Table Of Content

＿干罚摊l书 ■www.epubit.com Event-B 建模：系统和软件工程 ModeilnEi vnegn t-B: SysatneSdmo ftwEanrgei neering －）著［法］简埃蒙德· 阿布瑞尔 (Jean-RaymonAdbrai| 裘宗燕译 Modeling iEnv ent-B systaenmd softwea r Enginnge eri 阳an.mymond邸 al ＿四中国工信出版集团詹人民邮电出版社 POST&S T ELECOPMRE SS 干异步图书 • www.epub仆．cmo ' , ． Event-B--·· · 系统和软件工程［法］－简埃蒙德·阿布尔瑞(JeanR-aymdoAnbrial)著裘宗燕译＿人民邮电出版社北京＇，图书在版编目 (CIP)数据－ Eve-nB建t模：系统和软件工程／（法）简埃蒙德 ·阿布瑞尔 (Jean-RaAybmroin著ad，l)裘宗燕译．－－北京：人民邮电出版社，2019.9 ISBN9 78-7-115-50899-7 … IICD.简 ..＠裘… O 一 I. (DE II.I软件工程系统 IV. 建模 (DTP31l .5 中国版本图书馆CIP数据核字(201)9第037906号版权声明 Thiissa M odeliinEn vge ntS-yBs:ta enmdS oftwaErneg ineoeftr hifoenl gl owtiintpglu eb libsyh ed Cambridge University Press ModeliinEn vge nt-B:a nSSdoy ftswtEaenrmge i ne7e8r0i5n2g1,8995569 ThiMso deliinEn vge ntS-y8s:ta enmSd o ftware Efonrtg hiPene eoeprRlieenp'gus bo lfCi hci( neax cluding HonKgo nMga,c aaunT da iwiaspn u)b libsyah rerda ngweimttehhnP etr eSsysn diocfta htUeen iveorfs ity CambriCdagmeb,r iUdngietK,ei dn gdom © CambrUindigvee PrrseiastnsPyd O ST&ST ELECPORME SS TCDo2,.0 ,1L9 . ThiCsH INESSIEM PLIlFaInEgDu iasag uet hoforris zaeildnet hPee opRleep'usbo lfCi hci (neax cluding HonKgo nMga,c aaun Tda iwoannl)Uy n.a utheoxrpioosrfett dh CiHsI NESSIEM PLIFlIaEnDg uiasag e violoaftt ihCoeon p yrAicgNtho.tp aorftt hpiusb limcaaybt eir oenp roodrud ciesdt rbiyba unmtyee adno sr, stoirnead d a taobrar seet rsiyesvtawelim t,ht ohupetr iworri tpteernm iosfsC iaomnb rUindigvee Prrseistsy anPdO ST&ST ELECPORME SCSo .T,DL. Copioefts h bioso sko lwdi thaoC uatm brUindigvee Prrseissttsyi coknte hrce o vaerrue n authaonrdi zed illegal. 才 j 本书封面贴有CambriUdngievePrrsei防st伪sy标签，无标签者不得销售。本书中文简体版由CambriUdngievePrrseist权sy人授民邮电出版社有限公司出版。