[論文レビュー] Refinement Calculus of Reactive Systems

Viorel Preoteasa, Stavros Tripakis|arXiv (Cornell University)|Jun 23, 2014

Formal Methods in Verification参考文献 55被引用数 6

ひとこと要約

この論文は、出力トレースから入力トレースへの写像を定める単調な性質変換子を用いて、安全でかつライブネス性を満たす性質についての構成的推論を可能にする、反応系のための精錬計算を導入する。これは、無限の動作を扱う古典的精錬計算の一般化であり、高階論理、LTL、および記号的遷移系を用いて、精錬、合成、および互換性の検査をサポートする。

ABSTRACT

Refinement calculus is a powerful and expressive tool for reasoning about sequential programs in a compositional manner. In this paper we present an extension of refinement calculus for reactive systems. Refinement calculus is based on monotonic predicate transformers, which transform sets of post-states into sets of pre-states. To model reactive systems, we introduce monotonic property transformers, which transform sets of output traces into sets of input traces. We show how to model in this semantics refinement, sequential composition, demonic choice, and other semantic operations on reactive systems. We use primarily higher order logic to express our results, but we also show how property transformers can be defined using other formalisms more amenable to automation, such as linear temporal logic (suitable for specifications) and symbolic transition systems (suitable for implementations). Finally, we show how this framework generalizes previous work on relational interfaces so as to be able to express systems with infinite behaviors and liveness properties.

研究の動機と目的

• 逐次プログラムを対象として設計された精錬計算を、無限の動作とライブネス性を有する反応系に拡張すること。
• 精錬、順次合成、魔性の選択、および互換性の検査をサポートする、構成的意味論を反応系に提供すること。
• 先行の関係的インターフェースモデルを、ライブネスおよび受容不能で非決定的なシステムを扱えるように一般化すること。
• 高階論理、線形時相論理（LTL）、および記号的遷移系を含む多様な形式的記法を用いて、仕様記述と検証を可能にすること。

提案手法

• 出力トレースの集合から入力トレースの集合への写像を定める単調な性質変換子を導入し、逐次系から反応系への予測変換子の一般化を実現する。
• 高階論理を用いてシステムの意味論を定義し、性質変換子を入力トレースと出力トレースの間の関係として表現し、状態の変化と制約を統合する。
• LTLを用いて仕様（例：安全：□(x≥0)，ライブネス：□◇(x=1)）をモデル化し、記号的遷移系を実装に用いる。
• 性質変換子間の論理的含意を用いて精錬をサポートし、より抽象的なコンポonentを具象的なものに置き換えることを可能にする。
• 非決定的動作を魔性の選択でモデル化し、前提条件と後件条件に基づく推論を用いて互換性の検査を実施する。
• ライブネス性（例：□◇y）を入出力関係に統合し、入力にかかわらずシステムがその性質を保証することを保証する。

実験結果

リサーチクエスチョン

• RQ1 精錬計算は、無限の動作とライブネス性を有する反応系をサポートするためにどのように拡張可能か？
• RQ2 安全とライブネスの両方の推論を構成的フレームワークで可能にするような、性質変換子を定義することは可能か？
• RQ3 入出力トレースの関係性を用いて、反応系コンポーネント間の互換性を形式的に検査することは可能か？
• RQ4 このフレームワークは、先行の関係的インターフェースモデルを、ライブネスおよび受容不能なシステムを含むように一般化できるか？
• RQ5 精錬は反応系に適用可能であり、動作的サブタイプ型付けとコンポーネントの置換をサポートできるか？

主な発見

• このフレームワークは、出力トレースを入力トレースに変換する単調な性質変換子を用いて反応系を効果的にモデル化し、構成的推論を可能にした。
• 論文は、トレース意味論と前提条件の違反を用いて、非互換なシステム合成（例：A = □(x≥0) と B = □◇(x=1)）を形式的に検出できることを示した。
• 例題システム EXAMPLE は安全（−1 ≤ u ≤ 3）とライブネス（□◇y）をともに強制し、すべての有効な入力がライブネス性を保持することを証明した。
• 論理的含意を用いて精錬を確立した：EXAMPLE ⊑ [x ↝ y | □y] により、より複雑なシステムに置き換えることなく、単純なシステムを用いることが可能である。
• 入力が追加の性質（例：□(x ⇔ ¬x̄)）を満たす場合、ライブネス要件 □◇y が保証され、システムはより単純な記号的遷移系に精錬可能である。
• 恒等的関係 EXAMPLE = EXAMPLE; {y | □◇y} により、EXAMPLE の出力は本質的にライブネス性を満たしており、下流のコンポーネントへの安全な入力として使用可能であることが示された。