[论文解读] On modularity in reactive control architectures, with an application to formal verification

Oliver Biggar, Mohammad Zamani+1 more|arXiv (Cornell University)|Aug 28, 2020

Formal Methods in Verification被引用 5

一句话总结

本文提出了一种基于图的控制架构，称为决策结构（decision structure），其泛化了行为树（Behavior Trees）、Teleo-Reactive 程序和决策树等反应式控制系统的架构。该工作通过图论推导出的形式化模块概念定义了模块化，实现了多项式时间内的分解，从而得到独立且可验证的组件。其核心贡献是一个分层形式化验证框架，其中对模块的修改仅影响其局部上下文，通过局部验证保持正确性，从而实现对复杂网络物理系统的正式验证，且保证模块化与可组合性。

ABSTRACT

Modularity is a central principle throughout the design process for cyber-physical systems. Modularity reduces complexity and increases reuse of behavior. In this paper we pose and answer the following question: how can we identify independent `modules' within the structure of reactive control architectures? To this end, we propose a graph-structured control architecture we call a decision structure, and show how it generalises some reactive control architectures which are popular in Artificial Intelligence (AI) and robotics, specifically Teleo-Reactive programs (TRs), Decision Trees (DTs), Behavior Trees (BTs) and Generalised Behavior Trees ($k$-BTs). Inspired by the definition of a module in graph theory, we define modules in decision structures and show how each decision structure possesses a canonical decomposition into its modules. We can naturally characterise each of the BTs, $k$-BTs, DTs and TRs by properties of their module decomposition. This allows us to recognise which decision structures are equivalent to each of these architectures in quadratic time. Our proposed concept of modules extends to formal verification, under any verification scheme capable of verifying a decision structure. Namely, we prove that a modification to a module within a decision structure has no greater flow-on effects than a modification to an individual action within that structure. This enables verification on modules to be done locally and hierarchically, where structures can be verified and then repeatedly locally modified, with modules replaced by modules while preserving correctness. To illustrate the findings, we present an example of a solar-powered drone controlled by a decision structure. We use a Linear Temporal Logic-based verification scheme to verify the correctness of this structure, and then show how one can modify modules while preserving its correctness.

研究动机与目标

• 建立反应式控制架构中模块化的正式、数学基础定义。
• 在单一图论框架下统一多种控制范式——行为树（Behavior Trees）、k-Behavior Trees、Teleo-Reactive 程序与决策树（Decision Trees）。
• 通过确保模块修改仅影响其局部上下文，实现分层的、局部的形式化验证。
• 提出一个复杂度度量——本质复杂度（essential complexity），用于表征架构的表达能力与模块化程度。
• 证明在模块层面可逐步修改已验证的控制结构，同时保持正确性。

提出的方法

• 将决策结构定义为带标签节点与弧的有向无环图，泛化了现有的控制架构。
• 将模块定义为一组节点，其入边邻居与出边邻居完全相同，灵感来源于图论中的模块定义。
• 设计了一种时间复杂度为 O(n²k) 的多项式时间算法，用于计算任意决策结构的规范分解（canonical decomposition），得到其最大模块。
• 引入本质复杂度作为结构模块化程度的度量，定义为所有模块中最大环路复杂度（cyclomatic complexity）。
• 证明 k-Behavior Trees 恰好是本质复杂度为 1 的决策结构，从而提供了新的结构性表征。
• 将该框架应用于形式化验证，证明对模块的修改仅影响其自身行为，从而实现局部与分层验证。

实验结果

研究问题

• RQ1 如何正式定义反应式控制架构中的模块化，以支持组合式设计与验证？
• RQ2 我们能否在单一形式化框架下统一多种控制架构，如 BTs、k-BTs、TRs 与 DTs？
• RQ3 在控制架构中识别模块化组件的计算复杂度是多少？
• RQ4 所提出的模块化概念与结构化编程及软件工程中既有的概念有何关联？
• RQ5 我们能否保证对模块的局部修改不会破坏整个系统在形式化验证下的正确性？

主要发现

• 任意决策结构的规范分解为模块的计算时间复杂度为 O(n²k)，其中 n 为节点数，k 为标签数。
• 所提出的模块恰好对应于行为树（Behavior Trees）、k-Behavior Trees 与决策树（Decision Trees）中的子树，建立了完全一一对应关系。
• k-Behavior Trees 被形式化表征为本质复杂度为 1 的决策结构，提供了新颖的结构性刻画。
• 决策结构的本质复杂度等于其所有模块中最大环路复杂度，从而实现了模块化程度的量化度量。
• 对模块的修改仅影响其自身行为，不会传播至其边界之外，从而支持局部验证。
• 形式化验证可分层执行：已验证的结构可通过用新模块替换旧模块进行逐步修改，只要新模块满足相同规范，正确性即可保持。