[논문 리뷰] Control software analysis, Part I Open-loop properties

Éric Féron, Fernando Alegre|ArXiv.org|2008. 09. 28.

Real-Time Systems Scheduling참고 문헌 7인용 수 15

한 줄 요약

이 논문은 제어 소프트웨어의 형식적 검증 프레임워크를 제안하며, 리아푸노프 안정성 이론을 C 코드 구현의 불변 기반 분석으로 번역한다. 제어 시스템의 안정성 특성들이 기계어로 번역된 제어 소프트웨어에서 어떻게 유지되고 검증될 수 있는지 보여주며, 기호 실행과 타원체 불변을 통해 실시간 제어 구현의 정확성을 보장한다. 이는 고수준 사양을 초월한 정확성 보장을 가능하게 한다.

ABSTRACT

As the digital world enters further into everyday life, questions are raised about the increasing challenges brought by the interaction of real-time software with physical devices. Many accidents and incidents encountered in areas as diverse as medical systems, transportation systems or weapon systems are ultimately attributed to "software failures". Since real-time software that interacts with physical systems might as well be called control software, the long litany of accidents due to real-time software failures might be taken as an equally long list of opportunities for control systems engineering. In this paper, we are interested only in run-time errors in those pieces of software that are a direct implementation of control system specifications: For well-defined and well-understood control architectures such as those present in standard textbooks on digital control systems, the current state of theoretical computer science is well-equipped enough to address and analyze control algorithms. It appears that a central element to these analyses is Lyapunov stability theory, which translate into invariant theory in computer implementations.

연구 동기 및 목표

• 고수준 제어 사양은 정확하나 저수준 제어 소프트웨어의 구현을 검증하는 데의 격차를 해결하기 위해.
• 실시간 검증을 위한 소프트웨어 불변으로 제어 시스템의 안정성 특성을 공식화하기 위해.
• 특히 자동 코더나 투명한 변환을 수행하는 컴파일러에 의해 생성된 경우에도 저수준 C 소프트웨어를 독립적으로 분석할 수 있도록 하기 위해.
• 형식적 방법이 교과서 수준의 안정성 분석을 초월하여 임베디드 제어 코드의 정확성을 검증할 수 있음을 보여주기 위해.

제안 방법

• 제어 소프트웨어의 불변을 유도하기 위한 기초로 리아푸노프 안정성 이론을 사용한다.
• 기호 실행을 적용하여 C 코드를 명령어 수준에서 분석하고, 타원체 불변을 통해 변수 상태를 추적한다.
• 행렬 부등식으로 정의된 타원체를 사용하여 변수 상태를 표현하며, 특이 행렬인 경우에도 일반화된 타원체 집합 ${\cal G}_R$를 통해 가능하게 한다.
• 각 C 문장에 대해 상태 타원체의 행렬 변환을 이용해 사전조건과 사후조건을 구성한다.
• 행렬의 역행렬과 양의 준정부호성 조건을 사용하여, 한 문장의 사후조건이 다음 문장의 사전조건을 함의하는지 검증함으로써 연속성 확인.
• 부동소수점 산술과 컴파일러에 의존하는 평가 순서를 다루기 위해 보수적인 불변 전파를 통해 방법을 확장한다.

실험 결과

연구 질문

• RQ1 연속 시간 제어기의 리아푸노프 안정성 특성이 기계어로 번역된 C 구현에서 형식적으로 유지되고 검증될 수 있는가?
• RQ2 어떻게 형식적 불변을 저수준 C 코드를 통해 구성하고 전파하여 제어 소프트웨어의 정확성을 검증할 수 있는가?
• RQ3 컴파일러에 의존하는 평가 순서는 실시간 제어 계산의 정확성에 어떤 역할을 하는가? 그리고 이를 어떻게 분석할 수 있는가?
• RQ4 타원체 불변을 사용한 기호 실행은 고수준 사양을 초월한 제어 소프트웨어 검증을 위한 타당하고 확장 가능한 방법이 될 수 있는가?
• RQ5 입력 포화와 수치 정밀도 간의 상호작용은 임베디드 제어 코드에서 어떻게 형식적으로 분석할 수 있는가?

주요 결과

• C 코드의 19번 라인 사후조건이 20번 라인 사전조건을 함의함을 성공적으로 검증하여 루프 내에서 일관성이 유지됨을 보여줌.
• 행렬 $ U^{-1} \geq P $ 가 성립함을 입증하여 최종 상태가 요구되는 불변 타원체 내에 유지됨을 확인함.
• 일반화된 타원체 $ {\cal G}_R $ 는 특이 변환인 경우에도 불변 표현을 가능하게 하여 상태 복사 및 재할당의 분석을 가능하게 함.
• 분석 결과, 18번 라인에서 컴파일러에 의존하는 평가 순서가 중간 값에 영향을 줄 수 있음을 드러내며, 보수적인 불변 전파의 필요성을 강조함.
• 이 프레임워크는 입력 포화가 있는 고차수 선형 제어기로도 확장 가능하여 광범위한 적용 가능성을 입증함.
• C 코드 수준의 형식적 검증은 고수준 제어 이론만으로는 발견되지 않는 잠재적 수치적 일관성 오류를 탐지함.