CN108052768A

CN108052768A - 一种基于定量验证方法的并发实时系统可靠性评估方法

Info

Publication number: CN108052768A
Application number: CN201711456212.0A
Authority: CN
Inventors: 王晓燕; 于海; 刘淑芬
Original assignee: Jilin University
Current assignee: Jilin University
Priority date: 2017-12-28
Filing date: 2017-12-28
Publication date: 2018-05-18
Anticipated expiration: 2037-12-28
Also published as: CN108052768B

Abstract

本发明公开了一种基于定量验证方法的并发实时系统可靠性评估方法，其包括以下步骤：(1)采用带参数的概率时间接口自动机构建并发实时系统模型；(2)对步骤(1)中建立的模型按照接口上的输入/输出动作对进行组合，并使用带参数的前向可达性算法将组合后的PPTIA模型转换成为时域图；(3)使用概率时间逻辑语言PTSL构建可靠性要求的形式化规约；(4)使用验证算法评估并发实时系统的可靠性。本发明针对现有逻辑语言无法直接将策略进行形式化表示的不足以及在设计阶段无法精确获取模型所需要的数据问题，采用基于带参数的概率时间接口自动机和概率时间策略逻辑的定量验证方法来评估并发实时系统的可靠性。

Description

一种基于定量验证方法的并发实时系统可靠性评估方法

技术领域

本发明属于计算机应用技术领域，主要涉及形式化验证技术，具体是一种基于定量验证方法的并发实时系统可靠性评估方法。

背景技术

随着计算机技术的飞速发展，计算机系统的规模越来越大、复杂性也日趋增加，要保证系统的可靠性、安全性越来越困难，且由于这些系统通常具有交互、实时、并发、分布等特征，因此其行为具有一定的不确定性，这也造成传统的测试方法如跟踪调试、用例覆盖等技术难以达到理想的测试效果。因此如何保证系统的正确性和可靠性成为日益紧迫的问题。在为此提出的诸多理论和方法中，模型检测(model checking)以其简洁明了和自动化程度高而引人注目。1981年，Clarke和Emerson提出了描述并发系统性质的时序逻辑CTL(Computation Tree Logic，计算树逻辑)，以及检查有穷状态并发系统是否满足CTL公式的算法，开创了模型检测这一研究方向。现在模型检测已被应用于计算机硬件、软件、通信协议、控制系统、安全认证协议等领域，取得了令人瞩目的成功，成为分析、验证复杂系统的最重要的技术，并被Intel、IBM、微软等公司用于生产实践中。模型检测的基本思想是用状态迁移系统表示系统的行为，用时序逻辑公式描述系统的性质，这样系统是否具有所期望的性质就转化为数学问题“状态迁移系统是否是公式的一个模型”。模型检测作为形式化验证的一种主流技术，可以克服传统软件测试用例生成不完备的不足,同时具有验证自动化的优点，并且当验证的性质不满足时，能给出违背性质的反例。由于模型检测采用了严格的形式化方法对系统进行验证，因此比测试和仿真更能保证系统的正确性。定量验证技术与传统的非概率的模型验证技术的不同在于除了需要对模型的状态进行遍历外，还需要进行大量的数值计算。随着并发实时系统越来越多的应用在一些对安全性、可靠性要求非常高的领域，如航空系统、电力系统、智能交通系统、网络防御系统等，系统发生故障所带来的后果越来越严重，因此使用定量验证技术对并发实时系统中的可靠性进行分析是非常必要的。

在分析并发实时系统时，分析人员常使用术语--策略来描述满足特定条件的解决方案，然而在定量验证中，分析人员无法直接将策略进行形式化表达，而只能使用PCTL，ATL等的形式化逻辑语言来表达可到达的状态节点及其概率，因此分析人员必须将策略转换成PCTL等逻辑语言能够表达的等价形式，增加了分析人员的负担。因此本发明使用概率时间策略逻辑(Probabilistic Timed Strategy Logic，PTSL)语言，把策略作为第一实体对象，能够针对每个agent对象所使用的策略进行描述，从而使我们能够以简单而自然的方式指定并发实时系统中的可靠性属性。

