11、形式化安全分析与Lustre程序测试覆盖标准研究

形式化安全分析与Lustre程序测试覆盖标准研究

1. 形式化安全分析相关内容

在安全关键系统的工业开发中，代码由经过认证的代码生成器从SCADE模型自动生成。这种设计、代码生成和验证的全面集成及工具支持，对于形式化方法在工业安全关键系统开发中的成功应用至关重要，它能为系统制造商向认证机构提供的安全案例提供有力证据。

1.1 经验教训

• 建模风格对形式分析适用性的影响 ：基于SAT模型检查器的形式分析的适用性取决于设计和建模风格。状态基模型比数据流导向模型更适合抽象和简化技术，在案例研究中，某些属性只有在应用简化和抽象后才能被证明。此外，状态基设计便于转换到其他模型检查器，而对于数据流导向设计，一些抽象技术似乎不太适用。
• 活性分析与建模风格 ：使用SCADE DV进行对称简化后，数据流导向模型可以进行活性分析；而状态基模型则需要进一步抽象并转换为UPPAAL模型。这可能是由于架构差异导致的，但不能就此得出数据流导向模型通常更适合形式验证的结论。在对中等规模的两种模型进行DCCA和活性分析时，都面临严重的复杂性问题。
• 两种建模风格差异原因 ：虽然两种模型的大小和复杂性相似，但数据流设计中的状态信息分散且不如状态基模型均匀，这可能是状态基模型转换到SCADE DV的基于SAT的模型检查器效果更好的原因，但需要详细检查SCADE内部的模型转换来证实这一假设。

以下是一个简单的对比表格：
| 建模风格 | 抽象和简化技术适用性 | 活性分析要求 | 状态信息特点 | <