[论文解读] On Methods for the Formal Specification of Fault Tolerant Systems

Manuel Mazzara|arXiv (Cornell University)|Jul 8, 2012

Software Reliability and Analysis Research被引用 8

一句话总结

本文提出了分层容错规范（LFTS），一种通过将正常行为与异常行为分离到不同层次来形式化指定容错系统的方法。该方法采用依赖/保证推理并结合故障注入器（EI）来建模环境故障，确保在干扰下系统行为的正确性。其主要贡献是一个结构化、可扩展的框架，提升了真实世界系统中规范的清晰度与容错能力，通过一个汽车定速控制系统案例研究得到验证。

ABSTRACT

This paper introduces different views for understanding problems and faults with the goal of defining a method for the formal specification of systems. The idea of Layered Fault Tolerant Specification (LFTS) is proposed to make the method extensible to fault tolerant systems. The principle is layering the specification in different levels, the first one for the normal behavior and the others for the abnormal. The abnormal behavior is described in terms of an Error Injector (EI), which represents a model of the erroneous interference coming from the environment. This structure has been inspired by the notion of idealized fault tolerant component but the combination of LFTS and EI using Rely/Guarantee reasoning to describe their interaction can be considered as a novel contribution. The progress toward this method and this way to organize fault tolerant specifications has been made experimenting on case studies and an example is presented.

研究动机与目标

• 开发一种形式化方法，用于指定在真实物理世界中运行的系统，其中必须对环境故障进行形式化建模。
• 解决形式化规范中缺乏结构化、可扩展方法的问题，特别是在基础形式化符号之外的应用。
• 通过形式化问题视图（静态与动态）及故障建模，提升需求工程中的沟通效率与精确度。
• 通过将规范划分为正常与异常行为层并施加形式化条件，确保在干扰下系统行为的可靠性。
• 通过实际案例研究验证该方法，包括具备故障处理能力的汽车定速控制系统。

提出的方法

• 提出分层容错规范（LFTS），将系统行为组织为两个独立层次：一个用于正常运行，另一个用于故障条件下的异常行为。
• 引入故障注入器（EI）作为环境故障的形式化模型，用于模拟错误输入或系统扰动。
• 应用依赖/保证推理，正式验证系统与故障注入器之间的交互，确保在干扰下的正确性。
• 采用两层结构：第一层指定正常行为，包含先决条件（P）、后置条件（R）与不变式（Q）；第二层指定故障恢复，采用较弱的保证条件（G）。
• 使用自然语言规范描述系统行为，辅以P、Q、R、G条件，避免完全数学化建模以提升可访问性。
• 通过简化版的汽车定速控制系统案例研究验证该方法，展示故障检测如何触发安全关机，而非错误的控制动作。

实验结果

研究问题

• RQ1 如何设计形式化规范方法，以同时处理真实世界系统中的正常行为与故障引发的行为？
• RQ2 在不依赖单体或临时性方法的前提下，如何有效建模环境故障的形式化规范？
• RQ3 如何将依赖/保证推理适配到分层规范框架中，以验证故障注入下的系统行为？
• RQ4 与单体形式化规范相比，分层规范方法是否能提升容错系统设计的清晰度与正确性？
• RQ5 如何在支持容错的形式化方法中，一致地整合系统的静态与动态视图？

主要发现

• LFTS方法实现了正常行为与故障处理行为之间的清晰职责分离，提升了规范的可维护性与正确性。
• 将故障注入器（EI）与依赖/保证推理相结合，实现了对环境故障下系统行为的形式化验证。
• 在定速控制系统案例研究中，分层方法正确地建模了故障检测与安全关机机制，防止了传感器数据被污染时的危险控制行为。
• 该方法确保即使在干扰下，后置条件如 'count = n and overline{n} = 0' 仍能保持不变，体现了系统鲁棒性。
• 该方法支持实际工具集成与可扩展性，如可插入不同故障模型与验证条件。
• 该方法为扩展如杰克逊图等形式化方法提供了基础，以在容错系统设计中连接静态与动态视图。