另外目前的定量验证方法虽然可以计算出满足某一个特性的最大/最小概率，但是在定量验证过程中，模型中使用的数据在早期设计阶段往往是很难获得的，而且整个系统的环境也是未知的，这就给定量验证结果的正确性带来问题。本发明使用带参数的概率时间接口自动机，将参数引入模型，在验证过程中通过算法能够自动的找到满足某个性质的参数值以及最优解。当参数的某个值不满足所要验证的性质时，可以重新定义参数值，直到找到最优解。

发明内容

本发明针对现有逻辑语言无法直接将策略进行形式化表达的不足以及在设计阶段无法精确获取模型所需要的数据问题，提出了一种基于带参数的概率时间接口自动机和概率时间策略逻辑的定量验证方法，并将其用来评估并发实时系统的可靠性。

为了解决上述技术问题，本发明提供了如下的技术方案：

本发明提出一种基于定量验证方法的并发实时系统可靠性评估方法，其包括以下步骤：

(1)、采用带参数的概率时间接口自动机构建并发实时系统模型；

(2)、使用概率时间逻辑语言PTSL构建可靠性要求的形式化规约；

(3)、对步骤(1)中建立的模型按照接口上的输入/输出动作对进行组合，并使用带参数的前向可达性算法将组合后的PPTIA模型转换成为时域图；

(4)、使用验证算法评估并发实时系统的可靠性，并给出结果。

进一步地，步骤(1)中，带参数的概率时间接口自动机的形式化定义如下所示：PPTIA＝(S,s₀,∑_in,∑_out,χ,Γ,τ),其中S表示该自动机的状态集合，初始状态s₀∈S；∑_in是输入动作的有限集合，而∑_out是输出动作的有限集合，Σ＝∑_in∪∑_out；χ表示PPTIA中使用的时钟集合；Г表示PPTIA中使用的时间参数集合；表示概率转移函数，其中C(χ∪Γ)表示时钟的带参数的约束条件，Dist(S)表示状态S上的条件转移的概率，且S上的所有条件转移的概率和为1，即∑_s∈Sθ(s)＝1,θ:S→[0..1]。实现步骤(1)的方法如下：1)分析并发实时系统功能，确定系统中的agent对象及各个对象接口上的动作；2)确定agent对象中的各个状态，以及各个状态之间的交互关系，包括时间约束关系和以概率来描述的可信度指标，对于不确定的时间使用参数进行表示。3)采用PRISM工具为每个agent对象建立一个PPTIA模型，对于不确定的时间参数在模型内使用变量表示，且不赋初始值。

进一步地，步骤(2)中，PTSL的语法如下所示：

ψ∷＝P_～λΛ|R_～λΛ

通常使用PTSL表达具有时间约束的可达性概率的性质，例如发送者发送数据后，所有接收者在5秒之内正确接收数据的概率不小于99.5％，使用PTSL表达式为

由于PTSL语言在PRISM工具中不能够直接被解析，PRISM工具中只能使用PCTL语言，因此在PRISM工具中增加了一个PTSL解析器，该解析器针对上面提到的具有时间约束的可达性概率的性质调用相对应的函数。

进一步地，步骤(3)具体包含以下步骤：1)、如果自动机P₁的输出动作a可以作为P₂的输入动作，则称该动作为共享动作。共享动作是自动机组合的基础，本发明依据接口自动机的组合规则进行组合。2)、在组合后得到的PPTIA图中使用前向可达性(forwardreachability)算法形成时域图。由于PPTIA模型中含有参数，因此本发明首先扩展自动机状态，使其包含时钟参数，然后按照参数的取值范围与转换条件构建状态空间，并增加状态之间转换条件的讨论。扩展的带参数的前向可达性算法如下所示:

①初始化变量。变量paramState代表满足条件的所有带参数的状态结果集，reached表示已经遍历的带参数的状态集合，trans表示转换边的集合，waiting表示待遍历的状态集合，waiting初始值为初始状态，n表示当前状态的状态转换个数。GS是在PTSL公式中出现的包含目标状态的集合。

②如果则转到④，否则转③.

