[논문 리뷰] Resolute: An Assurance Case Language for Architecture Models

Andrew Gacek, John Backes외 3명|arXiv (Cornell University)|2014. 09. 16.

Safety Systems Engineering in Autonomy참고 문헌 16인용 수 7

한 줄 요약

Resolute는 AADL 시스템 아키텍처 모델, 논리 규칙, 그리고 형식적 검증 결과로부터 엄밀하고 기계 검증 가능한 확증 사례를 자동으로 생성하는 공식적 확증 사례 언어이다. 확증 사례를 아키텍처 모델에 밀접하게 연결함으로써, 드론과 같은 복잡한 시스템의 안전성 및 보안적 논증에서 일致성과 인간 오류를 줄인다.

ABSTRACT

Arguments about the safety, security, and correctness of a complex system are often made in the form of an assurance case. An assurance case is a structured argument, often represented with a graphical interface, that presents and supports claims about a system's behavior. The argument may combine different kinds of evidence to justify its top level claim. While assurance cases deliver some level of guarantee of a system's correctness, they lack the rigor that proofs from formal methods typically provide. Furthermore, changes in the structure of a model during development may result in inconsistencies between a design and its assurance case. Our solution is a framework for automatically generating assurance cases based on 1) a system model specified in an architectural design language, 2) a set of logical rules expressed in a domain specific language that we have developed, and 3) the results of other formal analyses that have been run on the model. We argue that the rigor of these automatically generated assurance cases exceeds those of traditional assurance case arguments because of their more formal logical foundation and direct connection to the architectural model.

연구 동기 및 목표

• 개발 과정에서 시스템 아키텍처 모델과 확증 사례 간의 일치하지 않는 문제를 해결하기 위해.
• 형식적 방법과 아키텍처 모델에 기반하여 확증 사례의 엄밀함을 향상시키기 위해.
• AADL 모델, 도메인 특화 규칙, 그리고 형식적 검증 결과로부터 확증 사례를 자동으로 생성하기 위해.
• 확증 사례 주장이 무효화되는 설계 변경을 조기에 탐지할 수 있도록 하기 위해.
• 모델 검증, 증명 등 이질적인 증거를 통합된 추적 가능한 논증 구조로 통합할 수 있도록 지원하기 위해.

제안 방법

• Resolute는 아키텍처 컴포넌트와 성질을 확증 사례 요소로 매핑하는 논리 규칙을 표현하기 위해 도메인 특화 언어(DSL)를 사용한다.
• 형식적 검증 결과(예: 모델 검증 출력)를 확증 사례 구조 내 증거로 통합한다.
• AADL 모델과 관련 규칙에 기반하여 확증 사례를 구조화되고 기계 검증 가능한 형식으로 자동으로 생성한다.
• 확증 사례 주장이 아키텍처 모델 요소에 직접 연결되어 변경 시 일치하지 않는 사항을 경고함으로써 일致성을 강제한다.
• GSN과 유사한 목표 구조 표기법을 사용하여 상위 수준의 주장에서 증거에 이르기까지 추적 가능성을 보장하며, 형식적 기반을 제공한다.
• AADL 모델를 처리하고 규칙를 적용하며 형식적 분 析에 호환되는 확증 사례 자산을 출력하는 도구 체인으로 구현된다.

실험 결과

연구 질문

• RQ1 어떻게 아키텍처 모델에서 자동으로 확증 사례를 생성하여 일치성과 엄밀함을 향상시킬 수 있는가?
• RQ2 시스템 아키텍처의 변경이 즉각적으로 확증 사례에 반영되도록 보장하는 메커니즘은 무엇인가?
• RQ3 다양한 형식적 검증 결과를 하나의 일관된 확증 사례에 통합하는 방법은 무엇인가?
• RQ4 증명과 형식적 논리를 확증 사례에 통합함으로써 기존 수동 방법에 비해 신뢰성은 얼마나 향상되는가?
• RQ5 형식적 확증 사례 언어는 안전성 및 보안 사례에서 논리적 오류와 불완전한 추론의 위험을 줄일 수 있는가?

주요 결과

• Resolute는 아키텍처 모델에 직접 추적 가능한 확증 사례를 성공적으로 생성하여 설계와 논증 간의 일致성을 보장한다.
• 아키텍처 변경으로 이전 확증 사례 주장이 무효화될 경우 도구가 이를 경고함으로써 잠재적 위험을 조기에 탐지할 수 있다.
• 형식적 논리와 검증 결과에 기반하여 확증 사례를 구축함으로써, 수동 또는 비형식적 확증 사례에 비해 엄밀함과 신뢰성의 향상을 달성한다.
• 모델 검증, 증명, 테스팅과 같은 이질적인 증거를 통합된 구조적 논증으로 통합할 수 있다.
• 형식적 구조와 추적 가능성을 강제함으로써 인간 오류와 논리적 오류의 위험을 줄인다.
• 도구 체인은 HACMS 프로그램 내 드론 설계에 대해 검증되었으며, 실제 항공전자 및 사이버보안 환경에서의 유용성을 입증했다.