CN112527266A - 面向cps的aadl扩充建模语言及其转换为加权概率混成自动机的转换方法 - Google Patents

Abstract

本发明公开了面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的转换方法。使用AADL对信息系统进行建模，并通过AADL行为附件功能将概率与权值性质添加进去，使用Modelica对物理系统进行建模。由于AADL扩充建模语言是半形式化的模型，本发明通过转换规则和算法将其转换为形式化的自动机模型。针对信息物理融合系统存在概率事件以及资源消耗的特性，采用加权概率混成自动机作为形式化模型，它具有概率不确定性以及权值的度量性质。最后将两个模型进行互模拟验证，以确保两个模型的互模拟等价，即确保后续验证工作的结果一致性。本发明能够对具有不确定性和存在资源消耗的信息物理融合系统进行建模且模型可以用于后续的模型检测及可靠性验证工作。

Description

面向CPS的AADL扩充建模语言及其转换为加权概率混成自动 机的转换方法

技术领域

本发明公开了一种面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的转换 方法，主要用于对CPS使用AADL及其扩充建模语言进行半形式化建模后通过模型转换规则转 换为形式化的自动机模型。本发明是一种半形式化模型转换到形式化模型的建模转换方法。

背景技术

信息物理融合系统(CPS)是实现物理资源与信息资源紧密结合在一起的一个组合系统， 在CPS系统中，不仅存在离散的状态迁移，在每个状态中，还存在着对于当前状态的变量的 连续变化。而现如今还未能通过一种特定的同时刻画连续变化和离散变化性质的语言对CPS 进行直接的半形式化建模。

AADL是用于描述嵌入式系统体系结构的SAE国际标准语言。AADL通过扩展行为附件，可 以使其支持CPS的离散行为特性。Modelica是一个面向对象的建模语言，可以很好的刻画CPS 的连续时间行为特性。通过AADL的扩展属性集，将Modelica用AADL来描述。

由于AADL是一个半形式化的模型，因此无法直接对其使用形式化验证和分析工作。而混 成自动机作为形式化模型，可以很好的描述离散和连续特性。通过转换算法进行模型转换， 再进行形式化验证与模型检测等后续工作。

发明内容

[发明目的]：本发明的目的是，为了解决无法对复杂的信息物理融合系统进行直接的形式化 建模，针对具有不确定性和资源消耗的信息物理融合系统进行半形式化建模，并提出一种从 初步半形式化建模转换到形式化的自动机的模型转换方法。

[技术方案]：本发明是一种面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的转 换方法，主要包括以下步骤：

步骤1：在经典的混成自动机模型的基础上，提出加权概率的混成自动机

混成自动机本身包含八元组(L，A，X，L₀，X₀，E，I，F)，即状态集、动作集、变量集、初始状态集、 变量初始值标签函数、变迁关系集、状态guard函数和状态微分方程函数。在此基础上，添 加了加权和概率两个性质，即添加了两个元组(P，W)，P是一个概率标签函数：L×A×L→[0，1]； W是一个权值标签函数：L×A×L→R。

步骤2：对CPS的信息系统进行建模，提出加权概率AADL行为附件；对CPS的物理系统进 行建模，使用AADL扩展属性集将Modelica用AADL描述

由于CPS分为信息和物理两个系统，AADL语言适用于离散变化的建模，通过使用AADL的 行为子附件语言可以描述系统的变迁行为。根据概率和权值两个性质，提出加权概率行为附 件语言，由Variables、States和WPtransitions模块组成。其中States模块由状态、初始 状态以及状态guard组成；WPtransitions模块由迁移关系、动作、概率、权值、变量初始 赋值公式组成。Modelica中的微分方程描述适用于变量连续变化的建模，通过使用AADL的 扩展属性集可以将Modelica中无法用AADL直接描述的部分用AADL描述，同时对于AADL可 以描述的部分，根据相应的映射关系将Modelica转换为AADL。

步骤3：根据AADL扩充建模语言模型与加权概率混成自动机的语法语义提出模型转换规 则和算法

根据上述步骤提出的AADL行为附件及扩展属性集的定义和自动机的语法语义进行对比， 通过迁移的关系给出相应的规则，最后根据规则以及转换的规律提出相应的算法。

步骤4：使用模型转换规则和算法将AADL扩充建模语言模型转换为加权概率混成自动机， 并利用互模拟定义来证明两个模型是否等价

将AADL扩充建模语言模型作为输入，根据模型转换算法得出相应的加权概率混成自动机， 同时得出两个模型的变迁系统的状态间的关系，用于证明两个模型互模拟等价，即证明后续 可靠性验证结果的一致性。

