CN106708730A - 一种针对嵌入式实时操作系统形式化验证方法 - Google Patents

Abstract

一种针对嵌入式实时操作系统形式化验证方法，采用分阶段的思路对嵌入式实时操作系统进行形式化验证，首先按照需求、设计、实现三个阶段进行形式化建模和验证，用具有严格数学定义的语法、语义的语言来描述操作系统，然后建立操作系统的形式化模型，提取待验证的性质，通过数学方法分析及验证形式化模型是否满足期望的性质，通过反复迭代，最终得到满足期望性质的形式化模型。本发明方法与现有技术相比，解决了传统测试方法对无法保证操作系统需求的正确性以及代码和需求一致性的问题，具有较好的使用价值。

Description

一种针对嵌入式实时操作系统形式化验证方法

技术领域

本发明涉及一种操作系统验证技术，特别是一种针对嵌入式实时操作系统形式化验证方法。

背景技术

操作系统是计算机的基础，操作系统设计正确性及可靠性是保证计算机系统可信的首要条件，在安全攸关的领域，大部分采用嵌入式实时操作系统，负责管理软硬件资源。由于嵌入式实时操作系统具有并发性、开放性、动态性和不可确定性等特性，开发难度大，调试困难，因此一些重大设计错误隐藏很深，很难被发现。

由于嵌入式实时操作系统的运行状态空间大，执行路径随系统规模呈指数增加，传统的测试技术一方面越来越难以有效构造测试集，以覆盖所有的执行路径，发现系统缺陷；另一方面大量的不确定性也导致测试过程中发现的错误执行结果难以重现，使得缺陷难以定位，因此在嵌入式实时操作系统验证中，仅靠传统测试方法无法保证需求的正确性、需求及代码的一致性，因此亟待提出一种针对嵌入式实时操作系统的验证方法。

发明内容

本发明解决的技术问题是：克服现有技术的不足，提供了一种针对嵌入式实时操作系统形式化验证方法。

本发明的技术解决方案是：一种针对嵌入式实时操作系统形式化验证方法，包括如下步骤：

步骤1、依据嵌入式实时操作系统需求规格说明文档，采用形式化描述语言，将嵌入式实时操作系统功能需求进行形式化描述，建立嵌入式实时操作系统需求层的形式化模型，其中，嵌入式实时操作系统需求规格说明文档包括嵌入式实时操作系统系统结构、功能需求，功能需求包括嵌入式实时操作系统所要实现的功能、功能期望性质；所述的嵌入式实操作系统需求层的形式化模型包括多个功能需求项，每个功能需求项均对应一项功能需求；

步骤2、采用形式化描述语言将嵌入式实操作系统的功能期望性质进行描述，得到形式化的操作系统需求层模型所期望的性质；

步骤3、将嵌入式实时操作系统需求层的形式化模型作为验证对象、所期望的性质作为验证目标，如果需求层的形式化模型满足所期望的性质，则转入步骤4，否则获取需求层的形式化模型中不满足所期望的性质的功能需求项，修正当前功能需求项对应的嵌入式实时操作系统的功能需求，进而修正需求层的形式化模型中当前功能需求项，直到需求层的形式化模型满足所期望性质，并转入步骤4；

步骤4、依据嵌入式实时操作系统设计文档，采用形式化描述语言将嵌入式实时操作系统数据结构、嵌入式实时操作系统功能实现算法进行形式化描述，建立嵌入式实时操作系统设计层形式化模型；其中，嵌入式实时操作系统设计文档包括多个设计需求，设计需求包括嵌入式实时操作系统功能实现算法、操作系统数据结构，嵌入式实时操作系统功能实现算法为嵌入式实时操作系统功能需求的实现算法；所述的嵌入式实时操作系统设计层形式化模型包括多个设计项；

步骤5、获取嵌入式实时操作系统设计层形式化模型所期望的性质，采用形式化描述语言将所期望的性质进行描述，得到形式化的嵌入式实时操作系统设计层形式化模型所期望的性质；

步骤6、将设计层形式化模型作为验证对象、所期望的性质作为验证目标，如果设计层形式化模型满足所期望的性质，则转入步骤7，否则获取设计层形式化模型中不满足所期望的性质的设计项，修正嵌入式实时操作系统设计文档中不满足所期望的性质的设计项，进而修正设计层形式化模型中当前设计项，直到设计层形式化模型满足所期望性质，并转入步骤7；

