[논문 리뷰] Formal Specification & Analysis of Autonomous Systems in PrCCSL/Simulink Design Verifier

Eun-Young Kang, Li Huang|arXiv (Cornell University)|2018. 06. 20.

Formal Methods in Verification참고 문헌 13인용 수 5

한 줄 요약

이 논문은 확장된 시계 제약 명세 언어(PrCCSL)와 Simulink Design Verifier(SDV)를 사용하여 자율주행차(AV) 시스템을 위한 형식적 확률 모델링 및 검증 프레임워크를 제안한다. 약한 하드 타이밍 제약 조건의 확률적 성질을 지닌 확률적 확장된 CCSL를 도입하여 이를 검증 가능한 증명 목표 모델(POMs)로 변환하고, 확률적 타이밍 제약 조건 하에서 높은 성공률을 보이는 정량적 검증 결과를 포함한 AV 교통 표지 인식 사례 연구를 통해 접근법을 검증한다.

ABSTRACT

Modeling and analysis of timing constraints is crucial in automotive systems. EAST-ADL is a domain specific architectural language dedicated to safety-critical automotive embedded system design. In most cases, a bounded number of violations of timing constraints in systems would not lead to system failures when the results of the violations are negligible, called Weakly-Hard (WH). We have previously specified EAST-ADL timing constraints in Clock Constraint Specification Language (CCSL) and transformed timed behaviors in CCSL into formal models amenable to model checking. Previous work is extended in this paper by including support for probabilistic analysis of timing constraints in the context of WH: Probabilistic extension of CCSL, called PrCCSL, is defined and the EAST-ADL timing constraints with stochastic properties are specified in PrCCSL. The semantics of the extended constraints in PrCCSL is translated into Proof Objective Models that can be verified using SIMULINK DESIGN VERIFIER. Furthermore, a set of mapping rules is proposed to facilitate guarantee of translation. Our approach is demonstrated on an autonomous traffic sign recognition vehicle case study.

연구 동기 및 목표

• 안전이 중요한 자동차 시스템에서 약한 하드 타이밍 제약 조건에 대한 형식적 확률 분석의 부족을 해결하기 위해.
• 결정론적 시계 제약 명세 언어(CCSL)에 확률적 의미 체계를 확장하여 확률적 타이밍 행동을 모델링하기 위해.
• EAST-ADL/TADL 기반 AV 시스템을 Simulink Design Verifier(SDV)를 통해 신뢰할 수 있는 번역 파이프라인을 통해 형식적 검증할 수 있도록 하기 위해.
• PrCCSL 타이밍 제약 조건에서 SDV에서 검증 가능한 증명 목표 모델(POMs)으로의 체계적 매핑을 제공하기 위해.
• 실제 자율주행차 사례 연구에서 프레임워크의 타당성과 효율성을 입증하기 위해.

제안 방법

• 확률적 타이밍 제약 조건을 표현할 수 있도록 CCSL의 확률적 확장인 PrCCSL를 정의한다. 예를 들어, 확률적 하위시계, 지연, 확률 임계값을 가진 동시성/배제를 포함한다.
• 특정 확률(예: 95%) 이내에 한 이벤트가 다른 이벤트보다 먼저 발생해야 함을 지정하기 위해 ⪯p 및 ≺p 등의 확률 연산자를 도입한다.
• PrCCSL 표현식을 SDV가 형식적 검증을 수행할 수 있는 Simulink/Stateflow 모델로 변환하는 공식적인 번역 매핑을 개발한다.
• 번역된 Simulink 모델에서 증명 목표 모델(POMs)을 구성하여 확률적 타이밍 제약 조건을 형식적 검증 목표로 표현한다.
• PrCCSL에서 SDV 호환 모델로의 번역 과정에서 정확성과 완전성을 보장하기 위한 일련의 체계적 매핑 규칙을 정의한다.
• EAST-ADL 기반 기능 아키텍처와 TADL 타이밍 제약 조건을 통합하고, 이를 PrCCSL로 형식화한 후 SDV의 확률적 분석 기능을 활용해 검증한다.

실험 결과

연구 질문

• RQ1 어떻게 하면 자동차 시스템에서 약한 하드 및 확률적 행동을 모두 지원하는 방식으로 확률적 타이밍 제약 조건을 형식적으로 명세화할 수 있는가?
• RQ2 타이밍 제약 조건에 대한 확률적 추론을 지원하기 위해 CCSL에 필요한 핵심 의미 체계 확장은 무엇인가?
• RQ3 PrCCSL 명세를 어떻게 체계적이고 정확하게 SDV에서 검증 가능한 형식 모델로 변환할 수 있는가?
• RQ4 확률적 타이밍 제약 조건은 AV 시스템의 검증 커버리지와 성능에 어떤 영향을 미치는가?
• RQ5 제안된 프레임워크는 실제 자율주행차 사례 연구에서 종단 간 타이밍 제약 조건을 효과적으로 검증할 수 있는가?

주요 결과

• 제안된 PrCCSL 프레임워크는 특정 신뢰 수준을 지닌 약한 하드 타이밍 제약 조건을 모델링하기 위해 CCSL에 확률 연산자를 성공적으로 확장하였다.
• PrCCSL에서 SDV에서 검증 가능한 POM으로의 번역은 효과적이었으며, 지정된 확률적 제약 조건 하에서 31개의 검증 목표(R1–R31) 전부가 통과되었다.
• 검증 결과는 높은 성공률을 보였으며, 예를 들어 R17 (signIn DelayFor 250 on ms) ⪯0.95 {signIn DelayFor (Wctrl + Wvd) on ms}는 17.88%의 검증 시간과 6309개의 테스트 케이스로 통과되었다.
• 복잡한 AV 사례 연구에서 본 접근법은 확률적 제약 조건이 포함된 경우에도 확장성과 정확성을 입증하였으며, 예를 들어 {cmrTrig DelayFor 430 on ms} ⪯0.95 {cmrTrig DelayFor (Wcmr + Wsr + Wctrl + Wvd) on ms}와 같은 제약 조건도 성공적으로 검증되었다.
• 배제 제약 조건인 emgcy #0.95 turnLeft는 233.6초의 검증 시간과 22,861개의 테스트 케이스로 통과되어 확률적 간섭 하에서도 강건함을 확인하였다.
• 높은 계산 비용에도 불구하고, 본 방법은 CPS, 특히 자율 시스템에서의 초기 단계에서의 확률적 타이밍 검증을 위해 형식적으로 타당하고 추적 가능한 길을 제공한다.