未经出版者书面许可，不得以任何方式或任何手段复制和抄袭本书内容。版权所有，侵权必究。 ·著［法简］－埃蒙德·阿布瑞尔CJea-nRaymAobnrdial) 译裘宗燕责任编辑吴晋瑜责任印制焦志烤 ·人民邮电出版社出版发行北京市丰台区成寿寺I路号I 邮编 10016电4子邮件 35 @pIt press.com.cn 网址 http://www.ptpress.com.cn 北京鑫正大印刷有限公司印刷 ♦ 开本：787xl10/9126 印张：30.75 字数：722于字 2019年91版月第印数：I-24 0册0 2019月年北9京第1次印刷著作权合同登记号图字：01-201号7-7733 定价：129元.00 读者服务热线：（010)810印5装5质4量1热0线：（01801)0 565 31 反盗版热线：（010)81150 553 广告经营许可证：京东工商广登字20170147号内容提要这本实用的教科书适用千形式化方法的入门课程或高级课程。本书以B形式化方法的一个扩展Event-B作为展工示具了，一种完成系统建模和设计的数学方法。简－埃蒙德·阿布瑞尔(Jean-RAabyrmi是oa国nl际d)著名计算机科学家，曾任苏黎世联邦理工学院客座教授，他基千精化的思想提出了一种系统化的方法，教读者如何逐步构造出所期望的模型，并通过严格的证明对所构造模型做系统化的推理。本书将介绍如何根据实际需要去构造各种程序，以及如何构造各种更一般的离散系统的模型。本书提供了大量示例，这些示例源自计算机系统开发的各个领域，包括顺序程序、并发程序和电子线路等。本书还包含了大量具有不同难度的练习和开发项目。书中的每个例子都用Rodn平i台工具集证明过。本书适合作为高等院校计算机、软件工程、网络工程、信息安全等专业高年级本科生、研究生的教材，也可供相关领域的研究人员和技术人员参考。序言：无缺陷系统？我们能！这个标题当然很有挑衅的味道。我们都会认为，这一宣言是针对着某些不可能的事情。不可能！环视四周，我们还做不出无缺陷的系统。如果这件事有可能，应该早就被人们做 “ 好了。再说，无论如何，我们首先要说清楚什么是缺陷"。我们该怎么想象这里的清况呢？我们可能想，这应该是一位大师想兜售他最新的灵丹妙药。亲爱的读者，请放心，这个序言并不包含任何全新的克敌法宝，而且进一步说，它也不是技术性的，不要求你理解一大堆复杂的概念。本序言的意图，就是提醒你注意一些简单的事实和想法。如果愿意，你就可以去利用它们。这里的思路就是去扮演某个人的角色，这个人现在正面临一种险恶的局面（是的，计算机化的系统的开发并没有远离险境作为一种度量的尺度，只需要考虑在系统崩溃时所浪费的金钱）。在面临险境时，我们有可能决定以某种鲁莽的方式去改变某些东西。但是，这样做通常完全无效。另一条途径就是逐步引入一些简单的特征，希望把它们放在一起，＂ ” 最终能导致局面的全局性改变。后者也就是我们将要用在这里的哲学。定义和需求文档我们的目标就是构造出正确的系统，因此，首先需要认真地定义一种方法，据此可以判断自己做出的东西究竟是什么。这就是 “定义和需求“文档的用途。在投身于开发一个计算机化的系统之前，必须认真地写出这种文档。但是，你会说，大量工业部门都有这种文档，它们已然存在，为什么还要为此操心呢？好吧，就我个人的经验，绝大多数情况是，业界正在使用的文档非常糟糕。仅仅是理解需求到底是什么，将其从有关文档中提取出来，通常就已经很困难了。一个事实是，人们常以做文档时用了某些（昂贵）工具的事实作为其需求文档值得信任的证据！我强烈建议，应该按照本节中说明的简单路线重写需求文档。这样的一个文档应该包含两类相互嵌套的正文：解释性的正文和参考性的正文。前者包含为理解手头问题所需要的解释，当读者第一次遇到这里的问题，或者需要某些基本的理由时，这些解释应该能帮助他们。后者包含定义和需求，其形式主要是带有标签和编号、用自然语言写出的简短陈述句。与相应的解释相比，这种定义或需求应该更形式化。当然，它们必须是自足的，而且能成为判断正确性的唯一参考。