[有益效果]：本发明根据信息物理融合系统的实际特性对AADL语言进行了扩展，使其能够足 以描述信息物理融合系统的离散变化、连续变化、不确定性、资源消耗等性质，同时使用模 型转换算法将模型转为自动机模型，为后续进一步的形式化验证和分析工作奠定基础。

附图说明

图1为面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的流程图

图2为模型转换算法伪代码

图3为两个模型的互模拟向前前后条件

图4为飞机起飞控制系统的起飞过程

图5为飞机起飞控制系统的组件构成

图6为由AADL扩充建模语言模型通过转换算法得到的加权概率混成自动机

具体实施方式

本发明的实施提供了一种面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机 的转换方法，为使本领域技术人员更好地理解本发明的技术方案，下面结合附图和具体实施 方式对本发明作进一步详细描述。通过参考附图描述的实施方式是示例性的，仅用于解释本 发明，而不能解释为对本发明的限制。

信息物理融合系统不仅存在连续变化和离散迁移变化，而且还存在着不确定性且伴随资 源消耗。同时为进一步对系统做形式化验证和分析的工作做铺垫，需要将模型形式化描述。 由于现有的建模语言和方法无法直接对CPS系统进行带有连续变化和离散迁移变化且还存在 着不确定性且伴随资源消耗性质的形式化建模，本发明提出一种新的面向CPS的AADL扩充建模 语言及其转换为加权概率混成自动机的转换方法。

对于半形式化建模的方法，采取AADL和Modelica建模语言对信息物理融合系统进行建 模，为了能够解决信息物理融合系统的不确定和资源消耗的性质，对AADL建模语言进行了扩 充，提出了加权概率AADL行为子附件，而物理系统方面为了能够使Modelica用AADL来描述， 运用已有的AADL扩展属性集的方法。对于加权概率混成自动机的模型，根据经典的混成自动 机引入了两个标签函数，使其能够描述信息物理融合系统的不确定和资源消耗性质。

面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的流程如附图1所示。具 体的发明实施方法如下：

1.在经典的混成自动机模型的基础上，提出加权概率的混成自动机

加权概率混成自动机不仅可以描述信息物理融合系统的离散与连续变化性质，还能够对 概率与资源消耗进行相应的表达。

加权概率混成自动机WPHA＝(L，A，X，L₀，X₀，E，I，F，P，W)，其中，

(1)L是位置结点的有限集合；

(2)A是动作名的有限集合；

(3)X是实数值变量的有限集合；

(4)L₀是初始位置的有限集合；

(5)X₀是一个标签函数：L₀×X→{assignment expressions}，它将初始位置L₀中的每个位置和其中的变量映射到一个初始赋值语句中，初始赋值语句具有x：＝a(x∈X，a∈R)；

(6)E是迁移关系的有限集合，E中的元素

其中，l，l′是L的元素；a∈A是一个迁移动作；

是一个迁移guard；ψ是一个重置变量赋值表达式集合；

(7)I是一个标签函数：L×X→{boolean expressions}，表示系统行为停留在相关位置 结点时，相应变量取值满足此约束；

(8)F是一个流条件(微分方程)的标签函数：L×X→{flowconditions}，表示系统行为 停留在相关位置结点时，相应变量取值随时间增长满足此流条件；

(9)P是概率函数：L×A×L→[0，1]，对于任意l∈L，对于所有由l做动作a迁移得到的l’组成的集合M有

(10)W是权值函数：L×A×L→R，通过一次状态间的离散迁移，可以得到一个实数权值。

2.对CPS的信息系统进行建模，提出加权概率AADL行为附件；对CPS的物理系统进行建 模，使用AADL扩展属性集将Modelica用AADL描述

2.1对CPS的信息系统进行建模，提出加权概率AADL行为附件

加权概率行为附件是一个四元组

WPBA：：＝{**

Variable

State

WPT

State guard

**}

2.1.1 Variable模块

Variable模块定义了行为附件中使用的所有局部变量。

2.1.2 State模块

State模块定义了所有状态组成的集合，初始状态集合以及初始状态的变量赋值表达式集 合。State模块的定义语法如下所示：

State：：＝{**

Initial_states

States

**}

2.1.3 WPT模块

WPT模块定义了信息系统中状态间发生的变迁关系，一个状态在满足一个相应的条件后发 生迁移，跳转到下一个状态，跳转时会有不确定的选择，完成一次跳转会有一次权值记录， 即资源消耗。WPT是一个七元组，定义如下：

WPT＝(state1，guard，prob，state2，weight，action，resetvariable)

