Formal MethodsFormal Verification o

Formal Methods


Formal Verification of Safety-Critical Software (Powerpoint)

Almost all of the capabilities developed in this project depend on the use of formal verification tools such as model checkers and theorem provers. Model checkers use a variety of underlying technologies, but essentially work by checking if a property holds for every reachable state. Recent breakthroughs have made it possible for symbolic (BDD-based) model checkers to explore very large (1020 to 10200) reachable states. Bounded model checkers use a combination of state space exploration and induction to deal with even larger state spaces.

The primary advantage of model checkers is that they are relatively easy to use and produce counterexamples when a property is not true. Their main disadvantage is that even moderately large models can still exceed the capacity of the model checker.
Theorem proving is a technique where both the system and its desired properties are expressed as formulas in a mathematical logic, and these properties are shown to hold through use of a mechanical theorem prover. While theorem provers do not have the state space limitation of model checkers, they generally require more skill and labor to prove the desired properties.

As part of this project, we have developed translators from several modeling languages to a variety of model checkers and theorem provers. In the first part of the project, we demonstrated the viability of this approach by developing translators from the RSML-e language to the NuSMV model checker and the PVS theorem prover. Using these translators, we were able to prove hundreds of functional and safety properties about the mode logic of a Flight Guidance System, finding several errors in the process. More details can be found in the papers listed at the end of this page.



To make this same capability available with commercial tools, we recently developed translators from the Lustre language that the SCADE tool set from Esterel Technologies is based on, making it possible to prove properties about SCADE models. By using the Simulink gateway provided by Esterel Technologies, we have also been able to prove properties of Simulink models.



Most recently, we have developed a translator from Lustre to the SAL (Symbolic Analysis Language) developed by SRI International, allowing us to use the model checkers and theorem provers included in the SAL toolset. We have also developed translators from the Reactis test case generation tool to Lustre, providing an alternative path from Simulink to Lustre. This translator is being extended to support a subset of StateFlow models as well as Simulink.

ผลลัพธ์ (ไทย) 1:

วิธีการทางตรวจสอบอย่างเป็นทางการของซอฟต์แวร์ความปลอดภัยสำคัญ (Powerpoint)ความสามารถในการพัฒนาในโครงการนี้เกือบทั้งหมดขึ้นอยู่กับการใช้เครื่องมือตรวจสอบทางหมากแบบจำลองและทฤษฎีบท provers หมากฮอสรุ่นใช้เทคโนโลยีพื้นฐานที่หลากหลาย แต่หลัก โดยตรวจสอบว่ามีคุณสมบัติสำหรับทุกรัฐสามารถเข้าถึง นวัตกรรมใหม่ล่าสุดได้ทำสำหรับหมากฮอสรุ่น (จาก BDD) สัญลักษณ์แห่งมีขนาดใหญ่มาก (1020-10200) เข้าอเมริกา หมากฮอสรุ่นกี่ใช้สำรวจพื้นที่ของรัฐและการเหนี่ยวนำการจัดการกับช่องว่างของรัฐขนาดใหญ่กว่าประโยชน์หลักของหมากรุกรุ่นไม่ว่า จะค่อนข้างง่าย และผลิต counterexamples เมื่อคุณสมบัติไม่เป็นความจริง ข้อเสียหลักของพวกเขาคือ ว่า รุ่นจะค่อนข้างใหญ่สามารถยังคงเกินความจุของตัวตรวจสอบรูปแบบการพิสูจน์ทฤษฎีบทเป็นเทคนิคหนึ่งที่ระบบและคุณสมบัติที่ต้องแสดงเป็นสูตรในตรรกศาสตร์เชิงคณิตศาสตร์ และคุณสมบัติเหล่านี้จะถูกแสดงเพื่อเก็บผ่านใช้ของ prover ทฤษฎีบทกล ขณะทฤษฎีบท provers ไม่มีข้อจำกัดของพื้นที่รัฐของหมากฮอสรุ่น พวกเขาโดยทั่วไปต้องการเพิ่มเติมทักษะและแรงงานเพื่อพิสูจน์คุณสมบัติที่ต้องการเป็นส่วนหนึ่งของโครงการนี้ เราได้พัฒนานักแปลจากหลาย ๆ โมเดลภาษากับหมากฮอสแบบจำลองและทฤษฎีบท provers ในส่วนแรกของโครงการ เราแสดงศักยภาพของวิธีการนี้ โดยการพัฒนานักแปลจากภาษาอี RSML สามารถตรวจสอบรุ่น NuSMV และ prover ทฤษฎีบท PVS ใช้นักแปลเหล่านี้ เราไม่สามารถพิสูจน์หลายร้อยหน้าที่และคุณสมบัติด้านความปลอดภัยเกี่ยวกับตรรกะโหมดของระบบคำแนะนำการบิน ค้นหาข้อผิดพลาดต่าง ๆ ในการ รายละเอียดเพิ่มเติมสามารถพบได้ในเอกสารที่ระบุไว้ในตอนท้ายของหน้านี้เพื่อทำให้ความสามารถเดียวกันนี้พร้อม ด้วยเครื่องมือทางการค้า เราเพิ่งพัฒนาแปลจากโกลเด้นภาษาที่เครื่องมือ SCADE จาก Esterel เทคโนโลยีขึ้นอยู่กับ ทำให้สามารถพิสูจน์คุณสมบัติเกี่ยวกับรุ่น SCADE โดยใช้เกตเวย์ Simulink โดยเทคโนโลยี Esterel เรามียังได้พิสูจน์คุณสมบัติรุ่น Simulinkล่าสุด เราได้พัฒนาตัวแปลจากความวาวการแซล (สัญลักษณ์การวิเคราะห์ภาษา) ที่พัฒนา โดยนานาชาติศรี ทำให้เราสามารถใช้รูปแบบหมากและทฤษฎีบท provers ในงานแซล นอกจากนี้เรายังได้พัฒนาแปลจากเครื่องมือการสร้างกรณีทดสอบ Reactis เพื่อความวาว ให้มีเส้นทางสำรองจาก Simulink โกลเด้น แปลนี้จะมีขยายการสนับสนุนชุดย่อยของแบบจำลอง StateFlow เป็น Simulink

