[发明专利]一种基于特征配置的系统层综合模型安全验证方法

说明书

本发明公开了一种基于特征配置的系统层综合模型安全验证方法，将用户建立的SLIM模型转换SNIP模型检测器可以识别的fPromela+TVL模型，然后借助SNIP模型检测器进行安全性验证，通过验证结果找出系统设计问题，基于SLIM语言的特点，主要包含三个步骤：步骤一，标定模型的转换；步骤二，基于特征配置的故障模型的转换；步骤三，基于SNIP的SLIM扩展模型的安全性分析。本发明实现了基于软件产品线特征配置思想的SLIM扩展模型到fPromela+TVL模型的转化并利用SNIP工具分析系统缺陷。

技术领域

本发明涉及一种模型安全验证方法，特别是一种基于特征配置的系统层综合模型安全验证方法。

背景技术

伴随着航空航天技术的发展，现代太空任务和诸如航天器这样的安全关键系统的设计正面临着巨大的挑战。“基于组件的工程(component-based)”在工程师进行复杂的系统设计中是一个重要且行之有效的典范。在基于组件的工程的设计中，核心思想是组件的行为(组件实现)和单个组件之间的交互需要给予清楚的区分。其中，组件可能是以层次化的结构进行复合组成的可视化模型；而组件实现的内部结构通过分解成更小的子组件、软硬件绑定和利用端口连接后的交互被指定；组件的行为通常被描述成一种有限状态机——文本形式的模式迁移图。

由于安全关键系统所涉及的应用场景愈发复杂和多变、系统设计涉及到多样化的需求(如：功能正确，可靠，可观测，性能等)，这些需求在开发早期由不同团队或者领域专家提出，而这些需求提出者之间缺少充分交流，导致需求整合后出现一些问题。面对这些挑战，由欧洲宇航局(ESA)赞助的COMPASS项目，提出了一个为航空航天领域安全关键机载系统量身定制的、综合的、基于模型的系统开发方法，完成需求分析、系统建模、系统功能正确性和性能分析工作。该方法基于系统层综合建模语言SLIM(System-Level IntegratedModelling)，为系统工程师提供了简便的方法，用来描述标定的软硬件行为以及系统发生(概率)故障、故障传播所引起的系统退化和故障情况下系统的恢复。这种方法的根本特点是对模型进行扩展：从系统的标定模型和一系列可能的故障出发，扩展操作将两者结合产生了一个对发生故障后系统行为的描述。

由于SLIM是一种半形式化的建模语言，只是对系统的行为进行了描述，不能对SLIM模型进行非功能属性进行分析。

发明内容

本发明所要解决的技术问题是提供一种基于特征配置的系统层综合模型安全验证方法，它实现了SLIM模型到fPromela模型的转换，利用集成的SNIP工具完成SLIM模型的检测，解决了单一SLIM模型不能进行非功能属性进行分析的缺陷问题。

为解决上述技术问题，本发明所采用的技术方案是：

一种基于特征配置的系统层综合模型安全验证方法，其特征在于包含以下步骤：

步骤一：标定模型的转换，从根组件root开始,每个控制组件c∈component实例被转换成唯一的进程，从而实现组件的行为；通过”active”申明,一个进程通过SNIP被自动实例化；每个组件都使用一个全局申明的无缓冲通道，用来完成组件和上层组件的同步通信；组件的不同模式m∈mode(c)用程序标签mode_m表示，并用一个do-loop以实现所有的行为；

步骤二：基于特征配置的故障模型的转换；在完成标定模型的转换后，对于指定组件所配置的故障，需要关联错误模型内的信息，将故障信息加入标定模型中以完成转换，包括：故障原因、故障下的不同系统模式以及组件模式/错误状态的变迁；

步骤三：基于SNIP的SLIM扩展模型的安全性分析，以上两部分得到了与SLIM扩展模型等价的fPromela+TVL模型，使用线性时序逻辑对安全需求进行规约，从而得到需要验证的安全性需求LTL公式，并利用软件产品线模型检测工具SNIP验证fPromela+TVL模型是否满足安全性需求的LTL规约。

进一步地，所述标定模型的转换具体过程为，