[论文解读] Informal Control code logic

J.A. Bergstra|arXiv (Cornell University)|Sep 15, 2010

Software Testing and Debugging Techniques参考文献 34被引用 7

一句话总结

本文提出了非正式控制代码逻辑（ICCL），一种用于推理安全关键嵌入式系统中控制代码的理论框架。它主张在形式分析无法完全替代执行验证的场景下，尤其是面临时间压力或规格说明不完整时，测试——特别是真实设备环境中的嵌入式测试——是不可或缺的。

ABSTRACT

General definitions as well as rules of reasoning regarding control code production, distribution, deployment, and usage are described. The role of testing, trust, confidence and risk analysis is considered. A rationale for control code testing is sought and found for the case of safety critical embedded control code.

研究动机与目标

• 开发一个整体性的概念模型，以理解控制代码及其在数字系统中的作用，特别是在安全关键场景中。
• 在基于逻辑的框架内，形式化控制代码的生产、部署、测试与风险分析的推理过程。
• 为控制代码测试（尤其是嵌入式系统中的测试）建立理论依据，因为在形式验证单独使用时可能不足。
• 明确区分纯控制代码测试与嵌入式控制代码测试，并论证后者在安全关键应用中的必要性。

提出的方法

• 使用富有想象力的定义，如IDBR（按角色的非正式描述）、LSCD（逻辑孤立概念定义）和SCFD（分层概念族定义），以界定控制代码和箱（被代码控制的设备）等核心概念。
• 应用合成与分析执行架构，以建模控制代码在设备中的执行方式，从而支持对行为与正确性的推理。
• 提出控制相关动作的分类体系，如交付、加载、使用、无用性及风险分析，以结构化决策过程。
• 提出观点：对安全关键控制代码的信心源于测试、对制造商的信任以及对执行架构的非正式分析的结合。
• 主张当规格说明不精确或时间压力限制形式分析时，嵌入式测试是必不可少的，使得基于执行的验证成为不可避免的选择。
• 引入控制编码设备普遍性的哲学概念，作为假设：原则上可以找到正确的控制代码。

实验结果

研究问题

• RQ1 何种概念框架能够实现对嵌入式系统中控制代码生命周期的连贯推理？
• RQ2 当存在形式验证时，为何控制代码测试——尤其是嵌入式测试——是必要的？
• RQ3 测试、风险分析与信任如何共同支持安全关键控制代码部署中的决策制定？
• RQ4 在何种情况下，形式分析可被测试替代？在何种情况下，测试是不可替代的？
• RQ5 设备的普遍性感知在论证正确控制代码存在的合理性方面发挥何种作用？

主要发现

• 当形式分析不完整或受时间限制时，控制代码测试对于建立对安全关键系统的信心至关重要。
• 嵌入式控制代码测试——即在实际设备环境中进行的测试——即使已知分析性执行架构，也无法被通用形式方法所替代。
• 当系统规格说明和接口定义不清晰时，测试更具信息量，因为它减少了情境不确定性，而非代码特定的不确定性。
• 若对修改后的控制代码变体的测试失败，而原始代码未失败，则强烈表明原始代码具有安全关键性。
• 在时间压力下，对制造商的信任以及以往成功的测试结果，可作为对控制代码信心的合理依据。
• 在假设设备普遍性的基础上，结合非正式推理，即使缺乏完整的形式建模，也可在原则上推断出正确控制代码的存在。