ผลลัพธ์ (ไทย) 2:

วิธีการอย่างเป็นทางการการตรวจสอบอย่างเป็นทางการของความปลอดภัยที่สำคัญซอฟท์แว (Powerpoint) เกือบทั้งหมดของความสามารถในการพัฒนาในโครงการนี้ขึ้นอยู่กับการใช้เครื่องมือในการตรวจสอบอย่างเป็นทางการเช่นการตรวจสอบรูปแบบและ provers ทฤษฎีบท ตรวจสอบรุ่นใช้ความหลากหลายของเทคโนโลยีพื้นฐาน แต่เป็นหลักทำงานโดยการตรวจสอบว่าสถานที่ให้บริการถือสำหรับทุกรัฐสามารถเข้าถึงได้ นวัตกรรมล่าสุดได้ทำให้มันเป็นไปได้สำหรับสัญลักษณ์หมากฮอส (BDD-based) รูปแบบการสำรวจขนาดใหญ่มาก (1020-10200) รัฐสามารถเข้าถึงได้ ขอบเขตการตรวจสอบรูปแบบการใช้การรวมกันของการสำรวจอวกาศของรัฐและเหนี่ยวนำที่จะจัดการกับช่องว่างของรัฐขนาดใหญ่ได้เปรียบหลักของการตรวจสอบรูปแบบคือการที่พวกเขาจะค่อนข้างที่จะใช้และผลิต counterexamples ง่ายเมื่อสถานที่ให้บริการไม่เป็นความจริง ข้อเสียเปรียบหลักของพวกเขาคือว่ารูปแบบยิ่งใหญ่ปานกลางยังคงสามารถเกินขีดความสามารถของการตรวจสอบรูปแบบการพิสูจน์ทฤษฎีบทเป็นเทคนิคที่ทั้งสองระบบและคุณสมบัติที่ต้องการได้รับการแสดงเป็นสูตรในตรรกะทางคณิตศาสตร์และคุณสมบัติเหล่านี้จะแสดงให้เห็นว่ามีการผ่านการใช้ ของ prover ทฤษฎีบทกล ในขณะที่ provers ทฤษฎีบทไม่ได้มีข้อ จำกัด สภาพพื้นที่ของหมากฮอสรุ่นพวกเขาโดยทั่วไปต้องใช้ทักษะมากขึ้นและแรงงานในการพิสูจน์คุณสมบัติที่ต้องการเป็นส่วนหนึ่งของโครงการนี้เราได้มีการพัฒนานักแปลจากภาษาการสร้างแบบจำลองหลายกับความหลากหลายของรูปแบบการตรวจสอบและ provers ทฤษฎีบท . ในส่วนแรกของโครงการที่เราแสดงให้เห็นถึงศักยภาพของวิธีการนี้โดยการพัฒนานักแปลจากภาษา RSML-E ที่จะตรวจสอบรูปแบบ NuSMV และทฤษฎีบท prover พีวีเอส โดยใช้นักแปลเหล่านี้เราสามารถที่จะพิสูจน์ได้ว่าหลายร้อยคุณสมบัติการทำงานและความปลอดภัยเกี่ยวกับตรรกะโหมดการบินแนะแนวระบบหาข้อผิดพลาดหลายอย่างในกระบวนการ รายละเอียดเพิ่มเติมสามารถพบได้ในเอกสารที่ระบุไว้ในตอนท้ายของหน้านี้ที่จะทำให้ความสามารถในการเดียวกันนี้สามารถใช้ได้กับเครื่องมือเชิงพาณิชย์เราเมื่อเร็ว ๆ นี้ได้รับการพัฒนานักแปลจากภาษา Lustre ว่าเครื่องมือ SCADE ตั้ง Esterel เทคโนโลยีจะขึ้นอยู่กับทำให้มันเป็นไปได้ที่จะ พิสูจน์คุณสมบัติเกี่ยวกับรุ่น SCADE โดยใช้ประตู Simulink โดย Esterel เทคโนโลยีที่เราได้รับยังสามารถที่จะพิสูจน์คุณสมบัติของรุ่น Simulink ส่วนใหญ่เมื่อเร็ว ๆ นี้เราได้พัฒนาแปลจาก Lustre จะ SAL (ภาษาสัญลักษณ์วิเคราะห์) ที่พัฒนาโดยประเทศศรีลังกาทำให้เราสามารถใช้ ตรวจสอบรูปแบบและ provers ทฤษฎีบทรวมอยู่ในชุดเครื่องมือ SAL เราได้พัฒนายังแปลจากเครื่องมือสร้างกรณีทดสอบ Reactis เพื่อ Lustre ให้เส้นทางทางเลือกจาก Simulink เพื่อ Lustre แปลนี้จะถูกขยายเพื่อรองรับย่อยของรุ่น StateFlow เช่นเดียวกับ Simulink

