개발하는 것.
• 실시간 제약 조건 하에서 착륙기어, 도어 및 유압 시스템의 복잡한 시간적 및 순차적 행동을 모델링하는 것.
• 추상 명세에서부터 점진적으로 구체화된 정확한 시스템을 구축하기 위해 이벤트-베이시스에서의 단계적 보완을 적용하는 것.
• 각 보완 단계의 정확성을 증명 기반 기법과 RODIN 도구세트를 사용하여 검증하는 것.
• 안전 중심 항공전자장비 시스템에서 행동 성질의 검증을 위한 기준 사례 연구를 수립하는 것.

제안 방법

• 시스템은 단계적 보완과 안전성 검증을 지원하는 형식적 방법인 이벤트-베이시스(Event-B)로 모델링된다.
• 추상 모델이 점진적으로 더 구체적인 모델로 보완되며, 보완 증명을 통해 행동 정확성이 유지된다.
• 이벤트는 기어의 전개/수축, 도어 작동, 유압 압력 모니터링 등의 시스템 행동을 모델링한다.
• 시간 진행 이벤트(tic tock)와 시간 순서로 정렬된 동작 집합(at)을 사용하여 시간적 행동을 기록한다.
• 이상 탐지 기능은 센서 상태(예: 압력, 도어, 기어, 스위치)를 모니터링하고 일관성 없는 상태가 발견되면 경고를 발생시키는 확장 이벤트로 모델링된다.
• 조종사 인터페이스 조명(녹색, 주황색, 빨간색)은 상태 기반 출력으로 모델링되며, 시스템 상태에 따라 적절한 조명 행동이 보장되는 이벤트로 구현된다.

실험 결과

연구 질문

• RQ1 어떻게 이벤트-베이시스(Event-B)를 사용하여 항공기 착륙기어 시스템의 복잡한 실시간 행동을 형식적으로 모델링할 수 있는가?
• RQ2 이벤트-베이시스에서의 단계적 보완이 기어 전개 및 도어 작동과 같은 안전 중심 행동의 정확성을 보장할 수 있는가?
• RQ3 시간 제약 조건과 센서 모니터링은 어떻게 형식적 모델에 통합되어 이상을 탐지할 수 있는가?
• RQ4 증명 기반 개발은 항공전자장비 시스템의 행동 성질 검증에서 어떤 역할을 하는가?
• RQ5 이 사례 연구는 안전 중심 시스템의 형식적 검증을 위한 기준으로 기능할 수 있는가?

주요 결과

• 형식적 모델은 이벤트-베이시스(Event-B)를 사용하여 기어, 도어 및 유압 시스템의 순차적 및 동시적 행동을 성공적으로 모델링하였다.
• 각 보완 단계는 RODIN 도구세트를 사용하여 형식적으로 정확한 것으로 증명되었으며, 개발 과정 전반에 걸쳐 안전 성질이 유지됨을 보장하였다.
• 이상 탐지 메커니즘은 센서 상태(예: 도어, 기어, 압력)가 기대되는 구성과 다를 경우 정확하게 경고를 발생시킴을 형식적으로 검증하였다.
• 시스템은 조종사 인터페이스 조명을 정확히 모델링하였다: 기어가 잠금 해제된 상태일 때만 녹색 조명이 켜지고, 이동 중일 땐 주황색, 이상이 감지되면 빨간색 조명이 켜진다.
• 시간 진행 이벤트(tic tock)는 미래 시간 값이 현재 시간보다 크고, 보류 중인 동작과 충돌하지 않도록 보장함으로써 시간 일관성을 확보한다.
• 모델은 보완을 통한 형식적 검증이 복잡한 실시간 항공전자장비 시스템에 효과적으로 적용될 수 있음을 보여주며, DO-178B와 같은 표준에 따른 인증 기반을 제공한다.