[论文解读] A Generic Model of Contracts for Embedded Systems

Albert Benveniste, Benoı̂t Caillaud+1 more|ArXiv.org|Jun 11, 2007

Formal Methods in Verification参考文献 12被引用 30

一句话总结

本文提出了一种嵌入式系统的通用数学模型，用于合同形式化，通过将假设和保证形式化为行为约束，实现基于组件的推测性设计。该模型引入了一种基于轨迹语义的组合理论，包含组合、合取和融合等运算符，支持对异构系统组件在功能、时序和可靠性等多方面进行严格、多视角的验证。

ABSTRACT

We present the mathematical foundations of the contract-based model developed in the framework of the SPEEDS project. SPEEDS aims at developing methods and tools to support "speculative design", a design methodology in which distributed designers develop different aspects of the overall system, in a concurrent but controlled way. Our generic mathematical model of contract supports this style of development. This is achieved by focusing on behaviors, by supporting the notion of "rich component" where diverse (functional and non-functional) aspects of the system can be considered and combined, by representing rich components via their set of associated contracts, and by formalizing the whole process of component composition.

研究动机与目标

• 通过为组件合同提供形式化的数学基础，解决在安全关键型嵌入式系统中分布式、并发设计的挑战。
• 支持推测性设计，即多个团队并行开发系统组件，并通过合同实现受控集成。
• 通过多个合同形式化丰富组件，封装多样化的（功能性和非功能性）系统特性。
• 通过清晰的基于合同的接口模型，确保原始设备制造商（OEM）与供应商之间的责任精确分离。
• 利用统一的代数框架支持合同与行为的正式验证与组合。

提出的方法

• 使用执行轨迹建模系统行为，通过区分受控信号（输入）和非受控行为（输出）来定义组件责任。
• 将合同定义为假设（环境行为）与承诺（组件行为）的配对，形式化为轨迹集合。
• 引入支配关系以支持合同细化，允许假设的弱化和承诺的强化。
• 将并行组合定义为主要的组件组合机制，通过信号划分确保兼容性。
• 引入布尔交与并运算符，用于合同的合取与析取，支持多视角分析。
• 提出一种融合运算符，结合组合与合取，用于计算满足多个规范的最不具体合同，同时考虑交互影响。

实验结果

研究问题

• RQ1 如何通过通用的数学合同模型支持在分布式嵌入式系统中进行推测性、并发设计？
• RQ2 哪些形式化机制可确保具有多样化功能与非功能性属性的组件之间的兼容性与正确组合？
• RQ3 如何在保持多视角（如功能、时序、安全）正确性的同时，对合同进行细化与组合？
• RQ4 何种代数结构可支持在统一框架中组合来自不同视角（如性能、可靠性）的合同？
• RQ5 所提出的模型如何处理开放系统中受控与非受控信号下假设与承诺之间的交互？

主要发现

• 该模型为嵌入式系统中的基于合同的设计提供了形式化、组合性的基础，支持功能性和非功能性属性。
• 合同细化的支配关系支持在不同假设下对组件正确性进行系统性推理。
• 融合运算符支持从不同视角的多个、可能相互作用的规范中合成满足条件的最小合同。
• 基于轨迹的语义结合受控/非受控信号，可精确建模组件责任与兼容性。
• 该框架通过支持不同领域（如时序、安全）中组件的独立规格说明与验证，支持异构设计。
• 该模型具有足够的通用性，可支持连续时间动态行为及各种计算模型，而无需强制采用特定模型。