步骤7、将步骤3验证通过的需求层形式化模型作为待验证性质，将步骤6验证通过的设计层模型作为待验证对象，如果设计层形式化模型为需求层形式化模型的精化，则转入步骤8，否则根据设计层形式化模型不为需求层形式化模型精化的设计项，调整嵌入式实时操作系统设计文档中的对应设计需求，进而调整设计层形式化模型中当前设计项，直至设计层形式化模型为需求层形式化模型的精化，并转入步骤6；

步骤8、建立嵌入式实时操作系统实现语言到形式化描述语言的转换规则，进而根据嵌入式实时操作系统实现代码得到嵌入式实时操作系统实现层的形式化模型；

步骤9、获取嵌入式实时操作系统实现代码所期望的性质，进而得到嵌入式实时操作系统实现层的形式化模型所期望的性质；

步骤10、将嵌入式实时操作系统实现层的形式化模型作为验证对象、实现层的形式化模型所期望的性质作为验证目标，如果实现层的形式化模型满足实现层的形式化模型所期望的性质，则转入步骤11，否则获取实现层的形式化模型中不满足形式化模型所期望的性质的部分，修正嵌入式实时操作系统实现代码，进而修正实现层的形式化模型，直到实现层的形式化模型满足实现层的形式化模型所期望的性质，并转入步骤11；

步骤11、将步骤10验证通过的实现层的形式化模型作为待验证性质，将步骤7精化验证通过的设计层形式化模型作为待验证对象，如果实现层的形式化模型为设计层形式化模型的精化，则当前嵌入式实时操作系统形式化验证通过，否则根据实现层形式化模型不为设计层形式化模型精化的部分，调整嵌入式实时操作系统实现代码，进而调整实现层形式化模型，直至实现层的形式化模型为设计层形式化模型的精化，转入步骤10。

所述的形式化描述语言为Coq工具中的形式化描述语言。

所述的操作系统实现语言为C语言。

本发明与现有技术相比的优点在于：

(1)本发明通过采用Coq中具有严格数学定义的语法、语义的语言来描述操作系统的需求模型及其性质，并在形式验证工具Coq中通过数学推理来证明需求模型满足性质，解决了测试方法无法保证需求正确性的问题，从而保证了操作系统系统需求的正确性；

(2)本发明通过自上而下分阶段的方法，在操作系统的需求层、设计层、代码层分别建立形式化模型，并在形式化验证工具中，证明设计与需求的一致性，代码与设计的一致性，解决了传统测试无法保证需求与代码一致性的问题，从而保证了操作系统需求与代码的一致性；

(3)本发明通过在形式化验证工具验证形式化模型是否满足性质的方法，根据验证结果不断纠正形式化模型，解决了传统方法难以定位缺陷的问题，通过显式的数学推理证明过程来确保验证结果的正确性，具有验证过程的可确认的优点。

附图说明

图1为本发明一种针对嵌入式实时操作系统形式化验证方法流程图。

具体实施方式

本发明针对现有技术的不足，提出一种嵌入式实时操作系统的形式化验证方法，采用分阶段的思路对嵌入式实时操作系统进行形式化验证，首先按照需求、设计、实现三个阶段进行形式化建模和验证，用具有严格数学定义的语法、语义的语言来描述操作系统，然后建立操作系统的形式化模型，提取待验证的性质，通过数学方法分析及验证形式化模型是否满足期望的性质，通过反复迭代，最终得到满足期望性质的形式化模型。本发明方法与现有技术相比，解决了传统测试方法对无法保证操作系统需求的正确性以及代码和需求一致性的问题，如图1所示为本发明一种嵌入式实时操作系统的形式化验证方法流程图，包括如下步骤：

步骤1、依据操作系统需求规格说明文档，采用Coq工具中形式化描述语言，将操作系统功能需求形式化描述，建立操作系统需求层的形式化模型；其中，操作系统需求规格说明文档包括操作系统系统结构、多项操作系统功能需求，操作系统功能需求包括操作系统所要实现的功能、功能的期望性质，下面结合举例对其进行说明，比如，操作系统功能需求为操作系统中任务调度算法采用优先级抢占的策略，操作系统系统结构包括任务管理、内存分配、任务间通信中断管理，功能期望性质为任务调度算法时间复杂度达到O(1)；操作系统需求层的形式化模型包括多个功能需求项，每个功能需求项均对应一项操作系统功能需求；

步骤2、采用Coq工具中形式化描述语言将操作系统需求层模型所期望的性质进行描述，得到形式化的操作系统需求层模型所期望的性质，其中，操作系统需求层模型所期望的性质为操作系统功能需求中的功能、可靠性、安全性期望性质；

