基于时间自动机模型的安全计算机平台的形式化验证_郭志良

第 33 卷第 6 期 20 11 年6 月
铁 道 学 报 JO U RNA L OF T H E C HIN A RA ILW A Y SO CI ET Y
V ol.33 N o.6
Ju n e
20 11
文章编号 :1001-8360(2011)06-0068-06
基于时间自动机模型的安全计算机平台的形式化验证
行辅助设计和验证十分必要 , 它可以有效发现系统设 计缺陷 , 降低系统故障 , 提高系统的安全性[ 1] 。 在各种 形式化建模方法中[ 2] , 基于逻辑的描述并发系统行为 的自动机模型能够通过有向图形象地 描述系统的行
为 , 比较适合进行安全计算机平台系统的建模 。
第6期
基于时间自动机模型的 安全计算机平台的形式化验证
基于通信的列车运行控制系统 CBT C(Communicatio n Based T rai n Cont rol)是列车运行控制系统的发 展趋势 。 在 CBT C 系统中 , 地面区域控制中心的主要 组成部分是区域控制器 ZC 以及数据存储单元 DSU 。 其中 ZC 管辖区域中所有列车的车载控制器 VOBC , 将列车所在位置和速度等信息发送到安全计算机平台 之上的 ZC 应用程序中 , 经过保证安全的计算后再将
收稿日期 :2009-06-15 ;修回日期 :2009-12-29 基金项目 :国家科技支 撑计划项 目(2006BA G 02B04);北京市 科技计 划
项目(W 06H0020) 作者简介 :郭志良(1987 —), 男 , 福建莆田人 , 硕士 。 E-mail :08120307 @bjt
基于自动机理论的模型检验方法在验证前创建完 整的系统自动 机和性质自 动机 , UP PAAL 采 用称为 “on-t he-f ly”的搜索技术 , 在对与性质自动机的乘积进 行判空时 , 只在需要时生成系统自动机的状态 , 避免为 系统建立整个状态空间 , 有效提高模型验证器的效率 。 下文引入 UPPAA L 来验证模拟为时间自动机网络的 安全计算机平台 系统的安 全性(Safet y)和受限 活性 (Bo unded Li vene , 之后将处理的结果输出到数据输入输出模块 。 (2)数据输入输出模块 :由两台工控机组成 , 负责
输入输出数据的转发 。 (3)安全表决模块 :包含两个容错安全管理单元
F T SM A 、F T SMB , 对于处理 单元模块和数 据输入输 出模块的 6 台工控机进行动态检测 , 表决通道 A 、B 的 主备状态的切换和通信控制器的状态控制 。
郭志良1, 2 , 郜春海1 , 马连川2 , 吕继东1, 2
(1.北京交通大学 轨道交通控制与安全国家重点实验室 , 北 京 100044; 2.北京交通大学 电子信息工程学院 , 北京 100044)
摘 要 :众多工业控制领域要求计算机控制系统具有高可靠 、高可用和高安全的运行基础 , 2 乘 2 取 2 冗余 结构 的安全计算机平台是提 高系统安全性 、可靠性的一种重 要解决方 式 。 CBT C 列控 系统的安 全计算 机平台 采用 2 乘 2 取 2 冗余结构 , 它是一个实时系统 , 控制过程需 要考虑时间 因素 。 本文 分析 CBT C 系统 安全计 算机平 台系 统的组成结构 , 提取出系统的功能约束 , 采用基于时间自动机理论的建模验证工具 UP PA A L 建立系统的自动机 网络模型 , 进行仿真分析 , 验证系 统的功能性 、实时性 、安全性要求 。 关键词 :实时系统 ;安全计算机 ;时间自动机 ;模型验证 ;U PPA A L 中图分类号 :T P 301.1 ;T P319 文献标志码 :A doi:10.3969/ j.issn.1001-8360.2011.06.012
69
1 时间自动机及其验证工具 UPP AAL
安全计算机平台系统采用多重冗余结构 , 内部各 单元间的通信任务较为繁重 , 协作机制较为复杂 , 对实 时性要求很高的软件核心采用实时操作系统 , 其正确 性和安全性不仅依赖于系统计算的逻辑结果 , 还依赖 于产生这个结果的时间 。 针对安全计算机平台的高实 时性能要求 , 采用传统的有限状态自动机进行建模验 证显然是不够的 , 时间自动机作为模拟实时系统行为 的模型被引入 。 对于本平台系统可由一组并行的 、相 互通信的时间自动机来表示系统的各个组成部分 , 整 个系统可以表示为一个时间自动机网络 。
2 基于时间自动机的系统建模
2.1 系统结构与功能分析 本安全计算机平台系统主要由 6 台工控机和容错安
全管理(FT SM)单元组成 , 分为 3 个模块 , 如图 1 所示 。 各个模块的组成与功能如下 : (1)处理单元模块 :由 4 台工控机组成 2 乘 2 取 2
结构 , 4 台 工控 机分 别称 为处 理单 元 P UA1 、P UA2 、 PUB1 、P UB2 , 其中 P UA1 与 P UA2 、PUB1 与 P UB2 分 别组成 2 取 2 结构的通道 A 、通道 B , 负责对输入数据进
Formal Verification of Safety Computer Platform Based on Timed Automata Model
G U O Zhi-liang1 , 2 , G A O Chun-hai1 , M A Lian-chuan2 , L Ji-dong1 , 2
