[论文解读] Deriving Specifications of Dependable Systems: toward a Method

Manuel Mazzara|arXiv (Cornell University)|Sep 20, 2010

Formal Methods in Verification参考文献 17被引用 18

一句话总结

本文提出一种基于分层容错规范（LFTS）推导可靠系统形式化规格的方法，该方法将正常行为与异常行为分离到不同层次。引入故障注入器（EI）以建模环境故障，并采用依赖/保证推理确保一致性，从而通过交通与汽车领域的案例研究，实现对现实世界系统中容错行为的系统化、可扩展的规格化。

ABSTRACT

This paper proposes a method for deriving formal specifications of systems. To accomplish this task we pass through a non trivial number of steps, concepts and tools where the first one, the most important, is the concept of method itself, since we realized that computer science has a proliferation of languages but very few methods. We also propose the idea of Layered Fault Tolerant Specification (LFTS) to make the method extensible to dependable systems. The principle is layering the specification, for the sake of clarity, in (at least) two different levels, the first one for the normal behavior and the others (if more than one) for the abnormal. The abnormal behavior is described in terms of an Error Injector (EI) which represents a model of the erroneous interference coming from the environment. This structure has been inspired by the notion of idealized fault tolerant component but the combination of LFTS and EI using rely guarantee thinking to describe interference can be considered one of the main contributions of this work. The progress toward this method and the way to layer specifications has been made experimenting on the Transportation and the Automotive Case Studies of the DEPLOY project.

研究动机与目标

• 为解决尽管形式化语言广泛使用，但系统规格化中仍缺乏形式化方法的问题。
• 开发一种系统化方法，用于规格化考虑现实世界故障与环境干扰的可靠系统。
• 形式化一种支持通过分层规格逐步建模异常行为的方法。
• 通过LFTS分离正常行为与容错行为，实现更清晰、更易维护的规格化。
• 通过DEPLOY项目在交通与汽车系统中的案例研究，证明该方法的可行性。

提出的方法

• 将方法定义为一种结构化、因果性的步骤序列，与形式化语言或记号明确区分。
• 提出分层容错规范（LFTS），将系统规格组织为至少两个层次：一个用于正常行为，一个或多个用于异常或易出错的行为。
• 将故障注入器（EI）作为环境故障的形式化模型，模拟对系统的错误干扰。
• 应用依赖/保证推理，正式描述系统与EI之间的交互，确保各层次间的一致性。
• 采用“使系统更鲁棒”过程，通过形式化规则逐步扩展规格以处理罕见或异常情况。
• 将该方法应用于真实世界案例研究（列车与汽车系统），通过修改状态转移和可用性状态来反映故障场景。

实验结果

研究问题

• RQ1 如何区分形式化方法与形式化语言？为何这种区分对可靠系统工程至关重要？
• RQ2 哪些结构原则能够实现系统规格中容错行为的系统化建模？
• RQ3 如何正式建模并验证系统与环境故障之间的交互？
• RQ4 分层规格在何种程度上提升了可靠系统中规格的清晰度、可维护性与正确性？
• RQ5 如何形式化识别与添加容错层的过程，以支持自动化与一致性检查？

主要发现

• 本文确立了形式化方法与形式化语言之间的区别，指出只有包含结构化、因果性步骤序列的方法才具有效用。
• 分层容错规范（LFTS）方法成功分离了正常与异常系统行为，提升了规格的清晰度与模块化程度。
• 将故障注入器（EI）与依赖/保证条件结合，实现了对环境故障及其对系统状态影响的精确建模。
• “使系统更鲁棒”过程提供了一个可形式化的框架，用于扩展规格以处理罕见或故障状态，其中人类创造力用于识别层级，自动化用于一致性检查。
• 在列车与汽车系统的案例研究中，展示了该方法的实际适用性，表明诸如传感器故障或消息丢失等故障情形可被正式捕获与管理。
• 该方法通过形式化规则实现层次间的一致性检查，降低了复杂可靠系统中规格不一致的风险。