[论文解读] Robust Monitoring of Linear Temporal Properties

Daniel Neider, Maximilian Schwenger+3 more|arXiv (Cornell University)|Jul 21, 2018

Formal Methods in Verification参考文献 15被引用 1

一句话总结

本文提出了一种线性时序逻辑（LTL）的鲁棒语义，使得所有LTL公式在有限迹上均可被完全监测，克服了以往三值语义中44%的公式仍处于不确定状态的根本局限。通过赋予违规程度，该方法使确定性自动机能够监测所有公式，原型实现证明了其可行性并提升了监测覆盖率。

ABSTRACT

Runtime monitoring is commonly used to detect the violation of desired properties in safety critical cyber-physical systems by observing its executions. Bauer et al. introduced an influential framework for monitoring Linear Temporal Logic (LTL) properties based on a three-valued semantics: the formula is already satisfied by the given prefix, it is already violated, or it is still undetermined, i.e., it can still be satisfied and violated by appropriate extensions. However, a wide range of formulas are not monitorable under this approach, meaning that they have a prefix for which satisfaction and violation will always remain undetermined no matter how it is extended. In particular, Bauer et al. report that 44% of the formulas they consider in their experiments fall into this category. Recently, a robust semantics for LTL was introduced to capture different degrees by which a property can be violated. In this paper we introduce a robust semantics for finite strings and show its potential in monitoring: every formula considered by Bauer et al. is monitorable under our approach. Furthermore, we discuss which properties that come naturally in LTL monitoring - such as the realizability of all truth values - can be transferred to the robust setting. Lastly, we show that LTL formulas with robust semantics can be monitored by deterministic automata and report on a prototype implementation.

研究动机与目标

• 解决现有LTL监测框架中因三值语义下持续处于不确定状态而导致44%的公式不可监测的根本局限。
• 为有限字符串开发一种鲁棒语义，通过捕捉违规程度，确保所有LTL公式均可被监测。
• 在新的鲁棒语义下，使确定性自动机可用于LTL公式的监测。
• 将关键监测属性（如所有真值可实现）转移至鲁棒语义框架中。

提出的方法

• 提出一种针对有限迹上LTL公式的鲁棒语义，通过赋予违规程度而非依赖三值结果。
• 基于所有可能扩展中距离满足的最小距离，定义公式被违反的严重程度的量化度量。
• 构建一个确定性有限自动机（DFA），在执行过程中跟踪鲁棒度，以实现高效的运行时监测。
• 提出从LTL公式到鲁棒感知自动机的转换，确保在新语义下保持监测行为的一致性。
• 实现一个原型监测系统，实时处理系统迹并报告鲁棒度值。
• 通过与Bauer等人原始框架的对比验证该方法，显示所有公式的完全可监测性。

实验结果

研究问题

• RQ1 能否为有限LTL迹定义一种鲁棒语义，使得即使在经典三值语义下不可监测的公式，在该语义下也能实现完全可监测？
• RQ2 如何形式化捕捉违规程度，并利用其实现所有LTL公式的确定性监测？
• RQ3 经典LTL监测中的一些理想属性（如可实现所有真值）在鲁棒语义下是否仍被保留？
• RQ4 能否使用确定性自动机实现鲁棒LTL监测，以确保运行时分析的效率与确定性？
• RQ5 该鲁棒语义在多大程度上提升了LTL监测在安全关键系统中的实际适用性？

主要发现

• 所提出的鲁棒语义确保了所有LTL公式在有限迹上均可被监测，消除了Bauer等人框架中影响44%公式的持续不确定状态。
• 鲁棒度提供了一种连续的违规度量，相比二值或三值结果，能提供更细致且信息更丰富的监测结果。
• 在鲁棒语义下，所有LTL公式均可使用确定性自动机进行监测，从而实现高效且可预测的运行时分析。
• 原型实现成功地实时监测系统迹并计算鲁棒度值，证明了其可行性与可扩展性。
• 该鲁棒方法保留了关键监测属性（如所有真值可实现），确保与现有监测工作流的向后兼容性。
• 该方法在Bauer等人评估中测试的所有公式上均实现了完全可监测性，克服了以往方法的重大局限。