③从waiting集合中移出节点(s,ζ)，并添加到集合paramState集合中。遍历状态s的所有出边<e₁,e₂,…e_m>，如果出边e_i不为空，则找到对应出边e_i的后继节点(s′_i,ζ′_i)，如果(s′_i,ζ′_i)不在集合paramState中，且而且s′也不是目标节点则把(s′_i,ζ′_i)添加到waiting队列中，即waiting∪(s′_i,ζ′_i)，相反如果s′是目标节点s′∈GS，则把(s′_i,ζ′_i)添加到reached队列中，即reached∪(s′_i,ζ′_i)，并在转换边e_i上标明转换概率μ_i,并把转换边e_i＝((s,ζ),a,(s′_i,ζ′_i))添加到trans集合中。转到步骤②。

④遍历paramState上的所有节点，对于其上的节点(s,ζ)，如果存在(s′,ζ′)，s＝s′且ζ在时钟χ上的投影是ζ′在时钟χ上的投影子集，或者ζ在参数时钟Γ上的投影是ζ′在Γ上的投影子集，则在(s′,ζ′)与(s,ζ)之间添加转换边，但是不对应任何动作，即添加到trans中，这说明了在这两个节点之间只有时间的流逝。

⑤遍历reached上的所有节点，对于节点(s,ζ)和(s′,ζ′)，如果ζ在参数时钟Γ上的投影与ζ′在Γ上的投影相同，则将他们放在一个集合中reached_i中。

⑥另外由于PTSL语法中包含时钟变量 .φ表示从时钟的状态开始搜索满足φ的路径，而在PCTL中没有时钟变量，因此在上面形成的时钟区域图中会添加时钟它用来计算整个路径上的时间值。

⑦return ZG＝(paramState,trans)

进一步地，步骤(4)根据步骤(2)建立的形式化模型以及步骤(3)建立的可靠性要求的形式化规约，输入到模型检测工具PRISM，通过计算机自动搜索时域图的有穷状态空间，求解参数值并合成路径，从而判断并发实时系统是否满足预期设定的可靠性指标，实现系统的可靠性评估。具体步骤为：1)计算最大/最小概率以及参数的取值范围。使用PTSL表示具有时间约束的可达性概率的性质，通常有以下三种表达方式：

为了叙述的方便，下面定义～λ为≥λ。而≤λ恰好是相反的情形，在这里不在赘述。

公式(1)可以转换为求解满足时钟的路径的最小概率/代价。公式(2)可以转换为求解满足时钟的路径的最大概率/代价。公式(3)可以转化为求解满足时钟的路径的最小概率/代价。因此公式(1)、公式(2)、公式(3)都可以归结为在带参数的时域图ZG中求解最大/最小概率(或者代价)问题，因此可以使用值迭代的图搜索过程求解最大/最小概率以及最大/最小代价，由于reached中可能包含多个节点，因此本发明需要搜索所有能够到达reached节点的路径，从而得到路径集合如果没有找到合适的路径，则验证算法结束，返回值为null。2)当在时域图ZG中找到了满足条件的路径ω^*后，这并不是最终解，还需要在各个agent模型中构建与ω^*相对应的路径ω。本发明采用如下的方法构建ω路径：

①初始化集合//(变量i为agent的个数)

n：＝length＝|ω^*|；//路径的长度

②如果length＝0，则转到⑤，否则转到③。

③从ω^*中将n-length位置的节点(s,ζ)取出，并将(s,ζ)中对应的变量分别对应到各个agent中，即将当前节点状态分别映射到模型agent_i中，并将映射后得到的状态节点(s′_i,ζ′_i)存入对应的ω_i中,即ω_i＝ω_i∪(s′_i,ζ′_i)

④分别在agent_i模型中找到(s′_i,ζ′_i)前驱节点(s″_i,ζ″_i)且该节点已经在ω_i路径中，即(s″_i,ζ″_i)∈ω_i，则将添加到trans_i中，即 length：＝length-1。转②。

⑤return(ω_i,trans_i)。

3)根据验证算法返回值给出可靠性的判定结果。如果返回值为null，则说明不满足该PTSL描述的可靠性要求；如果返回值为各个agent模型中的路径，则说明满足该PTSL描述的可靠性要求。

