[论文解读] Making Agile Development Processes fit for V-style Certification Procedures

Sergio Bezzecchi, Paolo Crisafulli+2 more|arXiv (Cornell University)|May 16, 2019

Advanced Software Engineering Methodologies参考文献 7被引用 4

一句话总结

本文提出了一种与形式化方法集成的新型敏捷开发流程，旨在实现对安全与安全性关键型交通运输系统的V型认证。通过利用Isabelle/HOL和持续验证与认证环境（CVCE），该方法确保了从需求到设计再到代码的端到端可追溯性，实现了形式化一致性，并支持快速、机器可检查的影响分析——该方法在seL4上对铁路应用的正式验证里程子系统中得到了验证。

ABSTRACT

We present a process for the development of safety and security critical components in transportation systems targeting a high-level certification (CENELEC 50126/50128, DO 178, CC ISO/IEC 15408). The process adheres to the objectives of an "agile development" in terms of evolutionary flexibility and continuous improvement. Yet, it enforces the overall coherence of the development artifacts (ranging from proofs over tests to code) by a particular environment (CVCE). In particular, the validation process is built around a formal development based on the interactive theorem proving system Isabelle/HOL, by linking the business logic of the application to the operating system model, down to code and concrete hardware models thanks to a series of refinement proofs. We apply both the process and its support in CVCE to a case-study that comprises a model of an odometric service in a railway-system with its corresponding implementation integrated in seL4 (a secure kernel for which a comprehensive Isabelle development exists). Novel techniques implemented in Isabelle enforce the coherence of semi-formal and formal definitions within specific certification processes in order to improve their cost-effectiveness . This paper has been published at ERTS2018.

研究动机与目标

• 将敏捷开发原则与V型认证流程的严格文档化和可追溯性要求（如CENELEC、DO 178C、CC ISO/IEC 15408）相协调。
• 通过工具支持的、机器可检查的开发工件一致性，减少形式化认证的时间与成本，以应对“认证危机”。
• 在保持完整可追溯性与一致性的前提下，支持每日、分布式的对需求与设计的修改，通过形式化证明与自动化影响分析实现。

提出的方法

• 利用基于Isabelle/HOL构建的持续验证与认证环境（CVCE），统一验证从需求到代码的所有开发工件。
• 使用交互式定理证明，将业务逻辑与操作系统模型及低级代码形式化关联，通过规约链确保正确性。
• 应用文学化规格说明与形式化定义，弥合半形式化与形式化表示之间的鸿沟，提升清晰度与一致性。
• 通过Isabelle/AutoCorres实现C到HOL的编译器，以形式化规格验证手写C代码。
• 从高层需求到seL4微内核上的可执行代码进行端到端验证，证明里程计算的准确性。
• 集成自动化与交互式证明技术，以在开发过程中支持快速反馈与影响分析。

实验结果

研究问题

• RQ1 如何有效结合敏捷开发原则与V型认证流程的形式化及可追溯性要求？
• RQ2 何种技术基础设施能够实现安全关键系统中需求、设计与实现之间持续的、机器可检查的一致性？
• RQ3 在不损害敏捷性的前提下，形式化方法在工业环境中在多大程度上可减少返工与认证成本？
• RQ4 形式化验证在多大程度上可扩展至铁路里程子系统等实际系统，同时保持实际可行性？
• RQ5 统一的形式化环境在支持开发过程中的快速影响分析与变更管理方面发挥何种作用？

主要发现

• 基于CVCE的所提流程实现了对需求与设计的每日、分布式修改，且具备机器可检查的一致性，显著减少了返工与认证延迟。
• 在Isabelle/HOL中的形式化证明成功将里程子系统的规格与seL4上的C实现形式化关联，确保在特定条件下，有界精度算术近似理想化的有理数计算。
• 采用文学化规格说明与形式化定义，实现了半形式化与形式化内容的无缝集成，提升了认证工件的清晰度并减少了歧义。
• C到HOL的编译与验证流程确认了手写C代码正确实现了形式化odostep函数，且证明建立了近似保证。
• 该方法表明，当聚焦于关键组件时，形式化方法在工业环境中具有成本效益，如铁路里程子系统案例研究所示。
• Isabelle/HOL与CVCE的集成实现了全面的可追溯性与可复现性，满足了关键认证要求，同时支持敏捷开发实践。