[论文解读] Development of Fault Tolerant MAS with Cooperative Error Recovery by Refinement in Event-B

Inna Pereverzeva, Elena Troubitsynå+1 more|arXiv (Cornell University)|Oct 26, 2012

Advanced Software Engineering Methodologies参考文献 9被引用 10

一句话总结

本文提出了一种基于规约的正式方法，用于开发具有协作式错误恢复机制的容错多智能体系统（MAS），并采用Event-B进行建模。通过系统性地对抽象系统模型进行规约，同时保持不变量并验证证明义务，作者确保了在智能体故障后发生动态重构的多机器人系统中，目标可达性‘按构造’实现。

ABSTRACT

Designing fault tolerance mechanisms for multi-agent systems is a notoriously difficult task. In this paper we present an approach to formal development of a fault tolerant multi-agent system by refinement in Event-B. We demonstrate how to formally specify cooperative error recovery and dynamic reconfiguration in Event-B. Moreover, we discuss how to express and verify essential properties of a fault tolerant multi-agent system while refining it. The approach is illustrated by a case study - a multi-robotic system.

研究动机与目标

• 为解决在多智能体系统（MAS）中设计和验证容错机制的挑战，特别是依赖于动态重构和协作式错误恢复的系统。
• 通过从高层次目标形式化指定和验证系统行为，确保在故障发生时MAS中的目标可达性。
• 展示使用Event-B对复杂、分布式、容错MAS进行建模，并通过基于证明的验证实现可行性与可扩展性。
• 通过形式化建模与规约，揭示缺失的需求，并澄清智能体与目标之间的关系。
• 提供一种系统化、按构造正确（correct-by-construction）的开发流程，用于基于Event-B和Rodin工具集的容错多智能体系统。

提出的方法

• 采用Event-B的形式化方法，通过变量和不变量描述系统状态，行为由受守卫和动作控制的原子事件定义。
• 采用自顶向下的规约过程，逐步引入实现细节，同时保持功能正确性和不变量属性。
• 将系统目标定义为状态谓词，并通过逻辑表达式（Expr）表达子目标依赖关系，以确保目标可达性得以维持。
• 引入如`BaseStationFailure`和`GetAdditionalResponsibility`等事件，以建模故障检测和智能体间责任的动态重新分配。
• 应用证明义务以验证不变量保持和规约正确性，使用Rodin平台成功处理了超过230个证明义务。
• 利用Event-B的模块化扩展，支持从集中式规约模型推导出分布式系统实现。

实验结果

研究问题

• RQ1 如何在多智能体系统中使用Event-B正式指定并验证协作式错误恢复与动态重构？
• RQ2 哪些形式化机制可确保在智能体或基站故障时，系统目标仍可达到？
• RQ3 如何通过规约和证明义务，在形式化建模框架中保证容错行为的正确性？
• RQ4 Event-B在多大程度上能够支持具有目标导向特性的复杂、分布式MAS的系统化开发？
• RQ5 规约过程如何揭示缺失的需求，并澄清容错多智能体系统中智能体与目标之间的关系？

主要发现

• 形式化规约过程成功地从高层次目标导出一个详细、容错的多机器人系统模型，确保目标可达性按构造实现。
• 生成并处理了超过230个证明义务，其中80%可自动处理，证明了Event-B在复杂MAS中基于证明验证的可扩展性与实用性。
• 该方法通过形式化分析揭示了此前未被考虑的需求，例如防止最后一个活跃基站发生故障的必要性。
• 最终模型支持动态重构：当一个基站发生故障时，另一个基站可通过`GetAdditionalResponsibility`事件接管其对机器人和区域的责任。
• 系统保持目标稳定性：一旦目标被达成，其在后续状态中仍保持为真，这一性质由不变量条件强制保证。
• 与基于过程代数的方法相比，该方法在不施加模型规模或复杂性限制的前提下，实现了更严格且可扩展的验证。