[论文解读] Modelling an Aircraft Landing System in Event-B (Full Report)

Dominique Méry, Neeraj Kumar Singh|arXiv (Cornell University)|Apr 3, 2014

Formal Methods in Verification参考文献 10被引用 2

一句话总结

本文使用事件B方法，通过逐步细化对飞机起落架系统进行了形式化验证，采用细化技术建模起落架、舱门和液压系统的复杂时间与顺序行为。主要贡献在于构建了一个基准模型，通过基于证明的开发确保安全性，并利用RODIN工具集在每个细化层级上进行了形式化正确性证明。

ABSTRACT

The failure of hardware or software in a critical system can lead to loss of lives. The design errors can be main source of the failures that can be introduced during system development process. Formal techniques are an alternative approach to verify the correctness of critical systems, overcoming limitations of the traditional validation techniques such as simulation and testing. The increasing complexity and failure rate brings new challenges in the area of verification and validation of avionic systems. Since the reliability of the software cannot be quantified, the extit{correct by construction} approach can implement a reliable system. Refinement plays a major role to build a large system incrementally from an abstract specification to a concrete system. This paper contributes as a stepwise formal development of the landing system of an aircraft. The formal models include the complex behaviour, temporal behaviour and sequence of operations of the landing gear system. The models are formalized in Event-B modelling language, which supports stepwise refinement. This case study is considered as a benchmark for techniques and tools dedicated to the verification of behavioural properties of systems. The report is the full version of a paper published for the ABZ 2014 Case Study. is

研究动机与目标

• 使用严格的正式方法开发一个形式化验证的安全关键型起落架系统。
• 在实时约束下，对起落架、舱门和液压系统的复杂时间与顺序行为进行建模。
• 在事件B中应用逐步细化，从抽象规格逐步构建出正确性可构造的系统。
• 使用基于证明的技术和RODIN工具集验证每个细化步骤的正确性。
• 为安全关键航空电子系统的行为属性验证建立一个基准案例研究。

提出的方法

• 系统使用事件B建模，这是一种支持逐步细化和安全验证的正式方法。
• 从抽象模型逐步细化为更具体的模型，通过细化证明保持行为正确性。
• 事件用于建模系统行为，包括起落架的收放、舱门操作以及液压压力监控。
• 通过时间推进事件（tic tock）捕捉时间行为，并使用时间有序动作集（at）进行状态跟踪。
• 通过扩展事件建模异常检测，监控传感器状态（如压力、舱门、起落架、开关），并在检测到不一致时触发报警。
• 飞行员接口灯（绿灯、琥珀灯、红灯）作为状态相关输出进行建模，事件确保根据系统状态正确呈现灯光行为。

实验结果

研究问题

• RQ1 如何使用事件B对飞机起落架系统的复杂实时行为进行形式化建模？
• RQ2 事件B中的逐步细化能否确保起落架部署和舱门操作等安全关键行为的正确性？
• RQ3 如何将时间约束和传感器监控整合到形式化模型中以检测异常？
• RQ4 基于证明的开发在验证航空电子系统的行为属性中起到什么作用？
• RQ5 该案例研究能否作为安全关键系统形式化验证的基准？

主要发现

• 形式化模型成功使用事件B捕捉了起落架、舱门和液压系统的时间与并发行为。
• 每个细化步骤均通过RODIN工具集进行了形式化证明，确保安全属性在整个开发过程中被保留。
• 异常检测机制经过形式化验证，可在传感器状态（如舱门、起落架、压力）偏离预期配置时被触发。
• 系统正确建模了飞行员接口灯光：仅当起落架锁定放下时显示绿灯，机动时显示琥珀灯，检测到异常时显示红灯。
• 时间推进事件（tic tock）通过确保未来时间值大于当前时间且不与待处理动作冲突，保障了时间一致性。
• 该模型表明，通过细化的形式化验证可有效应用于复杂实时航空电子系统，为DO-178B等标准下的认证提供了基础。