KR102471537B1 - 내장형 제어 프로그램의 검증 방법 및 그 장치 - Google Patents

Abstract

본 발명은 운영체제와 어플리케이션 모두를 고려하여 내장형 제어프로그램을 검증하는 방법 및 장치를 제안한다. 본 발명의 검증 방법은, 추상화된 제어 프로그램과 정형 운영체제 모델을 통합하는 단계, 통합된 운영체제 모델을 검증하는 검증 단계, 상기 검증 결과 속성 위반을 포함하는 반례가 도출되는 도출 단계 및 검증 결과에 따라 보고된 반례의 스케쥴링 정보를 활용한 운영체제와 제어프로그램 상에서 보고된 시나리오의 실행 가능성을 판단하는 판단 단계를 포함하여 수행된다. 그리고 시나리오의 실행 가능성이 불가능한 경우, 상기 시나리오를 통합 모델로부터 제거하는 제거하고 이를 다시 검증하는 과정을 반복하여 수행한다.

Description

내장형 제어 프로그램의 검증 방법 및 그 장치{Embedded control program verification method and device}

본 발명은 내장형 제어 프로그램에 관한 것으로, 특히 운영체제와 어플리케이션 모두를 고려하여 내장형 제어프로그램을 검증하되 CEGAR(Counterexample-guided abstraction refinement) 검증 기법을 사용함으로써 검증 복잡도를 낮추면서 검증할 수 있는 방법 및 장치에 관한 것이다.

내장형 프로그램은 일반적으로 운영체제와 어플리케이션을 포함하는 구성이다. 그리고 이러한 내장형 제어 프로그램은 여러 태스크(task)가 번갈아 수행되며, 여러 태스크의 실행순서를 정확하게 파악하기 위해서는 운영체제의 스케줄링 정보 및 작업 우선순위뿐만 아니라, 운영체제의 구성요소인 리소스, 이벤트, 인터럽트 등의 행위를 모두 반영한 운영체제가 있어야 한다.

이러한 제어 프로그램의 동작을 정확하게 분석하는 작업은 중요하다. 제어 프로그램은 내장된 소프트웨어를 생성하기 위해 운영체제와 함께 컴파일되기 때문에 운영체제와 밀접하게 결합되어 있기 때문이다. 운영체제의 동작을 고려하지 않고서는 이러한 제어 프로그램의 동작을 분석할 수 없다.

종래에 제어 프로그램의 검증방법은 운영체제와 어플리케이션을 따로 검증하는 방법이 있었다. 그러나 운영체제와 어플리케이션을 각각 검증하는 경우 나머지 하나의 행위를 확인할 수 없어 정확한 검증이 어려운 문제가 있다. 그래서 운영체제와 제어 프로그램 모두를 고려한 검증방법이 사용되기도 하였다. 그러나 상기와 같이 운영체제와 제어 프로그램 모두의 행위를 고려한 검증 방법은 매우 복잡도가 커질 뿐만 아니라 막대한 검증 비용이 발생하는 문제가 있다.

또 운영체제를 고려하지 않고 검증하기도 하는데, 예를 들어 운영체제를 추상화하여 검증할 경우 실제 프로그램 상에서 실행 가능하지 않은 높은 비율의 오경보가 발생하기도 한다. 이러한 검증방법은 작업간의 잘못된 실행순서를 기반으로 주어진 검증 속성을 반박할 가능성이 높아, 예를 들면 낮은 우선 순위 작업이 제어 프로그램에서 높은 우선 순위 작업에 선점될 수 있는 문제를 초래하기도 한다.

본 발명의 목적은, 잘못된 오경보의 비율을 낮추도록 하며 검증 정확도를 향상시키면서 검증 비용을 줄일 수 있도록 하는 내장형 제어 프로그램 검증 방법 및 그 장치를 제공하는 것이다.

본 발명은 OiL-CEGAR(OS-in-the-Loop Counterexample-Guided Abstraction Refinment)라는 CEGAR의 변형이 적용된 내장형 제어 프로그램 검증 방법 및 그 장치를 제공하는 것이다.

이와 같은 목적을 달성하기 위한 본 발명은, 추상화된 제어 프로그램과 정형 운영체제 모델을 통합하는 통합 단계; 상기 통합된 운영체제 모델을 검증하는 검증 단계; 상기 검증 결과 속성 위반을 포함하는 반례가 도출되는 도출 단계; 검증 결과에 따라 보고된 반례의 스케쥴링 정보를 활용한 운영체제와 제어프로그램 상에서 보고된 시나리오의 실행 가능성을 판단하는 판단 단계; 및 실행 가능성이 불가능한 경우, 상기 시나리오를 통합 모델로부터 제거하는 제거 단계;를 포함하여 수행되는 것을 특징으로 하는 내장형 제어 프로그램의 검증 방법을 제공한다.

