[论文解读] A Simplification of a Real-Time Verification Problem

Indranil Saha, Janardan Misra+1 more|arXiv (Cornell University)|Aug 8, 2010

Formal Methods in Verification参考文献 30被引用 5

一句话总结

本文提出一种两步约简技术——数字化，随后进行规范有限约简——将超时和日历型实时模型转化为有限状态模型，从而可利用标准有限状态模型检测工具（如 SAL-smc 和 Spin）高效验证安全、活锁和时效性属性。主要贡献在于无需依赖复杂的归纳证明或无限状态模型检查，即可将验证规模扩展至更大系统。

ABSTRACT

We revisit the problem of real-time verification with dense dynamics using timeout and calendar based models and simplify this to a finite state verification problem. To overcome the complexity of verification of real-time systems with dense dynamics, Dutertre and Sorea, proposed timeout and calender based transition systems to model the behavior of real-time systems and verified safety properties using k-induction in association with bounded model checking. In this work, we introduce a specification formalism for these models in terms of Timeout Transition Diagrams and capture their behavior in terms of semantics of Timed Transition Systems. Further, we discuss a technique, which reduces the problem of verification of qualitative temporal properties on infinite state space of (a large fragment of) these timeout and calender based transition systems into that on clockless finite state models through a two-step process comprising of digitization and canonical finitary reduction. This technique enables us to verify safety invariants for real-time systems using finite state model-checking avoiding the complexity of infinite state (bounded) model checking and scale up models without applying techniques from induction based proof methodology. Moreover, we can verify liveness properties for real-time systems, which is not possible by using induction with infinite state model checkers. We present examples of Fischer's Protocol, Train-Gate Controller, and TTA start-up algorithm to illustrate how such an approach can be efficiently used for verifying safety, liveness, and timeliness properties specified in LTL using finite state model checkers like SAL-smc and Spin. We also demonstrate how advanced modeling concepts like inter-process scheduling, priorities, interrupts, urgent and committed location can be specified as extensions of the proposed specification formalism.

研究动机与目标

• 解决使用无限状态模型检查验证具有密集时间动态的实时系统时面临的可扩展性和复杂性挑战。
• 克服 k-归纳法和有界模型检查在验证超时和日历模型的安全性和活锁属性方面的局限性。
• 在不依赖归纳法或辅助引理的前提下，实现对实时系统中定性时序属性（LTL）的有限状态验证。
• 将该框架扩展以支持优先级、中断以及已承诺/紧急状态等高级建模概念。
• 提供一种实用且工具兼容的形式化方法，其可扩展性优于现有方法，适用于工业级实时系统验证。

提出的方法

• 引入时序转换图作为超时和日历型模型的规格形式化方法，并定义其对应的时序转换系统语义。
• 应用两步约简：首先将连续时间数字化为离散时间步长，然后应用规范有限约简以消除冗余状态。
• 为超时和日历模型定义无时钟语法和语义，保持与原始时序模型的行为等价性。
• 使用 LTL 公式在所得有限状态模型上指定安全、活锁和时效性属性。
• 利用标准有限状态模型检查器（如 SAL-smc、Spin）在约简后的模型上验证属性。
• 通过守卫和标志机制扩展形式化方法，以建模进程间调度、优先级、中断以及已承诺/紧急状态。

实验结果

研究问题

• RQ1 超时和日历型实时模型能否在保持行为语义的前提下被约简为有限状态模型？
• RQ2 所提出的数字化与有限约简技术是否能够实现对实时系统中 LTL 属性（包括活锁）的可扩展验证？
• RQ3 该约简技术是否能够在不依赖 k-归纳法或辅助引理的前提下验证安全性和活锁属性？
• RQ4 与现有无限状态验证方法相比，该有限状态验证方法在可扩展性和实用性方面表现如何？
• RQ5 该有限状态框架在多大程度上能够建模并验证优先级、中断以及已承诺状态等高级实时特性？

主要发现

• 所提出的两步约简技术成功地将无限状态的超时和日历型模型转化为保持行为语义的有限状态模型。
• 现在可使用标准有限状态模型检查器验证 LTL 中的安全性和活锁属性，而这是仅使用 k-归纳法的无限状态模型检查器无法实现的。
• 该方法在 Fischer 互斥协议和 TTA 启动算法上表现出合理的可扩展性，验证工作量已降至忠实建模，无需手动构造引理。
• 通过利用有限状态模型检查，该方法实现了对以往仅靠 k-归纳法的无限状态验证无法触及的活锁属性的验证。
• 该框架通过守卫和标志扩展支持优先级、中断以及已承诺/紧急状态等高级实时特性，且这些扩展可被约简过程兼容。
• 该约简技术与任何对逆数字化封闭的规格逻辑兼容，包括 CTL 和 CTL*，从而将适用范围扩展至 LTL 之外。