[论文解读] System level specification and verification using Concurrent State Machines and COSMA environment

Wiktor B. Daszczuk, Jerzy Mieścicki+2 more|arXiv (Cornell University)|Mar 16, 2017

Formal Methods in Verification参考文献 2被引用 3

一句话总结

本文使用并发状态机（CSM）和COSMA 2.0环境，对交通灯控制器（TLC）进行了形式化的系统级规格说明与验证。结果表明，CSM模型能够有效支持对并发、异步组件的结构化规格说明，构建其可达性图，并正式验证系统需求，同时为后续VHDL代码生成提供实用指导。

ABSTRACT

Traffic Light Controller, a typical benchmark device, is specified and verified using of a formal model called Concurrent State Machines (CSM) and the software environment COSMA 2.0, which supports the system level specification and analysis of concurrent, asynchronous and communicating units. The TLC itself is a system of three concurrent components (the controller and two timers). The paper introduces briefly the CSM model and illustrates how system components are specified, how the reachability graph of a system is obtained and how the requirements are formally verified. Finally, the hints for the generation of VHDL code for the TLC are given.

研究动机与目标

• 展示一种针对并发、异步数字系统的系统级规格说明与验证的正式方法。
• 解决建模与验证具有相互依赖行为的多组件系统的复杂性问题。
• 通过可达性检查的形式化分析，验证系统需求的正确性。
• 为从形式化规格说明到硬件描述的转化提供实用路径，实现VHDL代码生成。

提出的方法

• 将交通灯控制器建模为三个并发组件（控制器和两个定时器）的系统，采用并发状态机（CSM）进行描述。
• 利用COSMA 2.0环境，通过显式的状态转移和通信协议，指定每个CSM组件的行为。
• 构建系统的全局可达性图，以探索所有可能的系统状态与转移。
• 通过检查可达性图中所有可达状态，正式验证系统级需求的满足情况。
• 应用模型检测技术，检测安全与活性属性的违反情况。
• 提供从CSM规格说明自动转换生成可综合VHDL代码的转换提示。

实验结果

研究问题

• RQ1 并发状态机（CSM）如何被有效用于建模复杂、并发且异步的系统组件？
• RQ2 COSMA 2.0环境在多大程度上支持系统级行为的规格说明与分析？
• RQ3 通过可达性分析的形式化验证，能否检测出如交通灯控制器这类系统的设计缺陷？
• RQ4 使用CSM与COSMA进行后续VHDL硬件实现具有哪些实际影响？
• RQ5 如何系统性地将形式化规格说明映射到硬件描述语言（如VHDL）？

主要发现

• CSM模型成功捕捉了交通灯控制器作为三个具有明确定义状态转移的交互组件的行为特征。
• COSMA 2.0环境支持自动生成系统的完整可达性图，促进对状态空间的全面探索。
• 形式化验证确认，所有指定的安全与活性需求在所有可达系统状态中均得到满足。
• 分析未发现状态违规或死锁，验证了系统设计的正确性。
• 本文提供了清晰、可追溯的指南，用于将CSM规格说明转换为可综合的VHDL代码。
• 该方法展示了在硬件设计早期阶段，使用形式化方法进行系统级验证的可行性。