[论文解读] A Methodology for Automating Assurance Case Generation

Shreyas Ramakrishna, Charles Hartsell+3 more|arXiv (Cornell University)|Mar 11, 2020

Safety Systems Engineering in Autonomy参考文献 31被引用 5

一句话总结

本文提出了一种基于系统设计成果、整理过的证据以及认证标准的自动化保证案例生成（ACG）方法，用于自动构建和评估基于目标结构图（GSN）的安全案例。该方法采用三阶段的‘链接-封存-扩展’框架，迭代地分解目标、链接证据并验证主张，显著减少了人工工作量，并提高了在安全关键型信息物理系统（CPS）中的一致性。

ABSTRACT

Safety Case has become an integral component for safety-certification in various Cyber Physical System domains including automotive, aviation, medical devices, and military. The certification processes for these systems are stringent and require robust safety assurance arguments and substantial evidence backing. Despite the strict requirements, current practices still rely on manual methods that are brittle, do not have a systematic approach or thorough consideration of sound arguments. In addition, stringent certification requirements and ever-increasing system complexity make ad-hoc, manual assurance case generation (ACG) inefficient, time consuming, and expensive. To improve the current state of practice, we introduce a structured ACG tool which uses system design artifacts, accumulated evidence, and developer expertise to construct a safety case and evaluate it in an automated manner. We also illustrate the applicability of the ACG tool on a remote-control car testbed case study.

研究动机与目标

• 解决安全关键系统中手动安全案例开发效率低下和不一致的问题。
• 克服现有工具仅支持但未自动化GSN或CAE构建的局限性。
• 开发一种系统化、自动化的安全案例生成与评估方法，基于认证标准。
• 在确保论证可信度的前提下，最小化人工参与目标分解、证据链接和主张验证的过程。
• 通过结构化证据建模和自动化评估，实现安全案例的可重用性和可扩展性。

提出的方法

• 采用三步法：链接（将证据映射到主张）、封存（验证证据充分性与假设）、扩展（递归分解目标）。
• 使用迭代搜索将高层次的认证标准分解为子目标，直至达到可由原子证据支持的叶节点。
• 将系统设计成果（如组件模型）与整理过的证据库集成，以指导自动化GSN构建。
• 引入置信度评分机制，以评估生成的安全案例的可信度，从而在基本结构之外进一步提升可信度。
• 采用快速原型方法实现并迭代优化ACG工具链的各个组件。
• 设计工具以支持可扩展性，包括未来支持逻辑连接符（如XOR）和理由节点在GSN中的应用。

实验结果

研究问题

• RQ1 如何利用系统设计成果和积累的证据实现保证案例生成的自动化？
• RQ2 何种方法能够实现将认证标准系统化、迭代式地分解为结构化的GSN？
• RQ3 如何在确保有效性和最小化冗余的前提下，自动将证据链接到主张？
• RQ4 哪些指标可以客观评估自动生成的安全案例的可信度？
• RQ5 在不损害论证质量或完整性的情况下，自动化能在多大程度上减少人工参与？

主要发现

• ACG工具成功利用设计成果和整理过的证据库，自动化生成基于GSN的安全案例。
• ‘链接-封存-扩展’框架实现了将认证标准系统化、迭代式地分解为分层GSN结构。
• 通过原子证据节点建模，证据与主张的链接实现了冗余减少，显著提升了安全案例间的可重用性。
• 该工具引入了置信度评分机制，以评估生成的安全案例的可信度，这是相较于现有工具的创新功能。
• 该方法在遥控汽车测试平台的AEBS用例中得到验证，展示了在真实CPS场景中的可行性。
• 该方法显著减少了人工工作量，并提升了安全案例开发的一致性，有效解决了当前基于经验、手动操作的实践所存在的关键缺陷。