本发明所达到的有益效果是：本发明提出一种基于定量验证方法的并发实时系统可靠性评估方法，该方法在概率实时接口自动机模型中使用参数表示不确定的外界环境，并使用PTSL逻辑语言描述系统的可靠性性质，能够通过形式化定量验证方法找到不同环境下满足不同可靠性等级的路径。因此当用户在设计系统模型时，可以通过该方法准确知道设计的系统是否满足用户的需求，也可以让用户了解不同环境下，系统运行的可靠程度。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1是本发明实施例所提供的可靠性评估方法的流程图；

图2是本发明在Prism基础上，定义带参数的实时接口自动机的语法，并扩展Prism中的验证算法结构图。

图3是消息发送自动机模型；

图4是消息接收自动机模型；

图5是组合后的自动机模型；

图6是使用前向可达性算法验证公式(4)得到的时域图；

图7是使用前向可达性算法验证公式(5)得到的时域图；

图8是在发送者自动机模型中找到的路径。

图9是在接收者自动机模型中找到的路径。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

本发明使用的工具Prism是英国牛津大学提出的自动化验证工具，但是其不支持带参数的实时接口自动机模型，因此本发明在Prism基础上，定义带参数的实时接口自动机的语法，并扩展Prism中的验证算法，其结构如图2所示。

如图1和图3至图9所示，一种基于定量验证方法的并发实时系统可靠性评估方法，包括以下步骤：

步骤(1)、分析Vanet拥塞控制协议，并使用带参数的概率时间接口自动机构建Vanet拥塞控制协议中的发送者模型与接收者模型；

步骤(2)、使用逻辑语言PTSL构建Vanet拥塞控制协议性能分析过程中使用的形式化规约；

步骤(3)、组合发送者模型与接收者模型，并使用前向可达性算法构建时域图；

步骤(4)、验证Vanet拥塞控制协议，并给出满足PTSL性质的路径和参数值。

步骤(1)体包含以下步骤：Vanet网络中单跳广播信息是保证车辆行驶安全最重要的基本信息，Mohamed等人在IEEE 802.11p协议基础上，提出了Vanet自适应可靠拥塞控制协议【Mohamed Salah Bouassida,M.Shawky.A cooperative Contestion ControlApproach within VANETs:Formal Verification and Performance Evaluation.2010】，该协议能够根据网络环境自动调整竞争窗口与时隙，保证VANET警告信息能够及时、准确的发送给邻居车辆。本发明针对该协议进行分析，并设计两个模块模拟该协议的工作过程，分别为消息的发送模块和消息的接收模块。消息的发送模块负责发送消息，可以根据当前的网络环境，例如节点密度、车速等产生消息并发送。消息的接收模块负责接收消息发送模块发过来的消息并进行应答。两个模块协同工作，共同完成拥塞控制协议的功能。针对上面划分的模块功能，本发明为每个模块建立一个带参数的概率时间接口自动机模型，自动机中的状态集合即为每个模块包含的元素集合，状态之间的迁移即为模块内各元素之间的状态转换关系。由于节点成功接收广播包的概率主要由网络节点密度、节点竞争窗口、接收节点与广播节点间的距离和时隙大小决定，因此消息发送器中将时隙大小设为参数，其范围为10～50，而将网络节点密度与节点竞争窗口与发送消息的概率联系起来。为了更好理解两个自动机的工作过程，本发明使用有向图表示形式化后的消息发送自动机和消息接收自动机，分别如图3～4所示。以图3消息发送自动机为例说明自动机的表示方法，图中使用圆圈表示其状态，例如s0，s1,…都是其状态，带箭头的连线表示状态之间的转换，连线上的符号表示转移条件，使用？表示输入动作，而！表示输出动作，x表示其时钟，而SIFS、ASLOT和TMax等都是可设置的时间参数，pc和plost分别代表发送消息时碰撞的概率和丢包率。

