[论文解读] End to End Verification and Validation with SPIN

Asankhaya Sharma|arXiv (Cornell University)|Feb 20, 2013

Formal Methods in Verification参考文献 15被引用 9

一句话总结

本文提出了一种基于 SPIN 模型检测器的实时系统端到端形式化验证与验证框架。通过在 SQRL 心脏起搏器形式化方法挑战中应用该方法，将起搏器建模为 PROMELA 语言，使用 LTL 验证时序属性，通过规约生成 C 代码，并在 SPIN 内部完成实现验证，证明了该工具在保证属性不变的前提下，能够同时支持规格说明与实现验证的能力。

ABSTRACT

Over the last several years the tools used for model checking have become more efficient and usable. This has enabled users to apply model checking to industrial-scale problems, however the task of validating the implementation of the model is usually much harder. In this paper we present an approach to do end to end verification and validation of a real time system using the SPIN model checker. Taking the example of the cardiac pacemaker system proposed in the SQRL Pacemaker Formal Methods Challenge we demonstrate our framework by building a formal model for the cardiac pacemaker in SPIN, checking for desirable temporal properties of the model (expressed as LTL formulas), generating C code from the model (by refinement of PROMELA) and validating the generated implementation (using SPIN). We argue that a state of the art model checking tool like SPIN can be used to do formal specification as well as validation of the implementation. To evaluate our approach we show that our pacemaker model is expressive enough to derive consistent operating modes and that the refinement rules preserve LTL properties.

研究动机与目标

• 为解决工业规模形式化验证中模型实现的验证挑战。
• 证明 SPIN 可在统一框架中支持形式化规格说明与实现验证。
• 表明从 PROMELA 模型到 C 代码的规约过程能保持实时系统中 LTL 属性的正确性。
• 通过一致的操作模式推导，验证起搏器模型的表达能力与正确性。
• 评估使用 SPIN 实现安全关键系统全栈形式化验证的可行性。

提出的方法

• 使用 SPIN 在 PROMELA 中对心脏起搏器系统进行形式化建模。
• 使用线性时序逻辑（LTL）公式指定期望的时序行为。
• 通过保持正确性属性的方式，对 PROMELA 模型进行规约以生成 C 代码。
• 利用规约技术自动从形式化模型生成 C 代码。
• 使用 SPIN 的模型检查能力对生成的 C 实现进行验证。
• 使用 SPIN 验证抽象模型与具体实现之间的一致性与正确性。

实验结果

研究问题

• RQ1 SPIN 是否能在单一工作流中有效支持形式化规格说明与实现验证？
• RQ2 从 PROMELA 模型到 C 代码的规约过程是否保持了原始模型的 LTL 属性？
• RQ3 形式化模型是否具有足够的表达能力，以推导出起搏器系统的一致操作模式？
• RQ4 是否能使用单一工具链通过 SPIN 实现端到端验证？
• RQ5 将 SPIN 应用于工业规模实时系统的实际可行性如何？

主要发现

• SPIN 模型检测器成功验证了心脏起搏器系统形式化模型中所有指定的 LTL 属性。
• 从 PROMELA 到 C 代码的规约过程保持了预期的 LTL 属性，确保了实现的正确性。
• 形式化模型具有足够的表达能力，可推导出一致且正确的起搏器操作模式。
• 生成的 C 代码通过 SPIN 成功验证，展示了端到端验证的实现。
• 该方法在工业规模实时系统中具有可行性，表明 SPIN 的作用不仅限于模型检查，还可支持完整的验证与验证流程。
• 本研究证实 SPIN 可作为安全关键系统中规格说明与实现验证的统一平台。