[发明专利]一种基于自然语言需求的AADL模型组合验证性质自动生成方法

说明书

本发明公开了一种基于自然语言需求的AADL模型组合验证性质自动生成方法，在以AADL为建模语言建立的软件模型验证阶段，通过该方法将输入的自然语言需求文本自动生成为形式化契约，该形式化契约插入原模型中，从而方便基于验证工具AGREE对AADL模型进行组合验证。

技术领域

本发明属于安全关键软件技术领域，具体涉及一种基于自然语言需求的AADL模型组合验证性质自动生成方法。

背景技术

安全关键软件(safety-critical software)是应用于航空、航天、交通、能源等领域的安全关键系统中，若其运行情况不佳会导致安全关键系统处于危险状态，从而导致财产损失、环境破坏或者人员伤害的一类软件，因此，对安全关键软件的功能正确性、实时性、安全性等性质有极高的要求。

安全关键软件的日益复杂使得软件开发的难度增加，开发成本和不安全系数也随之上升。近年来，模型驱动(model-driven)尤其是采用形式化模型驱动的安全关键软件设计与开发方法逐渐受到重视，并被工业界认为是切实可行的重要手段。模型驱动开发方法将模型作为整个软件开发过程的核心元素，在设计阶段就建立软件模型，并尽早进行验证和分析。同时，模型的重用以及基于模型的自动代码生成，都有助于降低软件开发时间和成本。

传统的系统模型验证方法一般是将扁平化的整个模型转换，直接进行验证，由于安全关键系统软件组件多、状态复杂，这类验证方法会导致系统状态空间爆炸的问题。近年来，基于契约的组合验证方法(Contract-Based Compositional Verification)成为安全关键软件领域解决验证状态空间爆炸问题的国际前沿热点。

基于契约的组合验证方法的核心思想是利用软件系统的组合结构对验证问题进行分解，先验证各子构件的性质，然后综合推导出整个系统的性质，通过分而治之解决状态空间爆炸问题，这些性质即用契约来形式化规约。契约是对构件输入、内部行为及输出的抽象规约，一般用二元组Assume,Guarantee来表示。Assume规约了该构件的环境约束，因为系统中每个构件的行为往往会受到与它关联的构件的影响。所谓环境即为与该构件交互的其它构件和连接，环境中的构件可以是软件、硬件或物理设备等；Guarantee规约了在Assume得到满足的情况下该构件应该保证的行为。

在安全关键系统领域，常用的建模语言主要包括Modelica、SysML、UML Marte、AADL、EAST-ADL、SCADE、Simulink、Ptolemy II等。其中，AADL以层次化件的方式表达系统的软硬件架构，基于行为附件(Behavior Annex)表达构件正常功能行为，基于故障模型(Error Model Annex)表达构件在失效条件下的故障行为，以一体化的方式完整支持MBSD和MBSA，丰富的可表达方式使得AADL成为安全关键软件设计与验证方法的一种重要选择。

假设保证推理环境(AGREE)是一个用于AADL模型的组合的、假设保证模式的模型检查器。AGREE annex子组件可以嵌入到AADL的系统、进程和线程中，支持将形式化契约插入已有的AADL模型中，使用k-归纳法作为模型检验的底层算法，实现AADL模型需求验证、架构设计和架构验证。

契约定义是组合验证方法使用的前提，如何实现自然语言需求到形式化契约的自动生成，成为组合验证方法在安全关键系统领域有效使用的关键。当前获得形式化契约的方法是人工转换自然语言到契约，这样做存在一些弊端：

一是人工转化增加了系统引入错误的可能；

二是对于多数复杂的安全关键系统，人工转化需求的工作量和复杂度都难以承受。

此外，已有的组合验证工具研究主要基于同步数据流，即它仅支持同步子集，不支持异步子集、事件数据端口、延时通信等AADL模型子集，而在实际应用中，安全关键系统有分布式、异构性等特征，因此所采取的通信方式大部分是异构通信模式，所以AGREE支持的模型子集应得到扩充，以满足模型验证需求。

发明内容