步骤(2)具体为：使用PTSL逻辑语言表示在Vanet拥塞控制系统中进行推理的形式化规约。

公式(4)表示发送者发送消息后，接收者在20个时钟周期内成功接收到消息的概率大于等于98％。

发送者成功发送消息，接收者成功接收到消息的最短时间。

步骤(3)根据步骤(1)中创建的agent模型进行组合如图5所示，本文中使用虚线段表示组合后消息在两个自动机之间的发送路径。由于节点S9中没有时间的变化，所以S9与S8中的时间是一样的，因此本文从S9引出与R1节点相连接的虚线，表示发送的消息。

步骤(4)根据公式(4)的验证条件将(3)中组合后的自动机转换成时域图，如图6所示。然后根据参数的取值计算概率及代价，并最终给出协议中不同时间变量对消息成功发送与接收概率的可靠性分析。根据前面的介绍，可知公式(4)其实是求最大概率。由于发送者成功发送消息后，接收者与发送者之间有握手过程，该过程只与时间参数ACK，ACKTO，SIFS有关，得到的路径如图8所示。表一就是使用不同时间参数值，得到的最大概率。

表一

SIFS	ACK	ACKTO	Pc	Plost	Pmax
						1	4	6	0.1	0.01	0.989
2	5	8	0.15	0.01	0.986
						1	4	6	0.2	0.01	0.982
2	5	10	0.25	0.01	0.975
						1	4	8	0.1	0.02	0.980

因此得到的可靠性分析结果为：当ACK，ACKTO，SIFS时间参数值得和小于20时，且满足ACKTO大于ACK值时，时间参数对概率影响不大，然而发生碰撞的概率Pc以及丢包率plost对概率Pmax影响很大。因此当Pc<0.2，plost<0.01时，均满足要求。步骤(5)根据公式(5)的验证条件将(3)中组合后的自动机转换成时域图，如图7所示。公式(5)需要计算整个路径上的时间花费的最小值。其实就是没有任何退避时的时间花费，得到的路径如图8和9所示。因此可靠性分析结果为：这个值与部分的时间参数相关，当发送者没有参与任何退避，直接发送数据成功，并且接收者也成功收到消息的时间花费为最小，reward的值为2DIFS+VULN+2ACK+TMAX+SIFS的和。

表二

SIFS	DIFS	ACK	TMax	VULN	reward
						1	3	4	6	1	22
2	4	4	7	2	27

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于定量验证方法的并发实时系统可靠性评估方法，其特征在于，包括以下步骤：

(4)、使用验证算法评估并发实时系统的可靠性。

2.根据权利要求1所述的一种基于定量验证方法的并发实时系统可靠性评估方法，其特征在于，步骤(1)具体包含以下步骤：1)分析并发实时系统功能，确定系统中的agent对象及各个对象接口上的动作；2)确定agent对象中的各个状态，以及各个状态之间的交互关系，包括时间约束关系和以概率来描述的可信度指标，对于不确定的时间使用参数进行表示；3)采用PRISM工具为每个agent对象建立一个PPTIA模型，对于不确定的时间参数在模型内使用变量表示，且不赋初始值。

3.根据权利要求1所述的一种基于定量验证方法的并发实时系统可靠性评估方法，其特征在于，步骤(3)具体包含以下步骤：1)依据接口自动机的组合规则进行组合；2)、在组合后得到的PPTIA图中使用前向可达性算法形成时域图；由于PPTIA模型中含有参数，因此本发明首先扩展自动机状态，使其包含时钟参数，然后按照参数的取值范围与转换条件构建状态空间，并增加状态之间转换条件的讨论。

4.根据权利要求1所述的一种基于定量验证方法的并发实时系统可靠性评估方法，其特征在于，步骤(4)根据步骤(2)建立的形式化模型以及步骤(3)建立的可靠性要求的形式化规约，输入到模型检测工具PRISM，通过计算机自动搜索时域图的有穷状态空间，求解参数值并合成路径，从而判断并发实时系统是否满足预期设定的可靠性指标，实现系统的可靠性评估；具体步骤为：1)计算最大/最小概率以及参数的取值范围；2)当在时域图ZG中找到了满足条件的路径ω^*后，这并不是最终解，还需要在各个agent模型中构建与ω^*相对应的路径ω；3)根据验证算法返回值给出可靠性的判定结果。