其中，resetvariable表示此次迁移将重置变量的赋值表达式组成的集合，定义为： resetvariable：：＝{variable＝k}；guard表示状态发生迁移时需要满足相应的条件，它一般 是当前状态内变量的一个布尔表达式。guard定义为：guard：：＝(x！＝k)|(x＝＝k)|(x＜＝ k)|(x＞＝k)。

WPT可以由以下形式表达：

WPT：：＝state1-[guard]→prob，weight：state2{action，resetvariable}。

2.1.4 State guard模块

State guard是一个函数：State×Variable→{boolean expressions}，它将每个行为附 件中的状态和其中的变量映射到一个布尔表达式中，表示当行为附件在此状态下停留时，相 应变量应当满足此布尔表达式。

2.2对CPS的物理系统进行建模，使用AADL扩展属性集将Modelica用AADL描述

由于Modelica中的常量和方程在AADL中没有对应的表达方法，因此通过AADL的扩展属性集来引入新的属性将AADL与Modelica中的元素一一对应。扩展的属性集定义如下：

在AADL属性集中扩展常量、常量值、变量、初始、方程等属性，并通过applies to将其添加到硬件组件上。

3.根据AADL扩充建模语言模型与加权概率混成自动机的语法语义提出模型转换规则和 算法

由AADL扩充建模语言模型可以转换成一个与之相对应的加权概率混成自动机WPHA＝ (L，A，X，L₀，X₀，E，I，F，P，W)。转换规则如下：

(1)WPBA中的Variable模块对应于自动机WPHA的变量集合X；State guard模 块对应于WPHA的函数I。

(2)WPBA中的State模块中的初始状态initial_states对应于自动机WPHA的初 始状态集合L₀，State模块中的状态states对应于自动机WPHA的状态集合L。

(3)WPBA中的WPT对应于自动机多个元素，所有WPT组成的集合对应于自动机 WPHA的变迁关系集合E，其中guard是当前状态变迁时所需要的满足的布尔表达式，它 对应于自动机WPHA的E中的元素e的

集合；当状态state1满足guard时，将跳 转到state2，state1和state2对应于E中的元素e的l与l′集合；state2具有不确 定性，WPBA上的prob对应于自动机WPHA的概率函数P；此次迁移动作action对应 于自动机WPHA的动作集合A；此次迁移的权值weight对应于自动机WPHA的权值函 数W；其中的重置变量赋值语句resetvariable对应于自动机中变迁关系集合E中的元素 e的集合ψ。

(4)Modelica扩展属性集中变量的初始值Initial对应于自动机中的X₀。当发生迁移 时，由状态state1迁移至状态state2，其中的微分方程equation对应于自动机中state1状态下的流函数F。

模型转换的算法伪代码如附图2所示。

该算法的输入为AADL扩充建模语言模型，输出为加权概率混成自动机。在算法中，对于 每一个WPT进行for循环遍历，对WPT中的每个元素都相应的赋值给自动机对应元组，其中 ～表示AADL扩充建模语言模型的状态与自动机模型的状态的对应关系，用以互模拟等价证明。

4.根据模型转换算法，得出加权概率混成自动机，并对两个模型进行互模拟等价证明 通过算法的输出可以得出一个完整的加权概率混成自动机，进而根据语法语义画出自动机模 型图。对AADL扩充建模语言模型和加权概率混成自动机模型的变迁系统进行互模拟等价证明， 如果证明出互模拟等价，则模型转换工作结束，自动机模型可以用于后续的可靠性验证研究。

AADL的变迁系统M1＝(S，→_AADL)与WPHA的变迁系统M2＝(S，→_WPHA)是带权概率迁移系统的强条件互模拟等价的，通过算法得出s～l。其向前向后条件如附图3所示。

证明：

(1)对于所有的s∈S，如果

那么存在l′∈L使得

并且s′～l′，其中μ₁＝μ₂，w₁＝w₂；(向后)

(2)对于所有的l∈L，如果

那么存在s′∈S使得

并且s′～l′，其中μ₁＝μ₂，w₁＝w₂；(向前)

得证。

实施案例

本实施案例采用飞机控制系统进行说明，飞机控制系统如附图4和附图5所示。飞机控 制系统是一个典型的信息物理融合系统，它由外部的传感器和执行器作为信息系统进行交互 组成的系统，由于系统或人为的某些操作不当会引发不可估量的错误。飞机的起飞过程分为 滑行、起飞、爬升和巡航。飞机起飞控制系统由传感器、控制器和执行器组成。其中，传感 器和执行器为物理系统，控制器为信息系统，它们通过端口传输数据。首先，控制器通过端 口height和velocity收到物理系统发送的高度h和速度v。控制器根据h和v来控制飞机 的仰角α，并将仰角α通过端口发送到执行器。执行器通过不同的仰角执行不同的速度v。当系 统出现错误时，控制系统会将系统转入错误状态。这里的权值w可以表示为时间，也可以是 消耗油量等资源消耗。