상기 제거 단계 이후에, 상기 시나리오가 제거된 통합 모델을 다시 검증하고, 제어 프로그램의 안전성이 증명되거나 실행 가능한 안전 속성 위반 시나리오가 보고될 때까지 반복 수행하는 단계를 더 포함한다.

상기 판단 단계는 상기 검증 단계에서 검증된 결과가 실제로 발생가능한지 판단하는 것이다.

상기 검증 방법은, OiL-CEGAR(OS-in-the-Loop Counterexample-Guided Abstraction Refinment) 방법이다.

본 발명의 다른 특징에 따르면, 어플리케이션을 추상화하는 추상화부; 추상화된 어플리케이션 모델과 운영체제 모델을 통합하는 모델 통합부; 통합된 모델을 검증하는 모델 검증부; 상기 모델 검증부의 검증 결과에 따라 시나리오의 실행 가능성을 판단하는 판단부를 포함하여 구성되는 것을 특징으로 하는 내장형 제어 프로그램의 검증 장치를 제공한다.

상기 판단부의 판단 결과, 실행 불가능한 시나리오인 경우 통합 모델에서 제거하는 제거부를 더 포함하고, 실행 불가능한 시나리오가 제거된 통합모델은 다시 상기 모델 검증부로 전달된다.

상기 모델 검증부는, 통합 모델이 안전 속성을 준수하는지 검증한다.

상기 판단부는, 실행 가능한 안전 속성 위반 시나리오가 보고될 때까지 상기 모델 검증부가 제공하는 안전 속성 위반 시나리오를 판단한다.

이상과 같은 본 발명의 내장형 제어 프로그램 검증 방법 및 그 장치에 따르면, 운영체제 모델과 어플리케이션을 함께 검증함으로써 종래보다 더 정확하게 내장형 제어 프로그램을 검증할 수 있다.

또 본 발명은 모델 추상화를 이용하기 때문에 검증의 복잡도를 낮출 수 있고 이에 따라 검증 비용도 절감할 수 있는 효과가 있다.

도 1은 본 발명의 실시 예에 따른 내장형 제어 프로그램 검증장치를 나타낸 구성도
도 2는 도 1의 내장형 제어 프로그램 검증장치를 이용한 검증방법을 설명하는 흐름도

본 발명의 목적 및 효과, 그리고 그것들을 달성하기 위한 기술적 구성들은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시 예들을 참조하면 명확해질 것이다. 본 발명을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다.

그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다.

그러나 본 발명은 이하에서 개시되는 실시 예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있다. 단지 본 실시 예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.

이하에서는 도면에 도시한 실시 예에 기초하면서 본 발명에 대하여 더욱 상세하게 설명하기로 한다.

도 1은 본 발명의 실시 예에 따라 내장형 제어 프로그램을 검증하는 장치(100)를 나타낸 구성도이다. 도 1에 도시한 바와 같이 어플리케이션을 추상화하는 추상화부(110)가 구비된다. 내장형 제어프로그램의 검증 시점에서 어플리케이션을 추상화하는 이유는 검증 복잡도를 낮추기 위한 것이다.

그리고 추상화된 어플리케이션 모델과 운영체제 모델을 통합하는 모델 통합부(120)와, 모델 통합부(120)에 의해 통합된 모델을 검증하는 모델 검증부(130)가 구비된다. 모델 검증부(130)는 검증시점에서 어플리케이션을 추상화했기 때문에 실제로 발생 가능하지 않은 시나리오가 안전 속성 위반 시나리오로써 발생할 수 있다. 이러한 모델 검증부(130)의 검증 결과는 제어 프로그램이 안전 속성을 준수함을 증명 또는 안전 속성을 위반하는 시나리오로 구분할 수 있다.

그리고 상기 모델 검증부(130)의 검증 결과에 따라 시나리오의 실행 가능성을 판단하는 판단부(140)가 구비된다. 앞서 언급한 바와 같이 어플리케이션을 추상화했기 때문에 시나리오가 실제로 발생할 수 있는 행위인지 또는 실제로 발생할 수 없는 행위인지를 알수 없기 때문에 시나리오의 실행 가능성을 판단할 필요가 있기 때문이다. 다시 말해 어플리케이션의 추상화에 따라 아주 다양한 경우의 수가 존재할 가능성이 있으며, 따라서 각각의 시나리오가 실제로 실행될 수 있는가를 판단해야 하는 것이다. 판단부(140)는 실행 가능한 안전 속성 위반 시나리오 또는 실행 불가능한 시나리오를 판단할 수 있다.

