[论文解读] Simulations for Event-Clock Automata

S. Akshay, Paul Gastin+2 more|arXiv (Cornell University)|Jan 1, 2022

Formal Methods in Verification被引用 2

一句话总结

本文提出一种基于区域的可达性算法，用于事件时钟自动机（ECA），利用G-模拟确保有限性，从而克服预言时钟带来的挑战。与以往方法不同，该文表明即使仅包含预言时钟的事件预测ECA（event-predicting ECAs）也无需模拟即可实现有限性，而一般ECA则受益于时序自动机中已知最粗粒度的模拟关系，从而实现对时序规范的高效、实用验证。

ABSTRACT

Event-clock automata are a well-known subclass of timed automata which enjoy admirable theoretical properties, e.g., determinizability, and are practically useful to capture timed specifications. However, unlike for timed automata, there exist no implementations for event-clock automata. A main reason for this is the difficulty in adapting zone-based algorithms, critical in the timed automata setting, to the event-clock automata setting. This difficulty was studied in [Gilles Geeraerts et al., 2011; Gilles Geeraerts et al., 2014], where the authors also proposed a solution using zone extrapolations. In this paper, we propose an alternative zone-based algorithm, using simulations for finiteness, to solve the reachability problem for event-clock automata. Our algorithm exploits the 𝒢-simulation framework, which is the coarsest known simulation relation for reachability, and has been recently used for advances in other extensions of timed automata.

研究动机与目标

• 解决事件时钟自动机（ECA）缺乏高效、基于区域的算法的问题，尽管其在理论优势和实际应用中对时序行为建模具有重要意义。
• 克服预言时钟的根本挑战——与标准时钟不同，预言时钟引入未定义值和“到下一事件的时间”语义，破坏了标准区域抽象。
• 开发一种基于模拟的区域枚举方法，确保ECA可达性中的区域有限性，从而实现ECA模型检测的实际应用。
• 证明即使在仅含预言时钟的事件预测自动机（仅预言时钟）这一子类中，也无需模拟即可实现区域图的有限性，这是一个出人意料且新颖的发现。
• 弥合时序自动机技术与ECA之间的鸿沟，将G-模拟框架适配至ECA场景，实现现有TA工具技术进步的迁移。

提出的方法

• 提出预言时钟和区域图中未定义值的新表示方法，即使在非标准时钟语义下也能保持一致的区域抽象。
• 将时序自动机文献中已知最粗粒度的模拟关系——G-模拟框架——适配至ECA场景，以确保区域枚举的有限性。
• 在区域上定义一个模拟关系 ⪯A，该关系尊重事件时钟自动机的结构，利用时钟差值上的 ∼M 等价关系来控制区域复杂度。
• 通过证明每个区域在 ⪯A 下的下集是 ∼M-类的有限并集，从而证明模拟关系 ⪯A 的有限性，该证明依赖于时钟差值的有界性。
• 构建一个区域图，其中节点为（状态，区域）对，转移关系通过区域操作（如时间推进、动作转移）定义，并利用模拟关系剪枝冗余区域。
• 利用事件预测ECA（仅含预言时钟）的特性：由于时钟差值的固有结构约束，无需模拟即可实现有限性。

实验结果

研究问题

• RQ1 能否设计一种基于区域的可达性算法，用于事件时钟自动机，即使存在预言时钟也能确保有限性？
• RQ2 模拟在确保ECA区域图有限性中起什么作用？在某些子类中，是否可能在无需模拟的情况下实现有限性？
• RQ3 如何将此前用于时序自动机扩展的G-模拟框架，适配至ECA中以处理预言时钟的独特语义？
• RQ4 在多大程度上可以借助基于模拟的区域抽象，将现有时序自动机验证技术迁移至ECA？
• RQ5 是否存在事件预测ECA（仅含预言时钟的ECA）的某种结构特性，能从根本上防止区域爆炸？

主要发现

• 在区域图中使用的模拟关系 ⪯A 是有限的，确保了可达性算法的终止性和完备性。
• 对于事件预测ECA（仅使用预言时钟的ECA子类），区域图的有限性无需任何模拟即可实现，这是由于时钟差值的有界约束。
• 该算法枚举的不同区域数量被限制在 2^r 以内，其中 r 是时钟差值的 ∼M-等价类的数量，类似于经典时序自动机中的区域边界。
• 所提出的算法在结构上与标准时序自动机可达性算法完全相同，从而可直接复用现有的TA工具链和优化技术。
• 作者在TChecker中实现了该算法，开发出首个能够处理事件时钟自动机的开源工具，证明了其实际可行性。
• 本工作确立了ECA可达性可通过基于区域的方法高效求解，克服了以往通过翻译至时序自动机所导致的最坏情况下指数级膨胀的局限。