一種基于問題框架方法的時間需求建模與驗證方法
【技術(shù)領(lǐng)域】
[0001 ] 本發(fā)明是一種基于問題框架方法的時間需求建模與驗證方法，用于對時間攸關(guān)系 統(tǒng)進(jìn)行時間需求建模與時間規(guī)約驗證。
【背景技術(shù)】
[0002] 時間攸關(guān)系統(tǒng)非常重要，在軌道交通、航天、醫(yī)療等領(lǐng)域有著廣泛的應(yīng)用，由于時 間的執(zhí)行直接關(guān)系到人們的生命財產(chǎn)安全，時間需求的建模與驗證方法也比較多?，F(xiàn)有的 時間需求建模方法主要分成兩大類：1)基于時序邏輯的時間需求建模；和2)基于時間自動 機(jī)等形式化方法的時間需求模型?；跁r序邏輯的時間需求采用時序邏輯及其擴(kuò)展進(jìn)行定 性與定量的描述，都描述了時間點和時間段，在定量方面的描述中，基本上是通過引入時間 變量實現(xiàn)的?；跁r間自動機(jī)等形式化方法的時間需求模型很多，比如時間自動機(jī)，時段驗 算，時間通信順序進(jìn)程等。這些時間模型都是形式化的，也有支持驗證的工具，比如UPPAL 等，但在需求的早期使用不大合適。而且這些方法都沒有建立在功能需求建模之上。

【發(fā)明內(nèi)容】

[0003] 本發(fā)明的目的是針對時間攸關(guān)系統(tǒng)，提出的一種基于問題框架方法的時間需求建 模與驗證方法，該方法在功能需求基礎(chǔ)上通過建立時鐘約束關(guān)系，得到時間規(guī)約描述，提出 了從時間規(guī)約到模型檢測器NuSMV的轉(zhuǎn)換，對時間規(guī)約的一致性屬性進(jìn)行驗證。該方法使 用的規(guī)約和驗證手段，既能減少時間規(guī)約的二義性，又能保證時間規(guī)約的質(zhì)量。
[0004] 本發(fā)明首先結(jié)合問題框架方法和時鐘約束規(guī)約語言（CCSL)對時間需求進(jìn)行建 模，導(dǎo)出時間規(guī)約，再將時間規(guī)約轉(zhuǎn)換為NuSMV描述，利用NuSMV模型檢測器進(jìn)行規(guī)約的一 致性驗證。具體包括以下步驟：
[0005] 步驟1)為問題圖中每個問題領(lǐng)域建立時鐘
[0006] 為問題圖中的每個問題領(lǐng)域建立一個領(lǐng)域時鐘d. C，其中d表示問題領(lǐng)域，C表示 時鐘，C包括時間點集I和時間點之間的嚴(yán)格優(yōu)先關(guān)系集合（<)。
[0007] 首先給出時鐘的定義。
[0008] 定義1 :時鐘（C)
[0009] C ： = < 1,0
[0010] 其中，I是時間點集；<是定義在I上的偏序關(guān)系，命名為嚴(yán)格先于。
[0011] 時鐘分為2種，領(lǐng)域時鐘和交互時鐘。每個問題領(lǐng)域都發(fā)起或接收很多交互，每個 交互都是一個時鐘，定義為交互時鐘int.C。每個領(lǐng)域時鐘是由該領(lǐng)域的交互時鐘組合而 成，組合關(guān)系使用CCSL中的union算子，即若一個領(lǐng)域d有η個交互，則
[0012] d. C = inti. C union int2. O..union intn. C
[0013] 步驟2)為組合領(lǐng)域建模時鐘
[0014] 這一步是從已有的時鐘構(gòu)造新的時鐘，通過使用時鐘算子來得到。對于每個組合 領(lǐng)域，根據(jù)它與子領(lǐng)域的關(guān)系以及想要表達(dá)的意思，選擇合適的算子來構(gòu)造組合領(lǐng)域的時 鐘。相同結(jié)構(gòu)的領(lǐng)域表示兩個領(lǐng)域具有相同的交互。
[0015] 魯若組合領(lǐng)域d是由2個相同結(jié)構(gòu)的領(lǐng)域屯和d 2組合而成，想表達(dá)最慢的快時 鐘，貝lJ用 sup 構(gòu)造子，即 d. C = (I1. C1 sup d2. C2〇
[0016] ?若組合領(lǐng)域d是由相同結(jié)構(gòu)的領(lǐng)域屯和(12組合而成，想表達(dá)最快的慢時鐘，則 用 inf 構(gòu)造子，即 d. C = (I1. C1 inf d2. C2。
[0017] ?若組合領(lǐng)域d是由不同結(jié)構(gòu)的領(lǐng)域屯和屯組合而成，使用union構(gòu)造子，即d. C -d_i· Ci union d_2· Cgo
[0018] 步驟3)確立時鐘之間的定性關(guān)系
[0019] 時鐘（包括領(lǐng)域時鐘與交互時鐘）之間的定性關(guān)系包括如下3種：
