[论文解读] Hybrid Automata for Formal Modeling and Verification of Cyber-Physical Systems

Shankara Narayanan Krishna, Ashutosh Trivedi|arXiv (Cornell University)|Mar 17, 2015

Formal Methods in Verification参考文献 79被引用 11

一句话总结

本文提出混合自动机作为建模与验证信息物理系统（CPS）的形式化框架，通过常微分方程和实值变量上的守卫条件，将离散控制与连续动力学相结合。通过有限 bisimulation 商群，本文建立了关键子类（如定时自动机和初始化矩形混合自动机）的可判定性结果，使得利用 UPPAAL 和 HyTECH 等工具进行实际验证成为可能。

ABSTRACT

The presence of a tight integration between the discrete control (the "cyber") and the analog environment (the "physical")---via sensors and actuators over wired or wireless communication networks---is the defining feature of cyber-physical systems. Hence, the functional correctness of a cyber- physical system is crucially dependent not only on the dynamics of the analog physical environment, but also on the decisions taken by the discrete control that alter the dynamics of the environment. The framework of Hybrid automata---introduced by Alur, Courcoubetis, Henzinger, and Ho---provides a formal modeling and specification environment to analyze the interaction between the discrete and continuous parts of a cyber-physical system. Hybrid automata can be considered as generalizations of finite state automata augmented with a finite set of real-valued variables whose dynamics in each state is governed by a system of ordinary differential equations. Moreover, the discrete transitions of hybrid automata are guarded by constraints over the values of these real-valued variables, and enable discontinuous jumps in the evolution of these variables. Considering the richness of the dynamics in a hybrid automaton, it is perhaps not surprising that the fundamental verification questions, like reachability and schedulability, for the general model are undecidable. In this article we present a review of hybrid automata as modeling and verification framework for cyber-physical systems, and survey some of the key results related to practical verification questions related to hybrid automata.

研究动机与目标

• 为集成离散控制与连续动力学的信息物理系统提供一个形式化建模与验证框架。
• 解决安全关键型 CPS 的验证挑战，其中数字控制决策与模拟物理行为均至关重要。
• 识别出允许自动化验证的混合自动机可判定子类，尽管一般可达性问题为不可判定。
• 综述适用于实际 CPS 建模与分析的关键可判定性结果与验证技术。

提出的方法

• 将 CPS 建模为混合自动机：在有限状态机基础上增加受常微分方程控制的连续变量。
• 通过实值变量上的守卫条件触发离散转移，实现状态演化的不连续跳跃。
• 应用有限 bisimulation 商群技术，将无限状态系统约化为有限状态抽象以支持验证。
• 利用结构约束（如初始化矩形、多速率或常导数系统）实现可判定性。
• 利用形式化规格语言（如 LTL）与模型检测技术，实现系统属性的自动验证。
• 利用 UPPAAL、Kronos、HyTECH 和 PHAVer 等工具支持，对工业规模实例实现自动化验证。

实验结果

研究问题

• RQ1 在一般可达性问题不可判定的背景下，哪些混合自动机子类可实现验证问题的可判定性？
• RQ2 如何构建有限 bisimulation 商群，以支持无限状态混合系统的模型检测？
• RQ3 哪些结构约束（如不变量、守卫条件、速率类型）可导致混合自动机中可达性与调度问题的可判定性？
• RQ4 混合自动机在多大程度上能够精确建模具有精确时序与连续动力学的真实世界安全关键型 CPS？
• RQ5 实用验证工具在多大程度上可扩展至工业规模的信息物理系统模型？

主要发现

• 一般混合自动机的可达性问题为不可判定，但定时自动机和初始化矩形混合自动机等关键子类可实现可判定性。
• 通过约化至已知可判定的初始化多速率自动机，建立了初始化矩形混合自动机的 LTL 模型检测可判定性。
• 二维分段常数导数（PCD）系统具有可判定的可达性算法，但在三维或更高维时问题变为不可判定。
• 对于具有全局不变量、无局部守卫或不变量的常速率多模态系统，当起始状态位于不变量空间内时，可达性与调度问题可在多项式时间内判定。
• 能量约束定时自动机及指数增长能量扩展被证明具有可判定的调度问题，且为某一子类提供了 EXPTIME 算法。
• 实用验证工具如 UPPAAL、HyTECH 和 PHAVer 已成功验证工业规模的 CPS 模型，证明了该框架的可扩展性与实用性。