상기 실행 불가능한 시나리오인 경우 통합 모델에서 이를 제거하는 시나리오 제거부(150)가 더 구비된다. 그리고 시나리오 제거부(150)에 의하여 실행 불가능한 시나리오가 제외된 통합모델은 다시 상기 모델 검증부(130)로 제공되며, 모델 검증부(130)에 의해 프로그램의 안전성이 증명되거나, 그러지 못할 경우 판단부(140)로 제공되어 실행 가능한 안전성 위반 시나리오가 보고될 때까지 상기한 과정을 반복 수행하게 된다.

다음에는 이와 같이 구성된 검증장치의 검증방법을 도 2를 참조하여 살펴보기로 한다.

제어 프로그램의 안전성 여부를 정확하게 검증하기 위하여 운영체제와 어플리케이션을 구비한 제어 프로그램에서, 추상화부(110)는 그 제어프로그램의 검증 시점에 어플리케이션을 추상화하는 과정을 우선적으로 수행한다(s100). 추상화는 특정 조건에서 실행 가능한 경우가 복수 개 존재한다는 것을 의미한다. 이와 같이 어플리케이션을 추상화하면 특정 조건에서 발생할 수 있는 경우의 수의 전부를 각각 분석하지 않아도 되기 때문에(즉 연산량을 줄일 수 있게 된다), 종래 검증방법과 비교하면 운영체제와 어플리케이션을 같이 검증하면서도 복잡도를 낮추고 검증비용을 줄일 수 있게 된다.

모델 통합부(120)는 추상화한 어플리케이션 모델과 운영체제 모델을 통합하고(s110), 모델 검증부(130)는 이렇게 통합된 모델에 대한 제어프로그램의 안전성 여부를 검증하게 된다(s120). 모델 검증부(130)가 검증하는 이유는 상기와 같이 어플리케이션을 추상화했기 때문에 실제로 발생하지 않는 시나리오가 나올 수 있기 때문이다. 상기 모델 검증부(130)의 검증결과는 2가지다. 상기 실제로 실행 가능한 시나리오인 경우는 안전 속성을 위반하지 않은 시나리오로서 제어프로그램이 안전하다고 검증된 제1 경우와, 실제로 일어나지 않은 시나리오가 발생한 제2 경우다. 모델 검증부(130)는 상기 제2 경우를 발견하기 위한 것이라 할 수 있다. 실질적으로 모델 검증부(130)는 속성 위반을 포함하는 반례를 도출하는 과정이라 할 수도 있다.

상기 모델 검증부(130)의 검증 결과, 상기한 바와 같이 제1 경우가 발생하면 해당 모델은 제어프로그램의 안전성이 증명됐다고 할 수 있다. 반면 제2 경우가 발생하면 판단부(140)는 상기 시나리오의 실행 가능성을 판단해야 한다.

판단부(140)의 상기 시나리오의 실행 가능성 판단은(s130), 검증 결과에 따라 보고된 반례의 스케줄링 정보를 이용하여 만든 추상화된 운영체제에서 어플리케이션을 실행함으로써 시나리오의 실행 가능성을 판단할 수 있다. 판단 결과는 실제 어플리케이션이 실행되면 실제로도 실행 가능한 오류 시나리오로 해석하여 안전성을 위반한 시나리오(즉 안전 속성 위반 시나리오)로 보고한다(s140의 '예'). 반대로 어플리케이션이 실행할 수 없는 경우이면(s140의 '아니오'), 그 시나리오를 제거한 후 다시 검증과정을 수행해야 한다. 상기와 같이 어플리케이션이 실행할 수 없는 경우는 어플리케이션을 추상화했기 때문에 발생하는 것이다.

이처럼 실행 불가능한 시나리오가 확인되면 시나리오 제거부(150)는 통합 모델에서 상기 실행 불가능하다고 보고된 시나리오를 제거한 후 이를 다시 모델 검증부(130)로 전달한다(s150).

그러면 모델 검증부(130)는 다시 해당 통합 모델의 검증과정을 수행하고, 안전속성이 준수된 경우와 반대의 경우를 검증하며, 안전속성이 위반된 경우 판단부(140)가 실행 가능한 시나리오인지를 판단하는 과정을 계속 수행하게 된다. 즉 상기 판단부(140)는 안전성 위반 시나리오가 보고될 때까지 제어프로그램의 안전성을 검증하는 과정을 계속해서 수행하는 것이다.

