[论文解读] Modelling and Verification of Multiple UAV Mission Using SMV

Gopinadh Sirigineedi, Antonios Tsourdos+2 more|CERES (Cranfield University)|Mar 1, 2010

Formal Methods in Verification参考文献 23被引用 6

一句话总结

本文提出了一种基于Kripke模型和SMV模型检查器的CTL属性形式化验证框架，用于多架无人飞行器（UAV）协同搜索任务。该框架对UAV行为、环境威胁及机间协同进行建模，验证了安全性和活锁性质—成功检测到死锁情况，并确认所有指定的时序逻辑属性均成立。

ABSTRACT

Model checking has been used to verify the correctness of digital circuits, security protocols, communication protocols, as they can be modelled by means of finite state transition model. However, modelling the behaviour of hybrid systems like UAVs in a Kripke model is challenging. This work is aimed at capturing the behaviour of an UAV performing cooperative search mission into a Kripke model, so as to verify it against the temporal properties expressed in Computation Tree Logic (CTL). SMV model checker is used for the purpose of model checking.

研究动机与目标

• 使用Kripke结构对多架UAV执行协同搜索任务的行为进行形式化建模。
• 使用计算树逻辑（CTL）验证任务关键的安全性和活锁性质。
• 通过自动化模型检查检测潜在的死锁和系统故障。
• 展示SMV在验证复杂并发UAV操作中的可行性。
• 为确保任务关键型UAV系统正确性提供一个形式化框架。

提出的方法

• 将UAV任务建模为Kripke结构，捕捉状态、转移及与环境的交互。
• 状态变量表示UAV位置、航向、威胁存在性以及其他UAV的运动选择。
• 非确定性变量用于建模外部威胁及其他UAV的决策，以反映不确定性。
• 使用SMV模型检查器验证表达安全性、运动规则及无死锁性的CTL属性。
• 通过时序逻辑公式编码属性，包括AG（始终）和蕴含关系以表达条件行为。
• 通过违反“至少一个自由单元”条件来模拟死锁场景，并生成轨迹以验证故障情况。

实验结果

研究问题

• RQ1 Kripke模型能否准确表示多架协同UAV在搜索任务中的行为？
• RQ2 SMV模型检查器能否验证以CTL表达的关键安全性和运动控制性质？
• RQ3 该模型能否检测到因威胁或拥堵导致UAV无法继续前进的潜在死锁场景？
• RQ4 指定的时序逻辑属性（如正确航向行为和威胁规避）是否被验证为真？
• RQ5 形式化方法（如模型检查）能否有效替代或补充传统测试用于UAV任务软件？

主要发现

• SMV验证了所有指定的CTL属性，包括运动规则和威胁规避，结果均为真。
• 当所有邻近单元均存在威胁时，模型成功检测到死锁场景，确认系统无法继续推进。
• 验证在2.2 GHz处理器上耗时0.046875秒用户时间和0.015625秒系统时间完成。
• 属性“UAV始终具有90°或270°航向”在所有系统路径中均被确认为真。
• 安全属性“若某单元受威胁或被其他UAV占据，则UAV不会进入该单元”被验证为正确。
• SMV生成了死锁情况的轨迹，如图11所示，经视觉确认，证明了模型暴露系统故障的能力。