[論文レビュー] Verification of railway interlocking systems

Simon Busard, Quentin Cappart+3 more|arXiv (Cornell University)|Jun 11, 2015

Model-Driven Software Engineering Techniques被引用数 6

ひとこと要約

本論文は、SSIアプリケーションデータをカスタムトランスレータを介してNuSMVモデルに変換する自動化フレームワークを提示しており、PyNuSMVを活用したモデルチェックによる137の安全特性の形式的検証を可能としている。このアプローチにより、人的作業の削減、複雑な同時実行エラーの検出、および実際のベルギーの駅における事例研究でルート競合の相互運用性テーブルの生成が達成された。

ABSTRACT

In the railway domain, an interlocking is a computerised system that controls the railway signalling objects in order to allow a safe operation of the train traffic. Each interlocking makes use of particular data, called application data, that reflects the track layout of the station under control. The verification and validation of the application data are performed manually and is thus error-prone and costly. In this paper, we explain how we built an executable model in NuSMV of a railway interlocking based on the application data. We also detail the tool that we have developed in order to translate the application data into our model automatically. Finally we show how we could verify a realistic set of safety properties on a real-size station model by customizing the existing model-checking algorithm with PyNuSMV a Python library based on NuSMV.

研究の動機と目的

• 鉄道相互閉鎖アプリケーションデータの手作業による検証の高コストとミスの多さを是正すること。
• しばしば同時実行関連のエラーを見逃す手作業のテストやコードレビューに依存しないようにすること。
• SSIアプリケーションデータから形式的モデルを自動的に生成するパイプラインを開発すること。
• 記号的モデルチェックを用いて、現実的な相互閉鎖モデル上で包括的な安全特性の検証を実施すること。
• 検証および設定分析を支援する、行動可能な出力（例：ルート相互運用性テーブル）を生成すること。

提案手法

• 相互閉鎖論理をNuSMVにマッピングするカスタムトランスレータツールを用いて、SSIアプリケーションデータを形式的モデルに変換する。
• ドメイン固有言語（DSL）を用いて線路レイアウトを記述し、それらを相互閉鎖モデルと統合する。
• 鉄道信号ルールおよび線路レイアウト制約に基づいて安全特性を定式化し、CTLで表現する。
• 相互閉鎖、列車、特性モデルを統合した単一のSMVモデルに統合し、検証を実施する。
• PyNuSMVを用いてモデルチェック処理をカスタマイズし、パフォーマンス最適化と追加の分析データ抽出を実現する。
• NuSMVを用いた記号的モデルチェックを適用し、生成されたモデル上で不変性および安全特性の検証を実施する。

実験結果

リサーチクエスチョン

• RQ1 SSIアプリケーションデータを、モデルチェックに適した形式的モデルに自動的に変換できるか？
• RQ2 線路レイアウトおよび信号ルールから包括的な安全特性を体系的に導出できるか？
• RQ3 記号的モデルチェックを用いて、大規模な相互閉鎖モデル（例：137の特性）に対して多数の安全特性を検証するのは現実的か？
• RQ4 PyNuSMVに基づくカスタムモデルチェックアルゴリズムは、検証パフォーマンスの向上および有用な相互運用性情報の抽出を可能にするか？
• RQ5 このアプローチは、より大きな鉄道駅における複数の相互閉鎖が通信する状況に対応できるように拡張可能か？

主な発見

• 本フレームワークは、ナムネ駅の実規模相互閉鎖モデル上で137の安全特性を正常に検証し、スケーラビリティを実証した。
• モデルチェック処理は、手作業によるテストやシミュレーションでは困難な、潜在的な同時実行問題を検出できた。
• 自動的にルート相互運用性テーブルが生成され、32組の3路線相互運用可能なルートの組合せが特定され、4路線の組合せは安全でないことが確認された。
• PyNuSMVの使用により、基本的な検証を超えたパフォーマンス最適化と追加の診断データ抽出が可能になった。
• 本アプローチにより、手作業による検証負荷が軽減され、アプリケーションデータの正しさに対する信頼性が向上した。
• 現在のモデルは単一の相互閉鎖に限定されているが、さらなる開発により複数相互閉鎖システムへの拡張が可能である。