[論文レビュー] On Methods for the Formal Specification of Fault Tolerant Systems

Manuel Mazzara|arXiv (Cornell University)|Jul 8, 2012

Software Reliability and Analysis Research被引用数 8

ひとこと要約

本稿では、通常動作と異常動作を別々のレイヤーに分離することで、フォーマルにフェイルセーフシステムを仕様化する手法であるLayered Fault Tolerant Specification (LFTS)を提案する。環境の故障をモデル化するためのエラーインジェクタ（EI）とRely/Guarantee推論を用いることで、干渉下でも正しく動作するシステムの動作を保証する。主な貢献は、明確で拡張可能なフレームワークを提供し、実世界のシステムにおける仕様の明確化とフェイルセーフ性の向上を実現したことである。自動車のクルーズコントロールを用いた事例検証により有効性が確認された。

ABSTRACT

This paper introduces different views for understanding problems and faults with the goal of defining a method for the formal specification of systems. The idea of Layered Fault Tolerant Specification (LFTS) is proposed to make the method extensible to fault tolerant systems. The principle is layering the specification in different levels, the first one for the normal behavior and the others for the abnormal. The abnormal behavior is described in terms of an Error Injector (EI), which represents a model of the erroneous interference coming from the environment. This structure has been inspired by the notion of idealized fault tolerant component but the combination of LFTS and EI using Rely/Guarantee reasoning to describe their interaction can be considered as a novel contribution. The progress toward this method and this way to organize fault tolerant specifications has been made experimenting on case studies and an example is presented.

研究の動機と目的

• 現実の物理的環境で動作するシステムの形式的仕様化手法を開発すること。特に、環境由来の故障を形式的にモデル化する必要がある。
• 基本的な形式的記法を超えて、構造的かつ拡張可能な形式的仕様手法の欠如に取り組むこと。
• 問題の静的・動的ビューと故障モデリングを形式化することで、要件工学におけるコミュニケーションと正確性を向上させること。
• 正常動作と異常動作のレイヤーに仕様を構造化し、形式的条件を設けることで、干渉下でも信頼性の高いシステム動作を実現すること。
• 実用的な事例研究を通じて手法を検証すること。具体的には、故障処理を備えた自動車クルーズコントロールシステムを含む。

提案手法

• 通常動作用と故障状態下での異常動作用の別々のレイヤーにシステム動作を分類する、Layered Fault Tolerant Specification (LFTS) を提案する。
• 環境の故障を形式的にモデル化するエラーインジェクタ（EI）を導入し、誤った入力やシステムの摂動をシミュレートする。
• Rely/Guarantee推論を用いて、システムとエラーインジェクタの相互作用を形式的に検証し、干渉下でも正しく動作することを保証する。
• 二層構造を採用する。第一層は、事前条件（P）、事後条件（R）、不変条件（Q）を用いて通常動作を指定する。第二層は、弱い保証（G）を用いて故障回復動作を指定する。
• 数学的モデルの完全な記述を避けることで、自然言語による仕様記述を採用し、アクセス性を高める。
• 簡略化された自動車クルーズコントロールの事例研究を通じて、故障検出が安全停止を引き起こすメカニズムを示し、誤った制御動作を回避できることを検証する。

実験結果

リサーチクエスチョン

• RQ1 実世界のシステムにおいて、通常動作と故障誘発動作を両方取り扱えるように、形式的仕様手法をどのように構造化できるか？
• RQ2 一括的または臨時のアプローチに依存せずに、環境の故障を形式的仕様に効果的にモデル化する方法は何か？
• RQ3 レイヤー構造の形式的仕様フレームワークにおいて、故障インジェクション下でのシステム動作を検証するためにRely/Guarantee推論をどのように適応できるか？
• RQ4 モノリシックな形式的仕様と比較して、レイヤー構造の仕様アプローチは、フェイルセーフシステム設計における明確さと正しさをどのように向上させられるか？
• RQ5 静的および動的ビューを、フェイルセーフ性をサポートする形式的手法においてどのように一貫的に統合できるか？

主な発見

• LFTS手法により、通常動作と故障処理動作の責任の分離が明確になり、仕様の保守性と正しさが向上した。
• エラーインジェクタ（EI）とRely/Guarantee推論の統合により、環境の故障下でのシステム動作の形式的検証が可能になった。
• クルーズコントロールの事例研究において、故障検出と安全停止のモデル化が正しく行われ、センサデータが不正に改ざんされた場合でも危険な制御動作を回避できた。
• 干渉下でも『count = n かつ overline{n} = 0』といった事後条件が保持されることを示し、耐障害性の高さを実証した。
• 異なる故障モデルや検証条件を容易に統合できるため、実用的なツール連携と拡張性を備えた。
• ジャクソン図のような形式的手法の拡張を可能にし、静的および動的ビューをフェイルセーフシステム設計において統合する基盤を提供した。