[论文解读] Parallel Composition and Modular Verification of Computer Controlled Systems in Differential Dynamic Logic

Simon Lunel, Stefan Mitsch+2 more|arXiv (Cornell University)|Jul 5, 2019

Formal Methods in Verification参考文献 18被引用 14

一句话总结

本文提出了一种基于组件的计算机控制系系统（CCS）验证框架，采用微分动态逻辑（dL），通过控制器与被控对象的并行组合，实现模块化、时序感知的安全性属性证明。该框架引入了一个具有代数性质（结合律、交换律）的时序并行组合算子，并证明了组件契约——编码了反应性与可控性——可被正确组合，从而将全局系统验证简化为对各个组件的独立、参数化证明。

ABSTRACT

Computer-Controlled Systems (CCS) are a subclass of hybrid systems where the periodic relation of control components to time is paramount. Since they additionally are at the heart of many safety-critical devices, it is of primary importance to correctly model such systems and to ensure they function correctly according to safety requirements. Differential dynamic logic $d\\mathcal{L}$ is a powerful logic to model hybrid systems and to prove their correctness. We contribute a component-based modeling and reasoning framework to $d\\mathcal{L}$ that separates models into components with timing guarantees, such as reactivity of controllers and controllability of continuous dynamics. Components operate in parallel, with coarse-grained interleaving, periodic execution and communication. We present techniques to automate system safety proofs from isolated, modular, and possibly mechanized proofs of component properties parameterized with timing characteristics.

研究动机与目标

• 为解决具有精确时序约束（如控制器反应性与被控对象可控性）的安全关键计算机控制系系统（CCS）的验证挑战。
• 通过将复杂系统分解为可独立验证的组件并使用正式契约，实现模块化验证。
• 通过确保组件在粗粒度交错执行下的正确组合，支持可扩展的自底向上系统设计。
• 形式化并自动化多个反应式控制器与可控被控对象的组合，以保持安全性和时序保证。

提出的方法

• 基于粗粒度交错与周期性执行，在dL中引入一个时序并行组合算子，支持对组件的模块化推理。
• 定义了封装领域、时序（反应性δ）与不变式（可控性C）的组件契约，其参数化于时序特性。
• 应用dL中的定理，证明契约在组合下保持不变，使用max+代价函数建模时序依赖。
• 利用KeYmaera X作为定理证明器，对证明进行机械化，并将框架实现为可重用的策略。
• 通过将时序约束整合到组合中，扩展了先前工作，确保控制器反应性不超过被控对象可控性。
• 提供了一套系统化方法，用于组合多个控制器（MRCtrl）、多个被控对象（MPlant）及其组合（MCCS），同时保持安全性和时序属性。

实验结果

研究问题

• RQ1 如何将基于组件的验证扩展至支持计算机控制系系统中的时序约束，如控制器反应性与被控对象可控性？
• RQ2 何种正式组合机制可确保在并行组合多个控制器与被控对象时，安全性与时序契约依然有效？
• RQ3 控制器与被控对象的并行组合是否能保持结合律与交换律等代数性质，从而支持大规模系统的可扩展性？
• RQ4 如何将独立组件的模块化证明组合为全局系统安全性的证明，同时对组件交互施加最小假设？
• RQ5 何种技术可仅通过孤立的、组件级的证明（含时序参数）实现系统级安全证明的自动化？

主要发现

• 所提出的dL中并行组合算子保持了结合律与交换律的代数性质，支持大规模系统的可扩展验证。
• 编码了反应性（δ）与可控性（C）的组件契约在组合下保持不变，确保系统集成过程中安全性属性得以维持。
• 该框架通过仅组合孤立的、模块化的控制器与被控对象证明，实现了全局系统安全性证明，仅需对时序兼容性施加温和假设。
• 使用max+代价函数可精确建模组合过程中的时序约束，支持真实世界的网络物理系统设计。
• 定理与证明规则已形式化，并可作为KeYmaera X定理证明器中的策略实现，支持模块化验证的自动化。
• 该方法支持将多个控制器与被控对象组合为多计算机控制系系统（MCCS），为工业规模的验证铺平道路。