[论文解读] A Continuous-Time Model of an Autonomous Aerial Vehicle to Inform and Validate Formal Verification Methods

Murray Ireland, R. Hoffmann+3 more|arXiv (Cornell University)|Sep 1, 2016

Formal Methods in Verification参考文献 23被引用 4

一句话总结

本文提出了一种连续时间仿真模型，用于模拟四旋翼无人机执行自主任务，以支持并验证形式化验证模型。通过蒙特卡洛仿真，生成了诸如故障率和成功率等定量任务属性，指导了针对PRISM中概率模型检查的抽象符号模型的开发，从而实现对自主飞行系统的更精确、更全面的验证。

ABSTRACT

If autonomous vehicles are to be widely accepted, we need to ensure their safe operation. For this reason, verification and validation (V&V) approaches must be developed that are suitable for this domain. Model checking is a formal technique which allows us to exhaustively explore the paths of an abstract model of a system. Using a probabilistic model checker such as PRISM, we may determine properties such as the expected time for a mission, or the probability that a specific mission failure occurs. However, model checking of complex systems is difficult due to the loss of information during abstraction. This is especially so when considering systems such as autonomous vehicles which are subject to external influences. An alternative solution is the use of Monte Carlo simulation to explore the results of a continuous-time model of the system. The main disadvantage of this approach is that the approach is not exhaustive as not all executions of the system are analysed. We are therefore interested in developing a framework for formal verification of autonomous vehicles, using Monte Carlo simulation to inform and validate our symbolic models during the initial stages of development. In this paper, we present a continuous-time model of a quadrotor unmanned aircraft undertaking an autonomous mission. We employ this model in Monte Carlo simulation to obtain specific mission properties which will inform the symbolic models employed in formal verification.

研究动机与目标

• 通过形式化方法解决对自主飞行器（UAV）进行验证的挑战，确保方法既全面又适用于复杂的时间依赖系统。
• 通过蒙特卡洛仿真提取定量任务属性，弥合高保真仿真与符号形式验证之间的差距。
• 构建一个框架，使仿真结果能够验证并指导在PRISM中使用概率模型检查的抽象过程。
• 识别在抽象符号模型中被忽略但在连续时间仿真中被捕捉到的系统级行为和故障模式。
• 通过将仿真数据与形式化验证模型相连接，为可重用、可适应的自主系统验证框架奠定基础。

提出的方法

• 开发了四旋翼无人机在执行目标投递任务时的连续时间数学模型，定义了若干状态：起飞、搜索、探测、抓取、投递、返航。
• 实现了有限状态机（FSM）以支持自主控制，包含搜索、探测、抓取、返航至基地以及重新捕获目标等模式。
• 使用蒙特卡洛仿真运行2,000次任务迭代，捕捉随机行为，如随机的目标和投放点位置、传感器感知以及电池退化。
• 量化了任务结果，包括成功率/失败率、完成时间，以及失败原因（如目标未被探测到或目标与投放点位置重合）。
• 从仿真中提取定量指标（如故障概率、预期任务时长）以指导PRISM模型检查中抽象符号模型的构建。
• 识别出仿真与符号模型之间的差异，特别是在处理时间依赖行为和系统级细节（如传感器遮挡和延迟）方面。

实验结果

研究问题

• RQ1 如何利用连续时间仿真生成可靠的定量任务属性，以指导无人机形式化验证的抽象过程？
• RQ2 在自主无人机任务中，哪些关键故障模式在仿真中被捕捉到，但在抽象符号模型中可能被遗漏？
• RQ3 与高保真仿真相比，符号模型中的简化假设（如理想传感器、无延迟）在多大程度上导致验证结果不准确？
• RQ4 蒙特卡洛仿真结果能否系统性地用于验证和优化PRISM中概率模型检查所用的符号模型？
• RQ5 哪些关键的系统级动态行为（如电池退化或传感器遮挡）必须在符号模型中保留，以确保验证的准确性？

主要发现

• 仿真显示，即使无人机成功投递了三个目标中的两个，任务仍可能失败，原因在于目标与投放点位置的随机重合。
• 约10%的任务失败是由于目标位于环境角落导致无法探测，这一情况在初始FSM设计中未被预料。
• 当任务开始时目标已处于投放半径内，但无人机因无法探测而误判任务已失败。
• 传感器和执行器的局限性（如机械臂遮挡摄像头、目标检测延迟）未在初始符号模型中体现，导致验证结果过于乐观。
• 仿真揭示了原始设计中缺失的FSM状态，如“重新捕获目标”和“返回搜索”，凸显了抽象过程中的差距。
• 仿真所得的定量数据（如故障概率和预期任务时长）对于改进符号模型以更真实反映现实动态至关重要。