[論文レビュー] Making Agile Development Processes fit for V-style Certification Procedures

Sergio Bezzecchi, Paolo Crisafulli+2 more|arXiv (Cornell University)|May 16, 2019

Advanced Software Engineering Methodologies参考文献 7被引用数 4

ひとこと要約

本稿では、安全・セキュリティ規制が厳しい輸送システムのVスタイル認証を可能にするために、形式手法と統合された新規なアジャイル開発プロセスを提示する。Isabelle/HOLと継続的検証・認証環境（CVCE）を活用することで、要件からコードに至るまでのエンドツーエンドのトレーサビリティ、形式的整合性、および迅速な機械検査可能な影響分析を確保する。実証例として、seL4上で動作する鉄道用途向けに形式的に検証されたオドメトリックサブシステムが提示されている。

ABSTRACT

We present a process for the development of safety and security critical components in transportation systems targeting a high-level certification (CENELEC 50126/50128, DO 178, CC ISO/IEC 15408). The process adheres to the objectives of an "agile development" in terms of evolutionary flexibility and continuous improvement. Yet, it enforces the overall coherence of the development artifacts (ranging from proofs over tests to code) by a particular environment (CVCE). In particular, the validation process is built around a formal development based on the interactive theorem proving system Isabelle/HOL, by linking the business logic of the application to the operating system model, down to code and concrete hardware models thanks to a series of refinement proofs. We apply both the process and its support in CVCE to a case-study that comprises a model of an odometric service in a railway-system with its corresponding implementation integrated in seL4 (a secure kernel for which a comprehensive Isabelle development exists). Novel techniques implemented in Isabelle enforce the coherence of semi-formal and formal definitions within specific certification processes in order to improve their cost-effectiveness . This paper has been published at ERTS2018.

研究の動機と目的

• Vスタイル認証プロセス（例：CENELEC、DO 178C、CC ISO/IEC 15408）の厳格な文書化およびトレーサビリティ要件と、アジャイル開発の原則を調和させること。
• 開発アーティファクトのツール支援による機械検査可能な整合性を活用することで、形式的認証における時間とコストを削減し、「認証の危機」を是正すること。
• 要件および設計に対する日常的で分散型の変更を可能にしつつ、形式的証明と自動影響分析を通じて完全なトレーサビリティと一貫性を維持すること。

提案手法

• Isabelle/HOL上に構築された継続的検証・認証環境（CVCE）を用いて、要件からコードに至るまでのすべての開発アーティファクトを統合・検証する。
• インタラクティブ定理証明を用いて、ビジネスロジックとオペレーティングシステムモデル、低レベルコードを形式的に関連付け、精錬チェーンにより正しさを保証する。
• レイトン形式の定義と形式的定義を適用することで、準形式的表現と形式的表現の間を橋渡し、明確性と一貫性を向上させる。
• Isabelle/AutoCorresを介したC-to-HOLコンパイラを実装し、手書きのCコードが形式的仕様と整合することを検証する。
• seL4マイクロカーネル上で実行可能なコードに至るまで、高レベルの要件からエンドツーエンドに検証を実施し、オドメトリック計算の正確性に関する証明を実施した。
• 自動およびインタラクティブ証明手法を統合し、開発プロセス中における迅速なフィードバックと影響分析を支援する。

実験結果

リサーチクエスチョン

• RQ1 どのようにしてアジャイル開発の原則を、Vスタイル認証プロセスの形式的かつトレーサビリティが重視される要件と効果的に統合できるか？
• RQ2 安全・信頼性が求められるシステムにおいて、要件、設計、実装の間で継続的かつ機械検査可能な整合性を実現するための技術的インfraストラクチャは何か？
• RQ3 形式的技法が、アジャイル性を損なわず、産業現場においてリワークや認証コストをどれほど削減できるか？
• RQ4 鉄道用オドメトリックサブシステムのような実世界のシステムに形式的検証をスケーラブルに適用するには、どのような実用的妥当性を確保できるか？
• RQ5 統一された形式的環境が、開発中の迅速な影響分析と変更管理をどのように可能にするか？

主な発見

• 提案されたCVCEベースのプロセスにより、要件および設計に対する日常的で分散型の変更が可能となり、機械検査可能な整合性が確保された。これにより、リワークや認証遅延が顕著に削減された。
• Isabelle/HOLにおける形式的証明により、鉄道用オドメトリックサブシステムの要件とseL4上でのC実装との間が正しく結びつけられ、限定精度演算が定義された条件下で理想化された有理数計算を適切に近似することが保証された。
• レイトン形式の定義と形式的定義の活用により、準形式的および形式的コンテンツのシームレスな統合が実現され、認証アーティファクトにおける明確性の向上と曖昧さの低減が達成された。
• C-to-HOLコンパイルおよび検証パイプラインにより、手書きのCコードが形式的odostep関数を正しく実装していることが確認され、近似の保証を示す証明が確立された。
• 鉄道用オドメトリックケーススタディを通じて、形式的技法が重要なコンポONENTに限定して適用された場合、産業現場においてコスト効率的であることが実証された。
• Isabelle/HOLとCVCEの統合により、包括的なトレーサビリティと再現性が達成され、認証要件を満たすとともに、アジャイル開発の実践を支援した。