[论文解读] Resolute: An Assurance Case Language for Architecture Models

Andrew Gacek, John Backes+3 more|arXiv (Cornell University)|Sep 16, 2014

Safety Systems Engineering in Autonomy参考文献 16被引用 7

一句话总结

Resolute 是一种形式化保证案例语言，可从 AADL 系统架构模型、逻辑规则和形式化验证结果自动生成严格且机器可检查的保证案例。通过将保证案例与架构模型紧密耦合，它确保了复杂系统（如无人机）在安全与安全论证中的一致性，并减少了人为错误。

ABSTRACT

Arguments about the safety, security, and correctness of a complex system are often made in the form of an assurance case. An assurance case is a structured argument, often represented with a graphical interface, that presents and supports claims about a system's behavior. The argument may combine different kinds of evidence to justify its top level claim. While assurance cases deliver some level of guarantee of a system's correctness, they lack the rigor that proofs from formal methods typically provide. Furthermore, changes in the structure of a model during development may result in inconsistencies between a design and its assurance case. Our solution is a framework for automatically generating assurance cases based on 1) a system model specified in an architectural design language, 2) a set of logical rules expressed in a domain specific language that we have developed, and 3) the results of other formal analyses that have been run on the model. We argue that the rigor of these automatically generated assurance cases exceeds those of traditional assurance case arguments because of their more formal logical foundation and direct connection to the architectural model.

研究动机与目标

• 解决开发过程中系统架构模型与保证案例之间的一致性问题。
• 通过将保证案例建立在形式化方法和架构模型之上，提升其严谨性。
• 自动从 AADL 模型、领域特定规则和形式化验证结果生成保证案例。
• 实现对导致保证案例声明失效的设计变更的早期检测。
• 支持将异构证据（例如，模型检查、证明）整合到统一、可追溯的论证结构中。

提出的方法

• Resolute 使用领域特定语言（DSL）表达逻辑规则，将架构组件和属性映射到保证案例元素。
• 将形式化验证结果（例如，模型检查输出）作为证据集成到保证案例结构中。
• 基于 AADL 模型和相关规则，自动以结构化、机器可检查的格式生成保证案例。
• 通过将保证案例声明直接链接到架构模型元素，强制保证一致性，当模型变更时标记不一致。
• Resolute 支持从顶层声明到证据的可追溯性，使用类似于 GSN 的目标结构符号，但具有形式化基础。
• 该框架实现为一个工具链，处理 AADL 模型，应用规则，并输出与形式化分析兼容的保证案例制品。

实验结果

研究问题

• RQ1 如何从架构模型自动生成保证案例，以提升一致性和严谨性？
• RQ2 何种机制可确保系统架构的变更立即反映在保证案例中？
• RQ3 如何将多样化的形式化验证结果整合到一个统一、连贯的保证案例中？
• RQ4 与传统手动方法相比，将证明和形式逻辑嵌入保证案例在多大程度上提升了其可靠性？
• RQ5 形式化保证案例语言在多大程度上可降低安全与安全案例中论证谬误和推理不完整的风险？

主要发现

• Resolute 能够成功生成与 AADL 架构模型直接可追溯的保证案例，确保了设计与论证之间的一致性。
• 当架构变更使先前的保证案例声明失效时，该工具能够标记出不一致，从而实现潜在风险的早期检测。
• 通过将保证案例建立在形式逻辑和验证结果之上，Resolute 相较于非正式或手动的保证案例，显著提升了论证的严谨性和可信度。
• 该框架支持将异构证据（如模型检查、证明和测试）整合到统一、结构化的论证中。
• 通过强制实施形式化结构和可追溯性，Resolute 的方法降低了人为错误和论证谬误的风险。
• 该工具链已在 HACMS 计划的无人机设计中得到验证，证明了其在真实航空电子系统和网络安全场景中的实用性。