[论文解读] Verified Runtime Validation for Partially Observable Hybrid Systems

Stefan Mitsch, André Platzer|arXiv (Cornell University)|Nov 15, 2018

Formal Methods in Verification参考文献 33被引用 7

一句话总结

本文提出了一种形式化验证的运行时监控方法，适用于部分可观测的混合系统，从经过验证的混合系统模型中合成可证明正确的监控条件。通过考虑有界传感器不确定性与执行器扰动，该方法确保满足监控条件可推导出运行时的可证明安全性，从而实现对模型偏差的早期检测以及具备形式化正确性保证的故障切换控制。

ABSTRACT

Formal verification provides strong safety guarantees but only for models of cyber-physical systems. Hybrid system models describe the required interplay of computation and physical dynamics, which is crucial to guarantee what computations lead to safe physical behavior (e.g., cars should not collide). Control computations that affect physical dynamics must act in advance to avoid possibly unsafe future circumstances. Formal verification then ensures that the controllers correctly identify and provably avoid unsafe future situations under a certain model of physics. But any model of physics necessarily deviates from reality and, moreover, any observation with real sensors and manipulation with real actuators is subject to uncertainty. This makes runtime validation a crucial step to monitor whether the model assumptions hold for the real system implementation. The key question is what property needs to be runtime-monitored and what a satisfied runtime monitor entails about the safety of the system: the observations of a runtime monitor only relate back to the safety of the system if they are themselves accompanied by a proof of correctness! For an unbroken chain of correctness guarantees, we, thus, synthesize runtime monitors in a provably correct way from provably safe hybrid system models. This paper addresses the inevitable challenge of making the synthesized monitoring conditions robust to partial observability of sensor uncertainty and partial controllability due to actuator disturbance. We show that the monitoring conditions result in provable safety guarantees with fallback controllers that react to monitor violation at runtime.

研究动机与目标

• 为解决从经过验证的混合系统模型向现实世界CPS实现转移形式化安全保证所面临的重大挑战，尤其是在存在不确定性的情况下。
• 在部分可观测与部分可控制的条件下，识别出必须在运行时监控的精确属性，以确保系统安全。
• 开发一种方法，从经过验证的模型中合成监控条件，使得监控条件的满足可推导出实际系统的可证明安全性。
• 区分不安全的环境行为与由传感器/执行器不确定性引起的偏差，从而实现针对性的故障切换控制。

提出的方法

• 该方法使用微分动态逻辑（dL）来形式化指定监控条件，使其相对于经过验证的混合系统模型具有可证明的正确性。
• 将有界传感器不确定性与执行器扰动纳入模型，明确考虑部分可观测性与部分可控制性。
• 使用证明策略在离线阶段合成监控条件，以确保正确性并具备对有界扰动的鲁棒性。
• 该方法生成的监控器能够基于当前状态与模型动态，预测未来可能的不安全行为，从而提前发出警告。
• 运行时监控器使用实数运算，将实时传感器数据与合成条件进行比对，实现快速可靠的决策。
• 采用类似Simplex的运行时架构，在监控条件被违反时触发故障切换控制器，确保在模型偏差情况下的安全性。

实验结果

研究问题

• RQ1 在存在传感器不确定性与执行器扰动的情况下，运行时必须监控何种属性，才能可证明地保证系统安全？
• RQ2 如何从经过验证的混合系统模型中合成监控条件，使得其满足可推导出实际CPS系统的安全性？
• RQ3 该方法如何区分不安全的环境行为与由系统不确定性（传感器/执行器）引起的偏差？
• RQ4 该方法如何确保监控器在不安全状态被达到之前提供早期预警，而非事后的反应？
• RQ5 关于监控过程的正确性及其与离线安全证明之间关系，可以提供何种形式化保证？

主要发现

• 所提出的方法合成的监控条件相对于经过验证的混合系统模型具有形式化证明的正确性，确保监控条件的满足可推导出系统安全性。
• 监控器对有界传感器不确定性与执行器扰动具有鲁棒性，能够在长时间内可靠检测模型偏差。
• 该方法通过基于当前状态与系统动态预测未来可能的不安全行为，实现潜在安全违规的早期检测。
• 与先前方法不同，该方法显式建模连续动态与传感器/执行器行为，避免了对离散采样或分段常数行为的假设。
• 该方法将昂贵的验证与合成计算移至离线阶段，仅使用传感器输入的实数运算即可实现快速的运行时评估。
• 该框架支持类似Simplex的架构，当监控条件被违反时触发故障切换控制器，即使在模型偏差下也能确保安全性。