[论文解读] A Model for Probabilistic Reasoning on Assume/Guarantee Contracts

Benoît Delahaye, Benoı̂t Caillaud|ArXiv.org|Nov 7, 2008

Software Reliability and Analysis Research参考文献 10被引用 3

一句话总结

本文提出了一种组合式的概率假设/保证契约形式化方法，用于组件化系统中的模块化可靠性分析。通过将环境输入建模为概率性而非非确定性，该方法引入了概率满足、细化和组合关系，这些关系保持了模块性，从而支持自顶向下或自底向上的可靠性验证，并在不确定性环境下提供对系统行为的定量保证。

ABSTRACT

In this paper, we present a probabilistic adaptation of an Assume/Guarantee contract formalism. For the sake of generality, we assume that the extended state machines used in the contracts and implementations define sets of runs on a given set of variables, that compose by intersection over the common variables. In order to enable probabilistic reasoning, we consider that the contracts dictate how certain input variables will behave, being either non-deterministic, or probabilistic; the introduction of probabilistic variables leading us to tune the notions of implementation, refinement and composition. As shown in the report, this probabilistic adaptation of the Assume/Guarantee contract theory preserves compositionality and therefore allows modular reliability analysis, either with a top-down or a bottom-up approach.

研究动机与目标

• 为解决复杂嵌入式系统组件化设计中模块化、可扩展的可靠性分析技术的缺乏问题。
• 通过区分对环境的假设与对组件行为的保证，形式化可靠性需求。
• 将经典假设/保证推理扩展为概率语义，以支持定量可靠性分析。
• 确保概率细化和组合操作保持模块性，适用于自顶向下和自底向上的验证。
• 通过结合概率环境假设与行为实现，支持对系统可靠性的推理。

提出的方法

• 该形式化方法使用扩展状态机对组件及其环境进行建模，通过共享变量定义运行集合，并通过在公共变量上的交集实现组合。
• 通过在输入变量上指定概率假设来定义概率契约，允许环境中同时存在非确定性和概率性行为。
• 定义了概率满足关系，即若实现的行为以给定概率满足契约的概率保证，则该实现满足契约。
• 将细化形式化为一种概率关系：若后一契约以某一概率满足前一契约，则称其为前一契约的细化，且该关系保持组合性。
• 通过并行组合定义契约的组合，其中组合契约的满足概率基于在组合假设下各独立满足概率的乘积推导得出。
• 该理论证明了概率细化和组合具有组合性，从而支持与系统规模或结构无关的模块化分析。

实验结果

研究问题

• RQ1 如何将假设/保证契约调整为支持对系统可靠性的概率推理？
• RQ2 能否定义概率满足和细化关系，使得在存在概率环境假设的情况下仍能保持组合性？
• RQ3 将环境输入建模为概率性而非非确定性，如何提升可靠性分析的模块性和可扩展性？
• RQ4 在概率假设下，如何从组件的满足概率推导出组合系统的满足概率？
• RQ5 概率细化在支持系统可靠性增量验证中起到何种作用？

主要发现

• 所提出的概率假设/保证理论保持了组合性，使得无论系统规模或集成顺序如何，均可实现模块化可靠性分析。
• 当每个组件分别以概率 α 和 β 满足其契约时，组合系统的满足概率为各组件满足概率的乘积，即 α·β。
• 该理论支持自顶向下和自底向上的验证，允许在组件开发过程中逐步进行可靠性分析。
• 概率细化关系支持对契约的松弛进行推理（例如从 C 到 C'），同时保持量化满足水平 γ，使得 M₁∥M₂ ⊨ₐᵦᵞ C'。
• 该框架支持在单个组件因环境不确定性而无法满足其契约，但其组合后却能通过环境的概率假设满足契约的情况。
• 该方法通过将满足性直接关联到行为语义而非仅故障概率，推广了经典可靠性形式化方法（如 pCTL 和动态故障树）。