[논문 리뷰] Verified Runtime Validation for Partially Observable Hybrid Systems

Stefan Mitsch, André Platzer|arXiv (Cornell University)|2018. 11. 15.

Formal Methods in Verification참고 문헌 33인용 수 7

한 줄 요약

이 논문은 부분적으로 관찰 가능한 하이브리드 시스템을 위한 런타임 모니터링을 공식적으로 검증된 방법으로 제안하며, 검증된 하이브리드 시스템 모델에서 증명 가능하게 올바른 모니터 조건을 합성한다. 유한한 센서 불확실성과 액추에이터 교란을 고려함으로써, 만족된 모니터 조건이 런타임에서 증명 가능한 안전성을 의미하게 하여, 모델의 이탈을 조기에 탐지하고 공식적인 정당성 보장을 갖는 후속 제어를 가능하게 한다.

ABSTRACT

Formal verification provides strong safety guarantees but only for models of cyber-physical systems. Hybrid system models describe the required interplay of computation and physical dynamics, which is crucial to guarantee what computations lead to safe physical behavior (e.g., cars should not collide). Control computations that affect physical dynamics must act in advance to avoid possibly unsafe future circumstances. Formal verification then ensures that the controllers correctly identify and provably avoid unsafe future situations under a certain model of physics. But any model of physics necessarily deviates from reality and, moreover, any observation with real sensors and manipulation with real actuators is subject to uncertainty. This makes runtime validation a crucial step to monitor whether the model assumptions hold for the real system implementation. The key question is what property needs to be runtime-monitored and what a satisfied runtime monitor entails about the safety of the system: the observations of a runtime monitor only relate back to the safety of the system if they are themselves accompanied by a proof of correctness! For an unbroken chain of correctness guarantees, we, thus, synthesize runtime monitors in a provably correct way from provably safe hybrid system models. This paper addresses the inevitable challenge of making the synthesized monitoring conditions robust to partial observability of sensor uncertainty and partial controllability due to actuator disturbance. We show that the monitoring conditions result in provable safety guarantees with fallback controllers that react to monitor violation at runtime.

연구 동기 및 목표

• 검증된 하이브리드 시스템 모델의 공식적 안전 보장을 실제 CPS 구현으로 이행하는 데 있어 불확실성 하에서의 핵심 과제를 해결하기 위해.
• 부분적 관측 가능성과 제어 가능성 조건 하에서 시스템 안전을 보장하기 위해 런타임에 모니터링되어야 할 정확한 성질을 규명하기 위해.
• 모니터링 조건이 실제 시스템의 안전성을 증명 가능하게 이끌어내도록, 검증된 모델에서 모니터를 합성하는 방법을 개발하기 위해.
• 불안전한 환경적 행동과 센서/액추에이터의 불확실성으로 인한 이탈을 구분하여, 타겟된 후속 제어를 가능하게 하기 위해.

제안 방법

• 이 방법은 차분 동역학 논리(dL)를 사용하여, 검증된 하이브리드 시스템 모델에 대해 증명 가능하게 올바른 모니터 조건를 공식적으로 명시한다.
• 모델에 유한한 센서 불확실성과 액추에이터 교란을 통합하여, 부분적 관측 가능성과 제어 가능성에 명시적으로 대응한다.
• 정확성과 유한한 변동에 대한 강건성을 보장하는 증명 전략을 사용하여, 사전에 모니터 조건을 합성한다.
• 현재 상태와 모델의 동역학을 바탕으로 향후 불안전 행동을 예측함으로써, 잠재적인 안전 위반을 조기에 경고하는 모니터를 생성한다.
• 런타임 모니터는 실수 산술을 사용하여 실시간 센서 데이터를 합성된 조건과 비교하여, 빠르고 신뢰할 수 있는 결정을 내린다.
• Simplex 스타일의 런타임 아키텍처는 모니터 조건 위반이 발생할 경우 후속 제어기를 작동시켜, 모델 이탈 상황에서도 안전성을 보장한다.

실험 결과

연구 질문

• RQ1 센서 불확실성과 액추에이터 교란이 존재하는 상황에서, 런타임에 어떤 성질을 모니터링해야 시스템 안전을 증명 가능하게 보장할 수 있는가?
• RQ2 검증된 하이브리드 시스템 모델에서 어떻게 모니터 조건을 합성할 수 있는가? 이 조건의 만족이 실제 CPS의 안전성을 의미하도록 보장하기 위해.
• RQ3 이 방법은 어떻게 불안전한 환경적 행동과 센서/액추에이터의 불확실성으로 인한 이탈을 구분할 수 있는가?
• RQ4 이 방법은 안전 상태에 도달한 후 반응하는 것이 아니라, 불안전 상태에 도달하기 이전에 조기에 경고를 제공할 수 있는가?
• RQ5 모니터링 과정의 정확성과 사전 안전성 증명과의 연결에 대해 어떤 공식적 보장을 제공할 수 있는가?

주요 결과

• 제안된 방법은 검증된 하이브리드 시스템 모델에 대해 공식적으로 증명된 정확한 모니터 조건을 합성하여, 모니터 조건의 만족이 시스템 안전성을 의미하게 한다.
• 모니터는 유한한 센서 불확실성과 액추에이터 교란에 강건하여, 시간이 지남에 따라 모델 이탈을 신뢰성 있게 탐지할 수 있다.
• 현재 상태와 동역학을 바탕으로 향후 불안전 행동을 예측함으로써, 잠재적인 안전 위반을 조기에 탐지할 수 있다.
• 기존 방법들과 달리, 이 방법은 연속적인 동역학과 센서/액추에이터 행동을 명시적으로 모델링하여 이산적 샘플링이나 조각별로 일정한 행동을 가정하지 않는다.
• 이 방법은 비용이 많이 드는 검증 및 합성 계산을 사전에 이행하여, 센서 입력에 대한 실수 산술만을 사용하는 빠른 런타임 평가를 가능하게 한다.
• 이 프레임워크는 모니터 위반이 발생할 경우 후속 제어기가 작동하는 Simplex 스타일 아키텍처를 지원하여, 모델 이탈 상황에서도 안전성을 보장한다.