17、形式方法与高阶合一：发展历程、应用与展望

形式方法与高阶合一：发展历程、应用与展望

一、NASA兰利研究中心的形式方法研究

1.1 SIFT项目

20世纪70年代末，NASA兰利研究中心尝试对SIFT（软件实现容错）操作系统进行形式验证。该项目的主要目标是验证一个用于容错、分布式、实时航空电子计算平台的操作系统。然而，SIFT项目被认为是失败的，因为它未能达到主要目标。不过，该项目在计算机科学领域取得了重要成果，包括容错时钟同步、拜占庭协议（交互一致性）等。

1.2 VIPER微处理器评估

SIFT项目之后，兰利研究中心的形式方法研究进入了一段休眠期。直到1988年John Cullyer的到访，情况才有所改变。随后，兰利研究中心与皇家信号与雷达研究院（RSRE）达成了谅解备忘录（MOU），兰利研究中心被要求对RSRE实验室设计的VIPER微处理器进行关键评估。在计算逻辑公司（CLI）和波音商用飞机公司的帮助下，研究人员对VIPER处理器在航空航天应用中的实用性进行了研究。CLI撰写了一篇批判性评论，强调了VIPER机械证明的不完整性。尽管对VIPER进行了前所未有的分析，但CLI团队认为手工证明对于VIPER这样的产品是不够的，这引发了一场关于形式方法的争议，争议的核心是证明本身的性质，即一个证明需要达到多高的严格程度才能被认为是完成了数学证明。

1.3 形式方法的应用与成功案例

兰利研究中心开始资助将现有形式方法直接应用于航空航天工业实际问题的研究。通过竞争性采购，与计算逻辑公司、SRI国际公司和奥德赛研究协会签订了三份合同。在此期间，兰利研究中心在形式方法方面取得了首次公认的成功，包括对罗克韦尔·柯林斯AAMP5微处理器的形式验证和对德雷珀FT