이와 같이 본 발명은 운영체제와 어플리케이션 모두를 고려하여 내장형 제어프로그램을 검증하는 것이고, 나아가 제어 프로그램의 검증은 개선된 CEGAR 검증 기법을 적용하여 종래보다 검증 복잡도 및 비용을 낮추면서 수행하게 됨을 알 수 있다.

이상과 같이 본 발명의 도시된 실시 예를 참고하여 설명하고 있으나, 이는 예시적인 것들에 불과하며, 본 발명이 속하는 기술 분야의 통상의 지식을 가진 자라면 본 발명의 요지 및 범위에 벗어나지 않으면서도 다양한 변형, 변경 및 균등한 타 실시 예들이 가능하다는 것을 명백하게 알 수 있을 것이다. 따라서 본 발명의 진정한 기술적 보호 범위는 첨부된 청구범위의 기술적인 사상에 의해 정해져야 할 것이다.

110: 추상화부
120: 모델 통합부
130: 모델 검증부
140: 판단부
150: 제거부

Claims (8)

1. 모델 통합부를 이용하여, 추상화된 제어 프로그램과 정형 운영체제 모델을 통합하는 통합 단계;
   모델 검증부를 이용하여, 상기 통합된 운영체제 모델을 검증하는 검증 단계;
   상기 검증 결과에 따라, 상기 모델 검증부를 이용하여 속성 위반을 포함하는 반례를 도출하는 도출 단계;
   판단부를 이용하여, 상기 도출된 반례의 스케쥴링 정보에 기반하는 운영체제와 제어 프로그램 상에서 확인된 시나리오의 실행 가능성을 판단하는 판단 단계; 및
   실행 가능성이 불가능한 경우, 제거부를 이용하여 상기 시나리오를 통합 모델로부터 제거하는 제거 단계를 포함하고,
   상기 추상화는 상기 제어 프로그램을 실행하기 위한 시나리오의 개수를 특정 조건에서 발생 가능한 경우의 수보다 작은 개수로 한정하는 것인, 내장형 제어 프로그램의 검증 방법.
2. 제 1 항에 있어서,
   상기 제거 단계 이후에, 상기 시나리오가 제거된 통합 모델을 다시 검증하고, 제어 프로그램의 안전성이 증명되거나 실행 가능한 안전 속성 위반 시나리오가 확인될 때까지 반복 수행하는 단계를 더 포함하는 내장형 제어 프로그램의 검증 방법.
3. 제 1 항에 있어서,
   상기 판단 단계는 상기 검증 단계에서 검증된 결과가 실제로 발생가능한지 판단하는 내장형 제어 프로그램의 검증 방법.
4. 제 1 항에 있어서,
   상기 검증 방법은, OiL-CEGAR(OS-in-the-Loop Counterexample-Guided Abstraction Refinment) 방법인 내장형 제어 프로그램의 검증 방법.
5. 어플리케이션을 추상화하는 추상화부;
   추상화된 어플리케이션 모델과 운영체제 모델을 통합하는 모델 통합부;
   통합된 모델을 검증하고, 상기 검증 결과에 따라 속성 위반을 포함하는 반례를 도출하는 모델 검증부; 및
   상기 도출된 반례의 스케줄링 정보에 기반하는 운영체제와 제어 프로그램 상에서 확인된 시나리오의 실행 가능성을 판단하는 판단부를 포함하고,
   상기 추상화는 상기 제어 프로그램을 실행하기 위한 시나리오의 개수를 특정 조건에서 발생 가능한 경우의 수보다 작은 개수로 한정하는 것인, 내장형 제어 프로그램의 검증 장치.
6. 제 5 항에 있어서,
   상기 판단부의 판단 결과, 실행 불가능한 시나리오인 경우 통합 모델에서 제거하는 제거부를 더 포함하고,
   실행 불가능한 시나리오가 제거된 통합모델은 다시 상기 모델 검증부로 전달되는 내장형 제어 프로그램의 검증 장치.
7. 제 5 항에 있어서,
   상기 모델 검증부는,
   통합 모델이 안전 속성을 준수하는지 검증하는 내장형 제어 프로그램의 검증 장치.
8. 제 5 항에 있어서,
   상기 판단부는,
   실행 가능한 안전 속성 위반 시나리오가 확인될 때까지 상기 모델 검증부가 제공하는 안전 속성 위반 시나리오를 판단하는 내장형 제어 프로그램의 검증 장치.

Images