浅析基于BIP的AADL行为模型验证方法

　　1前言
　　随着嵌入式系统越来越多的应用在工业控制、车载电子、航天航空电子等任务关键和实时系统，它的复杂度和性能要求也越来越高。传统的以代码为核心的开发方法逐步从代码为中心的开发提前到以模型驱动开发为核心。以供在早期对系统进行设计验证，减少不必要的损失。为此，美国汽车工程师协会在2004年提出了体系结构建模语言AADL（architecturalanalysisanddesignlanguage，AADL），并发布为SAEAS5506标准，目的是提供一种标准而又足够精确的方式，设计与分析嵌入式实时系统的软、硬件体系结构及功能和非功能性质。由于AADL具有语法简单、功能强大、可扩展等优点，他已经逐步成为工业界事实上的标准。根据现有的形式化验证工具的应用情况，本文通过制定映射规则，将AADL行为模型直接转换成BIP模型。并且利用已有的BIP模型工具对准换后的BIP模型进行验证。提供一种形式化的验证AADL行为模型的新途径，如图1所示。
　　2BIP构件模型
　　BIP（Behavior，Interaction，Priority）是Verimag提出的实时系统建模语言，采用自动机的方式描述行为，并且支持异构构件之间的组合。BIP模型工具能够用来分析模型和可执行代码。BIP语言对系统的形式化描述主要由下面三部分组成：
　　原子构件：即带有行为描述的构件，这些行为包含了迁移，空交互和优先级。触发的迁移包括端口，这些端口带有动作名称，可用于端口同步。
　　连接件：用于描述原子构件端口之间可能的交互模式。
　　优先级关系：用于在几种可能的交互方式中做选择，这种选择需要根据条件来判断。条件和原子构件整体的状态有关。下面详细阐述这个语言的主要特征。
　　2。1优先权
　　在包含多个构件交互的系统里，优先权可以根据条件来确定所有执行交互的优先级。因此优先权可以通过设置执行迁移约束条件来减少系统的非确定性。这些条件是一套规则，每条规则都由和条件交互有关的命令对组成。条件是一个与构件交互变量有关的布尔表达式。当条件满足，所有交互都可执行，则优先级高的先执行。对于静态优先级，条件可以忽略。规则也可以扩展为交互组合。例如规则P1的优先权高于p有着比p1q更高的优先权。此外，优先权和交互是兼容的，pq
　　3AADL行为模型到BIP模型的转换规则
　　AADL模型转换主要是建立AADL模型与目标模型元素的转换规则。本文从AADL模型的行为模型出发，建立其到BIP模型的转换规则。AADL行为模型用于描述构件内部的详细行为模式，与其他构件通过端口连接等方式形成的流（包括数据流和时间流）进行交互。AADL模型中每个构件内的行为模型相对对立，可以直接映射成BIP描述的原子构件，多个构件交互的行为可以映射为BIP复合构件里多个原子构件的交互，从而避免了构造自动机的积的复杂过程。
　　4关键系统的任务转换实例
　　对于实时的关键系统，系统里具有更高优先级的任务必须能够抢占正在执行的任务，并且在任务执行完成后恢复被抢占任务的执行。这既是系统的实时要求，又是系统的安全性要求。对于以汽车电子，航空电子，航空控制系统等为代表的实施关键系统，必须建立能够描述任务执行的所有可能状态，正确的描述系统任务状态的迁移过程，对系统执行进行分析。
　　4。1关键系统任务的AADL行为描述
　　本文首先用AADL行为模型附件语法来为一个可抢占实时任务进行建模，然后将这个实时模型的可抢占执行模型转换成BIP行为模型的状态迁移过程，并对BIP模型进行验证。因为迁移的条件比较复发，对于研究实时任务的抢占执行不具有普遍一起，所以本文简化的描述了AADL状态的可抢占执行到BIP模型的转换过程。
　　4。2BIP模型验证
　　对于转换而成的BIP模型，我们可以用验证工具Aldebaran进行死锁检测。这个工具主要是对BIP模型的结构进行分析，它的原理是首先它使用前端引擎来探索BIP模型的所有运行状态，并将这些状态转换成一个带标记的迁移系统，然后将这个带标记的迁移系统作为作为检测工具的后端输入，然后对系统进行死锁检测。
　　如果对于具有并发执行或者对执行时间严格的状态转换，我们可以通过设置状态转化的优先级或者在模型端口里加入时间变量。通过其他的BIP模型检测器来验证。文献举例验证了构件之间通过端口的同步交互，这种方法可以扩展到对AADL行为模型的状态迁移转换上。
　　5结论
　　目前AADL已经广泛应用到嵌入式系统的开发中，基于AADL模型的形式化研究已经成为了验证模型可靠性的主要途径。本文在研究AADL行为附件的基础上，建立了AADL行为模型到BIP模型的转换规则。但是由于两种模型针对的主要描述对象并不完全相同，因此两者之间有一定差异。在转换中也可能将一些语义，性质丢失。例如这种转换对任务执行协议，执行的条件变量等描述不够。这还需要一些辅助的形式化分析进行补充。因此，在对AADL行为的形式化描述中我们还需要进一步完善。这将对提高实时关键系统开发效率，保证系统安全具有重大意义。