[论文解读] Event-based Formalization of Safety-critical Operating System Standards: An Experience Report on ARINC 653 using Event-B

Yongwang Zhao, Zhibin Yang+2 more|arXiv (Cornell University)|Aug 26, 2015

Formal Methods in Verification参考文献 13被引用 7

一句话总结

本文提出了对用于安全关键操作系统的ARINC 653第1部分标准的完整Event-B形式化与归纳验证，采用数学建模和证明义务来验证系统功能与服务规范。形式化验证发现了标准中三个隐藏错误和三个不完整规范案例，证明了形式化方法在确保关键系统接口正确性方面的价值。

ABSTRACT

Standards play the key role in safety-critical systems. Errors in standards could mislead system developer's understanding and introduce bugs into system implementations. In this paper, we present an Event-B formalization and verification for the ARINC 653 standard, which provides a standardized interface between safety-critical real-time operating systems and application software, as well as a set of functionalities aimed to improve the safety and certification process of such safety-critical systems. The formalization is a complete model of ARINC 653, and provides a necessary foundation for the formal development and verification of ARINC 653 compliant operating systems and applications. Six hidden errors were discovered from the verification using the Event-B formal reasoning approach.

研究动机与目标

• 为应对安全关键系统标准（如ARINC 653）中未被检测到的错误所带来的风险，这些错误可能导致实时操作系统的实现缺陷。
• 使用Event-B对ARINC 653第1部分（第3版）提供一个形式化验证的完整模型，以实现严格的规范与验证。
• 检测标准中可能导致开发人员误解并危及系统安全的一致性、模糊性和遗漏问题。
• 为ARINC 653兼容操作系统的正式开发、验证和代码生成奠定基础。

提出的方法

• 使用集合论和事件驱动形式化方法，在Event-B中对ARINC 653第1部分标准进行整体建模，以表示系统行为和状态转换。
• 将顶层系统功能和安全服务需求形式化为规范，包含安全不变量和细化关系。
• 通过Rodin工具中的证明义务进行归纳验证，以验证抽象层级之间的一致性以及不变量的正确性。
• 使用自动化推理和证明释放机制，验证57项服务，包括分区管理、时间管理以及分区间与分区内部通信。
• 通过人工形式化将标准的文本描述转换为Event-B模型，以确保语义保真度。
• 使用ProB进行模型检测以分析状态空间，但受限于在更高抽象层级下的可扩展性。

实验结果

研究问题

• RQ1 ARINC 653第1部分标准中存在哪些隐藏的不一致或错误，可能导致安全关键操作系统的错误实现？
• RQ2 如何使用Event-B构建ARINC 653的完整形式化模型，以支持系统行为和服务语义的严格验证？
• RQ3 通过Event-B中的证明义务进行归纳验证，在多大程度上能够检测出规范缺陷并确保抽象层级间的一致性？
• RQ4 形式化方法（如Event-B）是否能够超越传统测试和非形式化分析，提升安全关键系统标准的可靠性？
• RQ5 当前形式化验证方法在处理ARINC 653中的活性属性和时间敏感行为方面存在哪些局限性？

主要发现

• 在ARINC 653第1部分标准中发现了三个隐藏错误：一个存在于进程管理服务中，两个存在于分区间与分区内部通信服务中。
• 检测到三个不完整规范案例，尤其涉及进程状态转换，可能导致实现中出现模糊或未定义行为。
• 归纳验证过程成功自动释放了高达80%的证明义务，显著减少了人工工作量。
• 使用ProB进行模型检测仅在较低抽象层级可行，因状态空间爆炸而受限，凸显了可扩展性挑战。
• 该形式化模型可通过Rodin插件实现未来代码生成，并支持ARINC 653兼容系统的基于模型的开发与验证。
• 本研究揭示了需要增强工具支持以验证活性属性，因为当前Event-B工具链缺乏对全局量词和复杂时序逻辑的原生支持。