使用AADL对信息系统建模，如下所示。

本例定义了一个常量a为加速度，速度和高度的连续变化由流条件(微分方程)来表示。 当仰角为0(即滑行)时，视为匀加速滑行，速度v以14的加速度随时间增加。当仰角为15 或30时，视为起飞和爬升阶段，这两个阶段的速度变化较为复杂，本例中视为随时间匀速变 化(实际情况为增加)，高度h以sin(α)*v的速度增加。

使用Modelica对物理系统建模，如下所示：

通过Modelica在AADL扩展属性集中的定义，将Modelica用AADL描述，转化后之后的 AADL模型如下所示：

通过AADL加权概率行为附件和Modelica在AADL扩展属性集中的模型以及本发明提出的 模型转换规则，可以得出一个加权概率混成自动机，根据模型转换算法得出自动机与AADL扩 充建模语言的状态关系，这个关系通过互模拟证明后得出是自动机与AADL模型的互模拟等价 关系，因此后续对其进行形式化的工作的结果在AADL模型是有效的。转化后的加权概率混成 自动机见附图6。

Claims (5)

1.面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的转换方法，其特征在于：主要包含以下步骤：

(1)基于CPS对混成自动机引入概率与加权性质，在混成自动机(L，A，X，L₀，X₀，E，I，F)的定义中增加两个标签函数元组(P，W)；

(2)使用加权概率AADL行为附件对CPS的信息系统进行建模；使用Modelica对CPS的物理系统进行建模，且通过使用AADL扩展属性集将其转为AADL模型；

(3)通过加权概率混成自动机的语言语义和AADL扩充建模语言模型的定义给出转换规则，并提出相应的模型转换算法；

(4)使用模型转换规则和算法将AADL扩充建模语言模型转换为加权概率混成自动机，并利用互模拟定义来证明两个模型是否等价。

(5)完成模型转换。

2.根据权利1要求所描述的面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的转换方法，其特征在于：所描述步骤(1)对混成自动机(L，A，X，L₀，X₀，E，I，F)引入概率与加权性质，有以下两个元组(P，W)：

(1)P是一个概率标签函数：L×A×L→[0，1]，表示一个状态s以及它即将发生的动作以一定的概率迁移至下一个状态s’；

(2)W是一个权值标签函数：L×A×L→R，表示一个状态s以及它即将发生的动作迁移至下一个状态s’时会消耗w资源。

3.根据权利1要求所描述的面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的转换方法，其特征在于：所描述步骤(2)使用加权概率AADL行为附件对CPS的信息系统进行建模，其包含以下四个主要模块：

(1)WPT模块：表示系统中两个状态的具有权值信息和概率选择的迁移关系，状态s在满足变迁时需要满足的条件时执行a动作且以一定概率选择迁移至状态s’，迁移过程消耗w资源，并重置部分变量；

(2)Variable模块：表示系统中每个状态中出现的所有变量，变量表示系统在该状态下的某些性质；

(3)State模块：表示系统中所有的状态，并将状态模块分为两个个部分，分别为初始状态(Initial states)、状态(States)；

(4)State guard模块：表示系统中每个状态对应一个变量有一个布尔表达式，当系统在该状态停留时，对应变量需要满足此表达式，即表达式结果为真。

4.根据权利1要求所描述的面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的转换方法，其特征在于：所描述步骤(3)提出模型转换规则及算法：首先根据AADL行为附件以及Modelica通过AADL的扩展属性集转换成AADL的定义和属性与自动机的语法语义进行对比，再通过迁移的关系给出相应的规则，最后根据规则以及转换的规律提出相应的算法。

5.根据权利1要求所描述的面向CPS的AADL扩充建模语言及其转换为加权概率混成自动机的转换方法，其特征在于：所描述步骤(4)使用模型转换规则和算法将AADL扩充建模语言模型转换为加权概率混成自动机：根据模型转换算法将AADL扩充建模语言作为输入，算法将输出对应的加权概率混成自动机模型，将两个模型的变迁系统用互模拟证明是否等价，证明等价后，则该自动机模型可用于后续的安全性验证工作，其验证结果与AADL扩充建模语言模型一致。

Images