定义和需求文档应该类似千数学书籍，其中一段段的解释性文字（在这里，作者非形式化地解释自己的方法，有时还给出一些历史背景）里交织着一些更形式化的片段一一定义、引理和定理一— 所有这些构成了参考性正文，很容易与书中的其他内容区别开来。对千系统工程的清况，我们用两个坐标来标记参考性的定义和需求。第一个坐标说明其 2 序言：无缺陷系统？我们能！用途（功能、设备、安全性、物理单元、退化模式、错误等），第二个坐标说明其抽象层次（高层、中间层、底层等）。我们必须仔细地定义好第一个坐标，然后再去写定义和需求文档，因为对千不同的项目， “ ” 这个坐标的情况有可能不同。注意，功能性标签描述目标软件中处理特定任务的需求， “ ” 而设备标签描述环境必须保证的假设（我们也称其为需求）。我们的目标软件将运行千这种环境中。这种环境由一些设备组成，还包括一些物理变化现象、其他的软件部分，以及系统的用户。第二个坐标把参考性的项目放到一个层次结构中，从非常一般（抽象）的定义或需求，直到越来越特殊的、为了系统的运行而需要的东西。这其中有一件事非常重要：在这个工作阶段，有关的定义和需求文档都必须得到利益相关方的同意和认定（签字）。到了这个阶段的最后，我们已经写下有关目标系统的所需性质。这些东西到底能不能实现，我们还没有任何保证。即使我们写下所需要的飞机必须能飞，也不保证它真能飞起来。在写出了这样的文档后，人们经常会急千去编程。而我们都知道这样做将会得到什么。在投入编程之前，还需要有一个中间工作阶段，其作用将在下一节解释。模拟和编程程序设计活动的目标是构造出一段形式化正文。我们假定这段正文能指导计算机，告诉它怎样去完成一些特定的任务。我们的想法是不做这件事，而是去构造一个系统，其中有一部分是软件（也是我们将构造出的东西），它是系统许多部分中的一个。这也就是我们不把自己的工作仅限千去开发软件部分的原因。为了像工程师一样做好这件事。我们并不假定是要指导计算机，而是假定要指导自己。要以严格的方式完成这件事。我们没有别的办法，只能是设法去做出未来系统的一个完全的模型，包括最后将要构造出的那个软件以及它的环境。该环境（同样）由一些设备、变化的物理现象、其他软件以及可能的用户构成。程序设计语言无助千我们完成这些工作。所有这些都必须认真地建模，并设法弄清软件将如何运行的所有假设。模拟是系统工程师最主要的工作。程序设计则将随之变成了一种从属性的工作，它完全可以全自动地完成。建模一个计算机化的系统，过去是借助千某种建模语言例如SIMULA-（6它7是所有面向对象语言的鼻祖）—— 完成的，现在仍然如此。我们对此的建议仍然是做一个模拟，但不是用某种模拟语言来做这件事。为了便千检查和分析这一工作的结果，我们建议用构造数学模型的方式来完成它，通过证明来分析得到的模型。物理学家或者运筹学家就是这样工作的，我们也应该采用类似的做法。因为我们并不打算指导计算机，所以不必去说需要一步步地做什么。我们要做的是解释并形式化地描述应该观察到的情况。但是，要这样做时，立刻就会遇到一个问题：我们如何才能去观察某种当时并不存在的东西？对这个问题的回答很简单：虽然它还没有存在千物理世界中，但显然它已经存在千我们的脑海里。工程师或建筑师总是这样做的：他们根据自己脑海中已有定义的某种表示，去构造出相应的实际物品。 3 序言：无缺陷系统？我们能！离散迁移系统和证明正如前一节所言，建模工作并不仅仅是形式化未来系统在我们脑海里的表示，还包括证明这一表示能满足某些期望的性质等相关工作，也就是在前面讨论定义和需求文档时，非形式化地说明了的那些性质。为了完成这一包含了模拟和证明的工作，我们采用一种简单的形式化工具，称为离散迁移系统。换旬话说，无论需要执行的模拟工作是什么，我们总是把未来系统的组件表示为一些状态的序列。状态之间是突然出现的迁移，也称为事件。从模拟的观点看，理解下面的情况非常重要：一个人按动一个按钮，或者一个发动机的启动或停止，或者一部分软件执行某项任务，如果这些都出现在某个全局性的系统里，那么它们之间并没有任何本质性的差异。这些活动中的每一个都是离散迁移系统，它们自行工作或相互通信，都在参与作为一个整体的某个系统的分布式活动。这些也就是我们计划采用的建模各种任务的方法。