[论文解读] IMITATOR II: A Tool for Solving the Good Parameters Problem in Timed Automata

Étienne André|Nov 1, 2010

Formal Methods in Verification被引用 7

一句话总结

IMITATOR II 是一种经过验证的工具，通过结合逆方法与行为制图法，解决了参数化时序自动机中的好参数问题。它能高效地合成参数约束，确保与参考赋值的轨迹等价行为，覆盖高达 100% 的有界参数域，并显著扩展至域外区域，相较于先前版本性能提升最高达 2000 倍。

ABSTRACT

We present here Imitator II, a new version of Imitator, a tool implementing the "inverse method" for parametric timed automata: given a reference valuation of the parameters, it synthesizes a constraint such that, for any valuation satisfying this constraint, the system behaves the same as under the reference valuation in terms of traces, i.e., alternating sequences of locations and actions. Imitator II also implements the "behavioral cartography algorithm", allowing us to solve the following good parameters problem: find a set of valuations within a given bounded parametric domain for which the system behaves well. We present new features and optimizations of the tool, and give results of applications to various examples of asynchronous circuits and communication protocols.

研究动机与目标

• 解决在时序自动机中对无限参数赋值进行系统正确性验证的挑战。
• 克服基于暴力搜索或模型检测方法在参数化验证中的可扩展性限制。
• 为好参数问题提供实用解决方案：识别确保系统安全与正确行为的鲁棒参数集合。
• 通过先进的约束合成技术，实现对复杂异步电路与通信协议的高效、可扩展分析。
• 将参数化验证的应用范围从离散点扩展至参数空间的密集、无界区域。

提出的方法

• 应用逆方法，将单个‘好’的参数赋值泛化为保持轨迹等价性的密集约束集合。
• 使用行为制图法系统探索有界实值参数域 $V_0$ 内的整数点。
• 对 $V_0$ 中的每个整数点，调用逆方法生成一个‘瓷砖’——即描述具有等价行为的参数空间区域的约束。
• 利用帕尔玛多面体库（PPL）与 Apron 库，高效执行凸多面体运算与约束操作。
• 实现参数化时序自动机的即时组合，避免状态空间构建过程中的内存爆炸。
• 通过在不动点检查中引入约束包含关系而非精确相等，优化逆方法算法，提升收敛性与可扩展性。

实验结果

研究问题

• RQ1 逆方法能否在具有多个参数的真实系统中高效扩展，以解决好参数问题？
• RQ2 行为制图法在覆盖整个有界参数域 $V_0$ 的同时，能在多大程度上扩展至无界区域？
• RQ3 IMITATOR II 的性能与前代工具相比如何，特别是在计算时间与内存使用方面？
• RQ4 该工具能否处理复杂的大规模系统，如包含数百个自动机与多个参数的异步电路？
• RQ5 在真实世界案例研究（如通信协议与存储器电路）中，合成的参数约束的覆盖范围与鲁棒性如何？

主要发现

• IMITATOR II 相较原始 Imitator 工具实现了 10 倍至 2000 倍的性能提升，其中 SPSMALL 1 存储器电路的提升达到 2000 倍。
• 行为制图法算法在除根竞争协议（Root Contention Protocol）外的所有示例中均实现了对实值参数域 $V_0$ 的 100% 覆盖；在 RCP 案例中实现了 99.99% 的覆盖。
• 参数空间中 $V_0$ 之外的显著区域也得到覆盖，无界瓷砖延伸至初始域之外的区域。
• 对于 RCP 案例研究，共计算出 19 个瓷砖，耗时 7018 秒，覆盖 $V_0$ 中的 186,050 个整数点，每个瓷砖平均包含 5,688 个状态与 9,312 条转移。
• 该工具成功分析了复杂系统，如 Valmem 锁存器（7 个自动机，4 个参数）与 CSMA/CD 协议（3 个自动机，3 个参数），展示了良好的可扩展性。
• 除在不同 $V_0$ 下的 'And–Or' 电路外，所有测试示例均成功终止，表明当逆方法在某些点失效时，可能存在非终止情况。