[论文解读] Quantized Feedback Control Software Synthesis from System Level Formal Specifications for Buck DC/DC Converters

Federico Mari, Igor Melatti+2 more|arXiv (Cornell University)|May 27, 2011

Embedded Systems Design Techniques参考文献 5被引用 3

一句话总结

本文提出一种基于形式化模型的自动合成方法，用于生成适用于降压DC-DC转换器的正确性可保证的嵌入式控制软件，采用量化反馈控制。该方法利用名为QKS的工具，从系统级形式化规格（安全性与活锁性）、被控对象模型（作为离散时间线性混合系统，DTLHS）以及实现约束（如AD位数）中生成控制软件，实现最坏情况执行时间与位数呈线性关系，并确保对参数变化的鲁棒性。

ABSTRACT

Many Embedded Systems are indeed Software Based Control Systems (SBCSs), that is control systems whose controller consists of control software running on a microcontroller device. This motivates investigation on Formal Model Based Design approaches for automatic synthesis of SBCS control software. In previous works we presented an algorithm, along with a tool QKS implementing it, that from a formal model (as a Discrete Time Linear Hybrid System, DTLHS) of the controlled system (plant), implementation specifications (that is, number of bits in the Analog-to-Digital, AD, conversion) and System Level Formal Specifications (that is, safety and liveness requirements for the closed loop system) returns correct-by-construction control software that has a Worst Case Execution Time (WCET) linear in the number of AD bits and meets the given specifications. In this technical report we present full experimental results on using it to synthesize control software for two versions of buck DC-DC converters (single-input and multi-input), a widely used mixed-mode analog circuit.

研究动机与目标

• 为解决在诸如电力电子等安全关键应用中，手动设计正确且高效的嵌入式控制系统软件所面临的挑战。
• 实现控制软件的自动合成，确保其在形式上满足系统级安全性与活锁性规格。
• 确保生成的软件具有可预测且有界的最坏情况执行时间（WCET），且WCET与模数（AD）转换位数呈线性关系。
• 通过考虑输入电压和负载等关键参数的预期变化，支持鲁棒控制器的合成。

提出的方法

• 将被控对象（降压转换器）建模为离散时间线性混合系统（DTLHS），以同时捕捉连续动态与离散控制逻辑。
• 将系统级规格形式化为闭环系统行为上的安全性与活锁性属性。
• 将量化约束（AD位数）作为实现参数，以限制状态空间并支持高效合成。
• 在QKS工具中使用混合整数线性规划（MILP）求解器，计算满足形式化规格的控制律与可控制区域。
• 生成具有有界最坏情况执行时间（WCET）的C代码，WCET与AD位数呈线性关系，确保实时可行性。
• 生成保证的操作区域（受控区域），以确保在状态违反时能够实现故障检测与恢复。

实验结果

研究问题

• RQ1 形式化模型驱动的自动合成能否生成具有可预测最坏情况执行时间的正确性可保证的降压DC-DC转换器控制软件？
• RQ2 AD位数的数量如何影响合成性能与控制软件的复杂度？
• RQ3 该方法能否生成可容忍输入电压与负载参数变化的鲁棒控制器？
• RQ4 在多输入降压转换器中，合成过程的可扩展性如何？
• RQ5 QKS工具在求解真实世界功率转换器模型的底层MILP问题时，效率如何？

主要发现

• 对于单输入降压转换器，QKS工具成功生成了正确性可保证的控制软件，WCET与AD位数呈线性关系，总合成时间为2.88e+04秒，内存使用量为6.41e+07字节（b=8位）。
• 多输入降压转换器的合成性能随输入数量增加而扩展：当n=4时，总CPU时间达到6.43e+05秒，内存使用量为9.51e+07字节，合成成功（μ = Sol）。
• 所求解的MILP实例数量随输入数量显著增加，例如在n=4时，MILP类型5的实例数达5.5e+07个，总耗时1.1e+05秒。
• 成功计算并可视化了单输入与多输入降压转换器在不同字长（b=8至b=11）与输入数量（n=1至n=4）下的受控区域（保证的操作范围）。
• 所有测试配置下，合成过程均保持可扩展且正确，未报告任何失败（所有μ = Sol）或超时。
• 大多数MILP实例的平均求解时间保持在10ms以内，表明即使在大规模场景下，求解性能依然高效。