使用这一非常简单的工作方式也极其方便。特别是有关的证明工作，其中一部分工作就是证明每个组件的迁移都能维持一些全局性质，而这些性质是我们所希望的，组件的所有状态都必须始终满足它们。这种性质就是所谓的不变式。在多数情况中，这些不变式涉及系统中的多个组件，是横贯它们的性质。相应的证明称为不变式保持性证明。状态和事件正如我们在前一节里已经看到的，一个离散迁移组件包括一个状态和若干迁移。我们现在用一些简单的术语来说明有关情况。粗略地说，状态（如同在一个命令式程序里一样）由一些变量表示。但是，与程序里的情况不同，这里的变量可以是整数、偶对、集合、关系、函数等（也就是说，可以是任何集合论里可以表示的数学对象），而不仅是计算机里的对象（即那些受限的整数和浮点数、数组、文件一类的东西）。除了变量定义外，我们可能还有不变式语句它们可以用任何在一阶逻辑和集合论的描述范围内能够写出的谓词表示。把所有这些放在一起，一个状态就可以简单地抽象为一个集合。练习：在一个人可以按动一个按钮的离散系统里，状态是什么？在一个发动机可以启动和停止的系统里，状态又是什么？根据上面的所有说法，一个事件可以抽象为状态空间上一个简单的二元关系。该关系表示了顺序的前后两个状态之间的联系，这两个状态中的一个恰好出现在该事件的 “执行“ 之前，另一个恰好出现它之后。当然，直接把事件定义为二元关系，有可能不太方便。更好的方式是把事件分解为两个部分，一些卫和一些动作。 4 序言：无缺陷系统？我们能！卫也就是一个谓词，一个事件的所有卫并在一起，就得到了与之对应的二元关系的作用域。一个动作也就是对状态变量的一次简单赋值。假定一个事件的所有动作将同时在不同 “ “ 的变量上执行，未赋值的变量不会改变。这些也就是我们在定义状态迁移系统时使用的全部记法形式。练习：在一个人可以按动一个按钮的离散系统里，有哪些事件？在一个发动机可以启动和停止的系统里，又有哪些事件？在这两个系统之间可能有哪些关系？在这个工作阶段，我们可能会有点困窘发现最后一个问题不太容易回答。事实上，从一开始，我们就没有遵照 “药方”。或许我们应该先写下一个与用户／按钮／发动机有关的定义和需求文档。在做这件事时，我们可能就已经发现了，发动机和按钮之间的关系原来并不是那么简单。在这里可能出现下面一些间题：我们究竟需要一个按钮，还是几个按钮（例如，一个开始按钮和一个停止按钮）？后一做法是一个好想法吗？如果采用多个按钮，在发动机已经运转的情况下再按启动按钮，我们会观察到什么？在这种情况下，我们是否必须松开按钮以便随后重新启动发动机？如此等等。我们也可能看清楚了，与其分别考虑一个按钮系统和一个发动机系统，而后再组合它们，更好的做法可能是先将其作为一个问题来考虑，而后再分解成几个。这时，我们又要考虑，怎么在这两者之间放进去一点软件，如此等等。横向精化和证明要想模拟一个包含很多离散迁移组件的大系统，这样的工作当然不可能一跋而就，只能通过一系列的工作步骤来完成，在每一步中把这个模型做得更丰满一点。我们首先创建其各种组件的状态和迁移，而后再充实它们；先以非常抽象的方式，而后引入更具体的元素。这种活动称为横向精化（或者superpo叠s加i）t。ion, 在做这种事情时，系统工程师会仔细考察定义和需求文档，逐渐从中提取出一些元素来进行形式化。他们还要关心模型里的定义和需求的可追溯性。注意，经常会出现这样的情况，我们在建模中会发现定义和需求文档是不完全的或一不致的，因此需要对它们做相应的编辑修改。在应用这种横向精化方法时，我们也需要做一些证明，确保更具体的精化步骤不违背在更抽象的精化步骤中已经完成的工作。这就是精化证明。最后，当模型中每个定义和每个需求都被考虑了之后，横向精化阶段就完成了。在做横向精化的过程中，我们并不关心可实现性。我们的数学模型，就是用集合论的记法形式描述的状态不变式和状态迁移。在做横向精化时，我们将通过增加变量的方式扩充模型的状态，也可以强化事件的卫或者增加新的卫，还可以给事件增加新的动作。最后，还可以增加新的事件。纵向精化和证明还有第二类精化工作，这类工作在所有横向精化完成之后才能执行。鉴千这种情况，这