[论文解读] Refinement Calculus of Reactive Systems

Viorel Preoteasa, Stavros Tripakis|arXiv (Cornell University)|Jun 23, 2014

Formal Methods in Verification参考文献 55被引用 6

一句话总结

本文提出了一种用于反应式系统的精化演算，采用单调性属性转换器将输出轨迹映射到输入轨迹，从而支持对安全性和生存性属性的组合式推理。该方法将经典精化演算推广至无限行为，并通过高阶逻辑、线性时序逻辑（LTL）和符号化转移系统支持精化、组合与兼容性检查。

ABSTRACT

Refinement calculus is a powerful and expressive tool for reasoning about sequential programs in a compositional manner. In this paper we present an extension of refinement calculus for reactive systems. Refinement calculus is based on monotonic predicate transformers, which transform sets of post-states into sets of pre-states. To model reactive systems, we introduce monotonic property transformers, which transform sets of output traces into sets of input traces. We show how to model in this semantics refinement, sequential composition, demonic choice, and other semantic operations on reactive systems. We use primarily higher order logic to express our results, but we also show how property transformers can be defined using other formalisms more amenable to automation, such as linear temporal logic (suitable for specifications) and symbolic transition systems (suitable for implementations). Finally, we show how this framework generalizes previous work on relational interfaces so as to be able to express systems with infinite behaviors and liveness properties.

研究动机与目标

• 将原本专为顺序程序设计的精化演算扩展至支持具有无限行为和生存性属性的反应式系统。
• 为反应式系统提供一种支持精化、顺序组合、恶魔选择和兼容性检查的组合语义。
• 将先前的关联接口模型推广至处理生存性及非响应性、非确定性系统。
• 支持使用多种形式化方法（包括高阶逻辑、线性时序逻辑（LTL）和符号化转移系统）进行规格说明与验证。

提出的方法

• 引入单调性属性转换器，将输出轨迹集合映射到输入轨迹集合，将顺序系统的谓词转换器推广至反应式系统。
• 使用高阶逻辑定义系统语义，将属性转换器表示为输入轨迹与输出轨迹之间的关系，包含状态演化和约束条件。
• 使用LTL对系统组件进行规格说明（例如：安全性：□(x≥0)，生存性：□◇(x=1)），并使用符号化转移系统实现系统组件。
• 通过属性转换器之间的逻辑蕴含关系支持精化，实现以更具体组件替换更抽象组件。
• 使用恶魔选择建模非确定性行为，并通过前置条件-后置条件推理支持兼容性检查。
• 将生存性属性（例如：□◇y）整合到输入-输出关系中，确保系统无论输入如何均能保证该属性。

实验结果

研究问题

• RQ1 如何将精化演算扩展以支持具有无限行为和生存性属性的反应式系统？
• RQ2 是否可以定义属性转换器，使其在组合式框架中同时支持安全性和生存性推理？
• RQ3 如何利用输入-输出轨迹关系正式检查反应式组件之间的兼容性？
• RQ4 该框架能否将先前的关联接口模型推广至包含生存性和非响应性系统？
• RQ5 如何将精化应用于反应式系统，以支持行为子类型和组件替换？

主要发现

• 该框架成功使用单调性属性转换器对反应式系统进行建模，将输出轨迹转换为输入轨迹，从而实现组合式推理。
• 论文证明了不兼容系统组合（例如：A = □(x≥0) 和 B = □◇(x=1)）可通过轨迹语义和前置条件违反被正式检测到。
• 示例系统 EXAMPLE 同时满足安全性（−1 ≤ u ≤ 3）和生存性（□◇y），并已证明所有有效输入均保持生存性属性。
• 通过逻辑蕴含关系确立精化：EXAMPLE ⊑ [x ↝ y | □y]，表明更简单的系统可无损替换更复杂的系统。
• 当输入满足附加属性（例如：□(x ⇔ ¬x̄)）时，生存性要求□◇y将被保证，系统可被精化为更简单的符号化转移系统。
• 恒等式 EXAMPLE = EXAMPLE; {y | □◇y} 表明 EXAMPLE 的输出天然满足生存性属性，因而可安全用作下游组件的输入。