[论文解读] Satisfiability Modulo ODEs

Sicun Gao, Soonho Kong+1 more|arXiv (Cornell University)|Oct 30, 2013

Formal Methods in Verification参考文献 20被引用 29

一句话总结

本文提出了一种针对实数上带有常微分方程（ODEs）的SMT公式之$δ$-完备决策程序，采用基于区间的剪枝算子的DPLL(ICP)框架。该方法可扩展至数百个非线性ODE，并支持纯存在性公式以及$Δ\forall^{t}$-公式，从而实现对实际混合系统和嵌入式软件的正式验证。

ABSTRACT

We study SMT problems over the reals containing ordinary differential equations. They are important for formal verification of realistic hybrid systems and embedded software. We develop delta-complete algorithms for SMT formulas that are purely existentially quantified, as well as exists-forall formulas whose universal quantification is restricted to the time variables. We demonstrate scalability of the algorithms, as implemented in our open-source solver dReal, on SMT benchmarks with several hundred nonlinear ODEs and variables.

研究动机与目标

• 解决涉及复杂非线性ODE的混合系统和嵌入式软件形式化验证的挑战。
• 通过引入$δ$-完备决策程序，克服实数上一阶逻辑与ODE结合时的不可判定性问题。
• 实现对包含数百个非线性ODE和变量的大规模SMT公式的可扩展推理，尤其适用于有界模型检测。
• 将SMT求解扩展至处理$Δ\forall^{t}$-公式，此类公式对于表达混合系统中的有界时间性质至关重要。
• 形式化并实现一种实用、可靠且$δ$-完备的框架，用于ODE约束下的SMT求解，结合区间分析与约束传播技术。

提出的方法

• 将实数上的SMT与ODE形式化为一个决策问题，将ODE解函数视为初始状态、时间与最终状态之间的约束。
• 设计剪枝算子，利用区间约束传播（ICP）技术对初始状态、时间与最终状态的区间赋值进行细化。
• 将ODE约束集成到DPLL(ICP)框架中，其中ODE解函数作为分支与剪枝算法中的黑箱约束。
• 定义$δ$-正则区间扩展，以确保在$δ$-扰动下的可靠性与完备性，避免区间算术中的技术问题。
• 通过将全称量化限制在时间变量上，处理$Δ\forall^{t}$-公式，从而实现对混合系统有界时间性质的验证。
• 在开源求解器dReal中实现算法，利用高效的区间算术与非线性系统ODE积分技术。

实验结果

研究问题

• RQ1 尽管实数上一阶理论与ODE结合时不可判定，是否仍可为一般Lipschitz连续ODE的SMT公式开发出$δ$-完备决策程序？
• RQ2 所提出的框架是否可扩展至包含数百个非线性ODE和复杂混合系统动态的实际基准？
• RQ3 如何在ODE的SMT中有效处理$Δ\forall^{t}$-公式，这类公式对混合系统有界模型检测至关重要？
• RQ4 基于ODE解函数的区间剪枝算子是否能确保$δ$-完备性，同时保持实际性能？
• RQ5 基于该框架的dReal求解器在多大程度上可验证真实世界混合系统（如心脏与癌症治疗模型）中的可达性与安全性性质？

主要发现

• 所提出的$δ$-完备算法在形式上被证明对Lipschitz连续ODE的SMT公式是可靠且完备的。
• dReal求解器成功处理了一个包含280个非线性ODE和616个变量的基准，求解了心房颤动模型在深度55的有界模型检测实例。
• 对于心房颤动（AF）模型，dReal计算出的轨迹与实验仿真数据高度吻合，确认了在1500个时间单位时的可达性性质。
• 癌症治疗（CT）模型在500个时间单位内深度为3时被成功验证，计算出的轨迹与实验数据一致，证明了解决方案的正确性。
• 电子振荡器（EO）与小球弹跳模型被高效验证，表明其在含三角函数与非线性阻尼项的标准非线性ODE上的鲁棒性。
• 该工具可扩展至包含最多280个非线性ODE的基准，使用标准3.4GHz八核机器，CPU时间均低于100秒，展示了实际可扩展性。