步骤3、将需求层的形式化模型和需求层模型所期望的性质在Coq中进行验证，将形式化模型作为验证对象，所期望的性质作为验证目标，在Coq中选择推导策略验证形式化模型是否满足所期望的性质，如果形式化模型满足所期望的性质，则转入步骤4；如果形式化模型不满足所期望的性质，则获取形式化模型中不满足所期望的性质的功能需求项，修正多项操作系统功能需求中当前功能需求、进而修正形式化模型中当前功能需求项，重复步骤3进行验证，直到需求层形式化模型满足所期望性质，并转入步骤4；其中，Coq预设多个推导策略；

步骤4、依据操作系统设计文档，采用Coq工具中形式化描述语言，将操作系统数据结构、操作系统功能实现算法进行形式化描述，建立操作系统设计层形式化模型；其中，操作系统设计文档包括多个设计需求，设计需求包括操作系统功能实现算法、操作系统数据结构，操作系统功能实现算法为操作系统功能需求的实现算法，操作系统设计层形式化模型包括多个设计项；

步骤5、获取操作系统设计层形式化模型(操作系统数据结构、操作系统功能实现算法)所期望的性质，采用Coq工具中形式化描述语言将操作系统设计层形式化模型所期望的性质进行描述，得到形式化后的操作系统设计层形式化模型所期望的性质，其中，操作系统设计层形式化模型所期望的性质为操作系统设计层形式化模型的预期功能、复杂度、可靠性、安全性；

步骤6、将操作系统设计层形式化模型、形式化后的操作系统设计层形式化模型所期望的性质在Coq中进行验证，将操作系统形式化模型作为验证对象，形式化后的操作系统设计层形式化模型所期望的性质作为验证目标，在Coq中选择推导策略验证模型是否满足性质，如果形式化模型满足所期望的性质，则转入步骤7；如果形式化模型不满足所期望的性质，则获取形式化模型中不满足所期望的性质的设计项，修正操作系统设计文档中当前设计需求、进而修正形式化模型中当前设计项，重复步骤6进行验证，直到设计层形式化模型满足所期望性质，并转入步骤7；

步骤7、将步骤3得到的验证通过的需求层形式化模型作为待验证性质，将步骤6验证通过的设计层模型作为待验证对象，在Coq工具中验证设计层模型是否为需求层形式化模型的精化，如果Coq工具中验证设计层模型为需求层形式化模型的精化，则转入步骤8，否则根据设计层模型不为需求层形式化模型精化的设计项，调整操作系统设计文档的当前设计需求，进而调整设计层模型中当前设计项，直至Coq工具中验证设计层模型为需求层形式化模型的精化，并转入步骤6；

步骤8、依据操作系统所使用的C语言、Coq工具中形式化描述语言，建立C语言语法到Coq工具中形式化描述语言的转换规则，然后根据操作系统C语言代码转换得到操作系统实现层的形式化模型；其中，操作系统实现层的形式化模型为操作系统C语言代码转换为Coq工具中形式化描述语言得到的模型；

步骤9、获取操作系统C语言代码所期望的性质，进而得到操作系统实现层的形式化模型所期望的性质，即采用Coq工具中形式化描述语言将操作系统实现层模型所期望的性质进行描述；

步骤10、将操作系统实现层的形式化模型和操作系统实现层的形式化模型所期望的性质在Coq中进行验证，将形式化模型作为验证对象，性质作为验证目标，在Coq中选择推导策略验证形式化模型是否满足所期望的性质，如果形式化模型满足所期望的性质，则转入步骤11；如果形式化模型不满足所期望的性质，则获取形式化模型中不满足所期望的性质的部分，修正操作系统C语言代码中当前部分对应的代码程序、进而修正形式化模型，重复步骤10进行验证，直到形式化模型满足所期望性质，并转入步骤11；

步骤11、将步骤10得到的验证通过的实现层形式化模型作为待验证性质，将步骤7精化验证通过的设计层模型作为待验证对象，在Coq工具中验证实现层模型是否为设计层形式化模型的精化，如果Coq工具中实现层模型为设计层形式化模型的精化，则当前操作系统形式化验证通过，否则根据实现层模型不为设计层形式化模型精化的部分，调整操作系统C语言代码中当前部分对应的代码程序，进而调整实现层模型，直至Coq工具中实现层模型为设计层形式化模型的精化，转入步骤10。

本发明说明书中未作详细描述的内容属本领域技术人员的公知技术。

Claims (3)