(1.St ate K ey Lab orat ory of Rai l Traff ic Cont rol an d Saf et y , Beiji ng Ji aot ong U niversit y , Beijing 100044 , China ; 2.School of Elect roni cs and Inf ormati on En gi neering , Beiji ng Ji aot ong U niversit y , Beijing 100044 , China)
基于时间自动机理论的自动验证工具 UPP AAL 是一个为实时系统提供建模 、仿真和验证环境的集成 工具 , 适用于可以被描述为非确定的并行过程的积的 系统 。每一个过程被描述为由有限控制结构 、实数值 时钟和变量组成的时间自动机 , 过程之间通过管道和 (或者)共享变量进行通信 , 管道用于保证不同自动机 中两个转换同时执行 。
行车许可 M A 发往 VOBC , 控制列车的下一步运行 ; 而 DSU 包括其他列控子系统使用的所有数据库和配 置文件 , 其应用软件也需要搭建在安全计算机平台之 上 。 为了提高地面区域控制中心的可靠性 、安全性 , 采 用 2 乘 2 取 2 的冗余结构设计安全计算机平台系统 。
对安全计算机平台系统选用适当的形式化工具进
时间自动机由 A lur[ 3] 创立 , 是一种有效描述实时 系统行为的计算模型 。时间自动机网络是一组时间自 动机 T A1 , … , T An 的并行复合 , 每个时间自动机 T Ai (1 ≤i ≤n)称为一个进程 , 这些进程通过通道或共享全 局变量的方式进行通信 , 同步通信使用输入/ 输出动作 以握手同步的方式进行 , 异步通信以共享全局变量的 方式进行 。为了模拟握手同步 , 时间自动机中的标记 集中应包括输入动作符号 a ? 和输出动作符号 a !。
两个 2 取 2 通道间的切换和 2 取 2 双机的同步是 本安全计算机平台系统的关键问题[ 4] 。
(1)2 取 2 通道间的切换 两个通道的状态模式包括 :断电模式 、上电模式 、 状态跟随模式 、备通道模式和主通道模式 。 通道模式 的转换图如图 2 所示 。
图 2 通道模式转换图
两通道在上电初始均先进行自检 , 并将自检结果 发送至 F T SM 单元 , F T SM 单元根据两通道的自检结 果 , 采取相应的策略完成主通道的选定 。 当一个通道 进入主通道模式 , 对从通信控制器得到的数据进行运 算 , 再通过通信控制器输出 。主通道在每个运算周期 的开始将其状态信息发送给另一通道 , 若后者处于状 态跟随模式 , 则其将根据传递的跟随信息完成状态跟 随 , 进入备通道模式 , 紧随主通道运行与主通道完全相 同的程序 , 但比主通道运算周期开始得稍晚 , 且其不输 出数据 , 而仍是由主通道完成数据输出 。
Abstract :In many indust rial contro l fields , the running f oundation of t he com pute r co nt rol sy st em is required to be highly reliable , available and ing t he 2 ×2-out-of-2 redundant st ruct ure to f orm the safety co mput er plat fo rm i s an im po rtant so lution to im pro ve securit y and reliabi li ty of t he com puter cont rol sy stem.T he saf ety com pute r platf orm of the CBT C t rains co ntro l sy st em uses the 2 ×2-o ut-o f-2 st ruct ure w hi ch is a real-time system , taki ng t he tim e f act or int o account in t he cont rol process.T he st ructure of t he saf ety computer sy st em is analyzed and the f unction o f the sy stem is ex tracted.T he t imed aut omat a net w ork m odel of the sy st em is built usi ng t he v alidation t oo l UP PAA L on t he basis of t he timed aut omat a t heory.T hen sim ulat ion i s carried out to veri fy , t he f unctio nality and t he real-time and saf ety prope rties of t he sy stem. Key words:real-tim e sy st em ;safety com puter ;tim ed aut omat on ;mo del verifi catio n ;UP PAAL