[0020] ^C1 subClock C2是子時鐘關(guān)系，它表示一個時鐘C1的時間點是其父時鐘C2時間 點集合的一部分，兩個時鐘對應(yīng)的問題領(lǐng)域應(yīng)該也具有父子關(guān)系。
[0021] · C1 fasterThan C2表示時鐘d p C1的第i個時間點要先于時鐘C 2的第i個時間 點發(fā)生。它有兩個版本，嚴(yán)格的strictPre，和非嚴(yán)格的nstrictPre。
[0022] · C1 alternate C2表示時鐘C丨和C 2交替發(fā)生。
[0023] 步驟4)確立時鐘之間的定量關(guān)系
[0024] 定量關(guān)系表示兩個時鐘的時間點之間存在某些量化關(guān)系，本發(fā)明僅僅給出一種 boundedDiff(i，j)〇
[0025] C1 boundedDiff (i，j)C2表示這兩個時鐘的時間點之間的時間差在整數(shù)閉區(qū)間[i， j]之內(nèi)，i為負(fù)整數(shù)，j為正整數(shù)。
[0026] 步驟5)導(dǎo)出待開發(fā)系統(tǒng)時間規(guī)約；
[0027] 為待開發(fā)系統(tǒng)定義時鐘Csys，對問題圖中的每個領(lǐng)域Cli
[0028] Csys=Cl1-C1 union d2. C2 union··· dn. Cn〇
[0029] 時間規(guī)約描述為Csys及其相關(guān)的時鐘及時鐘約束，這些約束包括步驟I)、步驟2)、 步驟3)和步驟4)得到的各種關(guān)系，注意，去掉領(lǐng)域符號和交互符號，僅僅保留時鐘符號。
[0030] 步驟6)確立從時鐘約束到NuSMV的轉(zhuǎn)換規(guī)則
[0031] 首先建立時鐘約束的操作語義，本發(fā)明使用標(biāo)號迀移系統(tǒng)（Labeled Transition System，LTS)給出。時鐘約束既包括時鐘的定性與定量關(guān)系，又包括時鐘算子。圖3給出 了時鐘約束的LTS圖，表示了這些時鐘約束的操作語義。
[0032] · C1 subClock 02的LTS的語義，其只有一個狀態(tài)，表不在任一時刻（同一條迀移 上），要么兩個時鐘都發(fā)生，要么父時鐘發(fā)生子時鐘不發(fā)生，要么兩個時鐘都不發(fā)生。
[0033] · C1 fasterThan (含 stricPre 和 nstricPre) C2的語義，C 2的每個時間點可以發(fā) 生的條件是該時間點對應(yīng)的(；的時間點已經(jīng)發(fā)生過了，為確保C 2不過早發(fā)生，需要監(jiān)控C i 已經(jīng)提前（相對于(：2)發(fā)生了多少下，所以在其LTS語義中，記錄兩個時鐘已發(fā)生過的時間 點的個數(shù)的差值S，不同的狀態(tài)對應(yīng)于不同的δ數(shù)值，由于C1K C2快，δ彡0。算子所處 的狀態(tài)（即當(dāng)時S的值）決定下一個時刻哪個時鐘可以發(fā)生。例如嚴(yán)格版本StricPre中， 當(dāng)S =〇時只有(^可以發(fā)生，那么當(dāng)（^發(fā)生C2不發(fā)生時差值δ加1，算子狀態(tài)迀移到狀 態(tài)si。以此類推，算子在狀態(tài)81(δ =1)表示C1已經(jīng)比C2多發(fā)生了一下，那么接下去的 時刻可WC1單獨(dú)發(fā)生使得δ加1，或者C2單獨(dú)發(fā)生使得δ值減1，或者C JPCjP發(fā)生那 么S值不變，或者兩個時鐘都不發(fā)生當(dāng)然δ值也不變。
[0034] ^C1 alternate (：2的語義。初始時只有C 1可以發(fā)生，它發(fā)生后算子進(jìn)入狀態(tài)1， C1將不可以連續(xù)發(fā)生，只有C 2可以發(fā)生，使算子回到狀態(tài)sO,如此往復(fù)。其運(yùn)行序列將為 c1；c2；c1；c2； ···
[0035] · C = C1 union C2時鐘C i的任一時間點和C 2的任一時間點都與C的某一時間點 同時發(fā)生，它表示在任一時刻，要么C與（^同時發(fā)生，要么C與C 2同時發(fā)生，要三個時鐘都 發(fā)生，要么三個時鐘都不發(fā)生。
[0036] · C = C1 sup C2中的每一個時間點都取(^和(：2中發(fā)生最慢的時間點。類似 fasterThan關(guān)系，需要記錄時鐘(^和C2已發(fā)生過的時間點的個數(shù)的差值δ來決定某一時 刻C的時間點是否發(fā)生以及與誰同時發(fā)生。當(dāng)時鐘C1K C2快時，(：和C2相應(yīng)的時間點同時 發(fā)生，反之則與C1對應(yīng)的時間點同時發(fā)生。