1.一种针对嵌入式实时操作系统形式化验证方法，其特征在于包括如下步骤：

步骤1、依据嵌入式实时操作系统需求规格说明文档，采用形式化描述语言，将嵌入式实时操作系统功能需求进行形式化描述，建立嵌入式实时操作系统需求层的形式化模型，其中，嵌入式实时操作系统需求规格说明文档包括嵌入式实时操作系统系统结构、功能需求，功能需求包括嵌入式实时操作系统所要实现的功能、功能期望性质；所述的嵌入式实操作系统需求层的形式化模型包括多个功能需求项，每个功能需求项均对应一项功能需求；

步骤2、采用形式化描述语言将嵌入式实操作系统的功能期望性质进行描述，得到形式化的操作系统需求层模型所期望的性质；

步骤3、将嵌入式实时操作系统需求层的形式化模型作为验证对象、所期望的性质作为验证目标，如果需求层的形式化模型满足所期望的性质，则转入步骤4，否则获取需求层的形式化模型中不满足所期望的性质的功能需求项，修正当前功能需求项对应的嵌入式实时操作系统的功能需求，进而修正需求层的形式化模型中当前功能需求项，直到需求层的形式化模型满足所期望性质，并转入步骤4；

步骤4、依据嵌入式实时操作系统设计文档，采用形式化描述语言将嵌入式实时操作系统数据结构、嵌入式实时操作系统功能实现算法进行形式化描述，建立嵌入式实时操作系统设计层形式化模型；其中，嵌入式实时操作系统设计文档包括多个设计需求，设计需求包括嵌入式实时操作系统功能实现算法、操作系统数据结构，嵌入式实时操作系统功能实现算法为嵌入式实时操作系统功能需求的实现算法；所述的嵌入式实时操作系统设计层形式化模型包括多个设计项；

步骤5、获取嵌入式实时操作系统设计层形式化模型所期望的性质，采用形式化描述语言将所期望的性质进行描述，得到形式化的嵌入式实时操作系统设计层形式化模型所期望的性质；

步骤6、将设计层形式化模型作为验证对象、所期望的性质作为验证目标，如果设计层形式化模型满足所期望的性质，则转入步骤7，否则获取设计层形式化模型中不满足所期望的性质的设计项，修正嵌入式实时操作系统设计文档中不满足所期望的性质的设计项，进而修正设计层形式化模型中当前设计项，直到设计层形式化模型满足所期望性质，并转入步骤7；

步骤7、将步骤3验证通过的需求层形式化模型作为待验证性质，将步骤6验证通过的设计层模型作为待验证对象，如果设计层形式化模型为需求层形式化模型的精化，则转入步骤8，否则根据设计层形式化模型不为需求层形式化模型精化的设计项，调整嵌入式实时操作系统设计文档中的对应设计需求，进而调整设计层形式化模型中当前设计项，直至设计层形式化模型为需求层形式化模型的精化，并转入步骤6；

步骤8、建立嵌入式实时操作系统实现语言到形式化描述语言的转换规则，进而根据嵌入式实时操作系统实现代码得到嵌入式实时操作系统实现层的形式化模型；

步骤9、获取嵌入式实时操作系统实现代码所期望的性质，进而得到嵌入式实时操作系统实现层的形式化模型所期望的性质；

步骤10、将嵌入式实时操作系统实现层的形式化模型作为验证对象、实现层的形式化模型所期望的性质作为验证目标，如果实现层的形式化模型满足实现层的形式化模型所期望的性质，则转入步骤11，否则获取实现层的形式化模型中不满足形式化模型所期望的性质的部分，修正嵌入式实时操作系统实现代码，进而修正实现层的形式化模型，直到实现层的形式化模型满足实现层的形式化模型所期望的性质，并转入步骤11；

步骤11、将步骤10验证通过的实现层的形式化模型作为待验证性质，将步骤7精化验证通过的设计层形式化模型作为待验证对象，如果实现层的形式化模型为设计层形式化模型的精化，则当前嵌入式实时操作系统形式化验证通过，否则根据实现层形式化模型不为设计层形式化模型精化的部分，调整嵌入式实时操作系统实现代码，进而调整实现层形式化模型，直至实现层的形式化模型为设计层形式化模型的精化，转入步骤10。

2.根据权利要求1所述的一种针对嵌入式实时操作系统形式化验证方法，其特征在于：所述的形式化描述语言为Coq工具中的形式化描述语言。

3.根据权利要求1或2所述的一种针对嵌入式实时操作系统形式化验证方法，其特征在于：所述的操作系统实现语言为C语言。