[论文解读] Control software analysis, Part I Open-loop properties

Éric Féron, Fernando Alegre|ArXiv.org|Sep 28, 2008

Real-Time Systems Scheduling参考文献 7被引用 15

一句话总结

本文提出了一种控制软件的形式化验证框架，通过将李雅普诺夫稳定性理论转化为C代码实现的基于不变量的分析。它展示了如何通过符号执行和椭球不变量在编译后的控制软件中保持并验证控制系统的稳定性特性，从而确保实时控制实现的正确性，超越高层规格说明。

ABSTRACT

As the digital world enters further into everyday life, questions are raised about the increasing challenges brought by the interaction of real-time software with physical devices. Many accidents and incidents encountered in areas as diverse as medical systems, transportation systems or weapon systems are ultimately attributed to "software failures". Since real-time software that interacts with physical systems might as well be called control software, the long litany of accidents due to real-time software failures might be taken as an equally long list of opportunities for control systems engineering. In this paper, we are interested only in run-time errors in those pieces of software that are a direct implementation of control system specifications: For well-defined and well-understood control architectures such as those present in standard textbooks on digital control systems, the current state of theoretical computer science is well-equipped enough to address and analyze control algorithms. It appears that a central element to these analyses is Lyapunov stability theory, which translate into invariant theory in computer implementations.

研究动机与目标

• 为解决尽管高层控制规格正确，但低层控制软件实现仍缺乏验证的问题。
• 将控制系统的稳定性特性形式化转化为运行时验证的软件不变量。
• 实现对编译后控制软件的独立分析，尤其适用于由自动编码器或具有不透明变换的编译器生成的代码。
• 证明形式化方法能够验证嵌入式控制代码的正确性，超越教科书式的稳定性分析。

提出的方法

• 以李雅普诺夫稳定性理论为基础，推导控制软件实现中的不变量。
• 应用符号执行对C代码进行指令级分析，通过椭球不变量追踪变量状态。
• 使用矩阵不等式表示变量状态的椭球，即使在奇异情况下也通过广义椭球集 ${\cal G}_R$ 实现。
• 通过状态椭球的矩阵变换，为每条C语句构建前置条件和后置条件。
• 通过检查前一条语句的后置条件是否蕴含下一条语句的前置条件（利用矩阵逆和半正定性）来验证连续语句之间的一致性。
• 将方法扩展至处理浮点数运算和编译器依赖的求值顺序，通过保守的不变量传播实现。

实验结果

研究问题

• RQ1 连续时间控制器的李雅普诺夫稳定性特性能否在其实现的编译后C代码中被形式化保留并验证？
• RQ2 如何在低层C代码中构建并传播形式化不变量，以验证控制软件的正确性？
• RQ3 编译器依赖的求值顺序在实时控制计算正确性中起什么作用，如何对其进行分析？
• RQ4 使用椭球不变量的符号执行能否提供一种可靠且可扩展的方法，用于验证超越高层规格的控制软件？
• RQ5 如何在嵌入式控制代码中形式化分析输入饱和与数值精度之间的相互作用？

主要发现

• 该方法成功验证了C代码第19行的后置条件蕴含第20行的前置条件，确保了循环中的一致性。
• 证明了矩阵 $ U^{-1} \geq P $ 成立，确认最终状态仍位于所需的不变椭球内。
• 广义椭球 $ {\cal G}_R $ 允许对奇异变换下的不变量进行表示，从而支持对状态复制和重新赋值的分析。
• 分析表明，第18行的编译器依赖求值顺序可能影响中间值，凸显了保守不变量传播的必要性。
• 该框架可扩展至具有输入饱和的高阶线性控制器，展示了其广泛适用性。
• 在C代码层面的形式化验证检测到了仅靠高层控制理论无法发现的潜在数值不一致。