[0037] 魯inf與sup相反，它取最快發(fā)生的時間點。
[0038] · C1 boundedDiff (i，j) C2可以把 boundedDiff 看做 fasterThan 的一個擴(kuò)展，限 定了差值S的邊界，但不規(guī)定哪個時鐘更快。當(dāng)下屆到達(dá)時，右邊的時鐘不能在下一個時 刻單獨(dú)發(fā)生，而當(dāng)上界到達(dá)時，左邊的時鐘不能在下一時刻單獨(dú)發(fā)生。
[0039] 其次，建立每個時鐘約束的LTS與NuSMV之間的對應(yīng)關(guān)系，其中每個狀態(tài)轉(zhuǎn)變?yōu)橐?個變量VAR，每個迀移轉(zhuǎn)變?yōu)橐粋€變迀TRANS，每個動作標(biāo)號轉(zhuǎn)變?yōu)橐粋€boolean型變量。具 體的轉(zhuǎn)化規(guī)則如表1所示：
[0040] 表1時間約束LTS到NuSMV模型的轉(zhuǎn)換規(guī)則：
[0041]
[0042] 步驟7)將時間規(guī)約轉(zhuǎn)換為NuSMV描述
[0043] 每個時間規(guī)約都需要轉(zhuǎn)換為一個"MODULE main"，并且在下一行生成"VAR"，然后 對規(guī)約中的每個時鐘C，輸出"c !boolean"和"init (c) := FALSE"，對每個時鐘約束cc，輸 出"ctr :cc"與" ASSIGN";對每個時鐘約束，在步驟6)的時鐘關(guān)系的NuSMV支持下，輸出其 NuSMV模板；由此生成規(guī)約的NuSMV描述。其具體算法如圖4所示。
[0044] 步驟8)確定時間規(guī)約一致性屬性的CTL描述
[0045] 對于時鐘集合為T = IA，C2, ...，CJ的時間需求規(guī)約，稱該規(guī)約一致如果其NuSMV 描述滿足如下兩個條件：
[0046] (1)滿足 CTL 公式 EF (AGp)，p =! (C11 C21 …I Cn)
[0047] (2)對任意 Ci屬于 T，滿足 CTL 公式 EF(AGq)，q = ! C i。
[0048] 步驟9)將時間規(guī)約與一致性屬性在NuSMV運(yùn)行，得到驗證結(jié)果和驗證后的時間規(guī) 約。
[0049] 本發(fā)明的一種基于問題框架的時間需求建模與驗證方法，用于對時間攸關(guān)系統(tǒng)進(jìn) 行建模與驗證，能得到時間規(guī)約，并且能夠驗證時間需求規(guī)約的一致性。與過去的方法相 比，本方法能夠在功能需求的基礎(chǔ)上，能夠定性與定量的描述時間需求，并形式化的驗證時 間規(guī)約的一致性。
【附圖說明】
[0050] 圖1為本發(fā)明實施例ABS系統(tǒng)的問題圖；
[0051] 圖2為本發(fā)明的流程示意圖；
[0052] 圖3為本發(fā)明時鐘關(guān)系的形式化語義示意圖；
[0053] 圖4為本發(fā)明時間規(guī)約到NuSMV描述的轉(zhuǎn)換算法；
[0054] 圖5為本發(fā)明實施例ABS系統(tǒng)的時鐘圖；
[0055] 圖6為本發(fā)明實施例ABS系統(tǒng)的定性關(guān)系圖。
【具體實施方式】
[0056] 實施例
[0057] 為了詳細(xì)說明本發(fā)明各步驟，本實施例選擇汽車防抱死系統(tǒng)（ABS)作為示例進(jìn)行 描述。
[0058] ABS 包含 4 個傳感器（Sensor if 1，ifr，irl，irr)和 4 個執(zhí)行器（Actuator oil， ofr，orr，orl)。傳感器感應(yīng)輪子的轉(zhuǎn)動速度，執(zhí)行器表征施加于輪子上的剎車壓力。ABS 的執(zhí)行是由R觸發(fā)，ABS的4個感應(yīng)器的值在一定延遲內(nèi)到達(dá)（也叫輸入同步），輸入同步 延遲為0. 5ms。
[0059] 下面結(jié)合附圖對本發(fā)明實施例描述如下：
[0060] 步驟1)為問題圖中每個問題領(lǐng)域建立時鐘
[0061] 圖1給出了 ABS系統(tǒng)的問題圖，為問題圖中的每個問題領(lǐng)域聲明一個時鐘，在問題 圖中對每個問題領(lǐng)域建立時鐘標(biāo)簽，生成的領(lǐng)域時鐘圖如圖5所示。
[0062] 在ABS和Sensor之間、ABS和Actuator之間的交互見表2,其中每個交互的