ผลลัพธ์ (ไทย) 3:

รายละเอียดเพิ่มเติมสามารถพบได้ในเอกสารที่ระบุไว้ในตอนท้ายของหน้านี้ .



เพื่อให้ความสามารถเหมือนกันใช้ได้กับพาณิชย์เครื่องมือ เราเพิ่งพัฒนาแปลจากภาษา scade เงาที่ชุดเครื่องมือจากเทคโนโลยีที่ขึ้นอยู่กับ , ทำให้เป็นไปได้ที่จะพิสูจน์คุณสมบัติเกี่ยวกับรูปแบบ scade . โดยใช้ Simulink Gateway โดยเทคโนโลยีที่วิธีการอย่างเป็นทางการ


อย่างเป็นทางการของซอฟต์แวร์การตรวจสอบความปลอดภัย ( PowerPoint )

เกือบทั้งหมดของความสามารถที่พัฒนาขึ้นในโครงการนี้ขึ้นอยู่กับการใช้เครื่องมือการตรวจสอบอย่างเป็นทางการเช่นหมากฮอสรูปแบบและทฤษฎี provers . รุ่นหมากฮอสใช้ความหลากหลายของเทคโนโลยี เป็นต้น แต่วิธีทำงานโดยการตรวจสอบถ้าทรัพย์สินที่ถือสำหรับทุกการเข้าถึงรัฐนวัตกรรมล่าสุดได้ทำให้มันเป็นไปได้สำหรับสัญลักษณ์ ( บีดีดีอยู่ ) รุ่นหมากฮอสสำรวจขนาดใหญ่มาก ( 1020 ถึง 10200 ) รัฐเข้าถึงได้ จำกัดรุ่นหมากฮอสใช้การรวมกันของการสำรวจอวกาศของรัฐและการจัดการกับขนาดใหญ่แม้รัฐเป็น

ข้อดีหลักของแบบจำลองหมากฮอสคือพวกเขาจะค่อนข้างง่ายในการใช้และผลิต counterexamples เมื่อทรัพย์สินไม่ได้จริงข้อเสียเปรียบหลักของพวกเขาคือแม้ปานกลางขนาดใหญ่รุ่นยังเกินความจุของรูปแบบตรวจสอบ .
พิสูจน์เป็นเทคนิคที่ทั้งระบบและคุณสมบัติที่ต้องการจะแสดงเป็นสูตรในตรรกศาสตร์และคุณสมบัติเหล่านี้จะถูกแสดงไว้ที่ผ่านการใช้งานของโพรเวอร์ของกลในขณะที่ทฤษฎีบท provers ไม่มีข้อจำกัดของแบบจำลองปริภูมิสถานะตรวจสอบ พวกเขามักจะต้องใช้ทักษะและแรงงานเพื่อพิสูจน์คุณสมบัติที่ต้องการ

เป็นส่วนหนึ่งของโครงการนี้ เราได้พัฒนาแปลจากภาษาแบบต่างๆเพื่อความหลากหลายของรูปแบบและทฤษฎี provers หมากฮอส . ในส่วนแรกของโครงการเราแสดงให้เห็นถึงศักยภาพของวิธีการนี้พัฒนาโดยแปลจากภาษา rsml-e กับรูปแบบ nusmv ตรวจสอบและ PVS ของโพรเวอร์ . การใช้ภาษาเหล่านี้ เราสามารถพิสูจน์ได้ว่าหลายร้อยของการทำงานและความปลอดภัยคุณสมบัติโหมดเรื่องตรรกะของระบบนำทางเครื่องบิน การหาข้อผิดพลาดต่าง ๆ ในกระบวนการรายละเอียดเพิ่มเติมสามารถพบได้ในเอกสารที่ระบุไว้ในตอนท้ายของหน้านี้ .



เพื่อให้ความสามารถเหมือนกันใช้ได้กับพาณิชย์เครื่องมือ เราเพิ่งพัฒนาแปลจากภาษา scade เงาที่ชุดเครื่องมือจากเทคโนโลยีที่ขึ้นอยู่กับ , ทำให้เป็นไปได้ที่จะพิสูจน์คุณสมบัติเกี่ยวกับรูปแบบ scade . โดยใช้ Simulink Gateway โดยเทคโนโลยีที่