Проектирование встроенных управляющих систем реального времени

1

f uzzif icationFar

0

Рис. 2.43. Модель нечеткого контроллера мобильного робота

2.3.6. SCADE модель лабораторного прототипа робота-исследователя лабиринта

Схема робота-исследователя лабиринта (РИЛ) приведена на рис. 2.44. Подвижный объект РИЛ перемещается в пространстве под управлением программы на персональном компьютере (ПК) разработчикаоператора.

5 6

4

1

2 3 7

Рис. 2.44. Схема РИЛ: 1 – шасси от радиоуправляемой модели стадиум-трака (гоночная машина для автодрома) десятого масштаба; 2 – задний ведущий электропривод постоянного тока модели; 3 – электрический сервопривод с металлическим редуктором для рулевого управления модели; 4 – микроконтроллер AT90CAN128 в качестве УСО (устройство связи с объектом) с Bluetooth модемом; 5 – инфракрасный дальномер (измерение расстояния от 10 до 90 см); 6 – сервопривод дальномера; 7 – персональный компьютер

разработчика-оператора с Bluetooth модемом

171

Запросы по управления «движение вперед», «движение назад», «стоп», «поворот влево», «поворот вправо» и «прямо» передаются от оператора к РИЛ через интерфейс Bluetooth в ответ на полученную от робота измерительную информацию (расстояние до ближайшей стены) по запросу «выдать расстояние». В РИЛ используется один дальномер, который с помощью сервопривода может поворачиваться для измерения расстояния в требуемом направлении. Поэтому существует несколько запросов: «выдать расстояние в направлении слева», «выдать расстояние в направлении спереди», «выдать расстояние в направлении справа». На рис. 2.45 приведена SCADE модель РИЛ верхнего уровня иерархии (блок MazeExplorar). При создании SCADE модели важно найти баланс между абстрактным и конкретным представлением функционирования. Так, в нашем случае можно создать детальную SCADE модель, отражающую байтную структуру протокола взаимодействия прикладного уровня РИЛ. Однако SCADE не располагает средствами манипуляции с байтами, как это есть в императивных языках. Придется работать со встроенным типом bool, представляющим один бит подобно типу unsigned char на Си, а это целый байт.

Рис. 2.45. Блок MazeExplorar SCADE модели РИЛ верхнего уровня иерархии

Заменим детальные форматы запросов и ответов прикладного протокола их именами, т.е. введем перечислимый тип:

type ReqType= enum {DistL, DistD, DistR, Dist45L, Null, Dir, Left, Right, Forward, Stop, Back};

где DistL, DistD, DistR, Dist45L – группа запросов «выдать расстояние»; Left, Right, Forward, Stop, Back – группа запросов по управлению движением; Null – отсутствие запроса (аналогично пустому символу в канале).

Блок Engine инициирует последовательность запросов на получение расстояния до ближайших стен в (рис. 2.46). Engine реализован как автомат.

172

Рис. 2.46. SCADE модель блока Engine РИЛ

173

L

Входной булев поток Start значением true запускает РИЛ. Переменная Frame типа ReqType принимает значения запросов расстояния в состояниях SendReq1, SendReq2, SendReq3 по соответствующим направлениям. Поток Frame подключается к выходному потоку Req.

Всостояниях Wait1, Wait2, Wait3 Frame присваивается значение Null.

Всостояниях SendReq2, SendReq3и RobotRun переменные Dist1, Dist2

и Dist3 запоминают полученную от РИЛ измерительную информацию, поступающую через входной поток Resp. Значения, отличные от 0, в этом потоке соответствуют ответам РИЛ на запрос расстояния. В состоянии RobotRun (достигается при получении последнего ответа на запрос расстояния) переменная vGo принимает значение true (в следующем состоянии Delay1 устанавливается в false), которое через выходной поток Go запускает работу блока Robot (рис. 2.47), реализующего алгоритм поиска и удержания стены.

Условиями переходов в автомате блока Robot являются значения расстояний по различным направлениям, поступающим через входной поток Distans. В состояниях формируются значения для выходного потока запросов Req по управлению движением РИЛ.

Тактирование потоков блока Robot ниже базового и определяется значением true в выходном потоке Go блока Engine. Поэтому в SCADE модель верхнего уровня (блок MazeExplorar) введены временные операторы when для децимации потока с базовой тактировкой и merge для интерполяции потока с более низкой тактировкой до базовой. Переменная Clk выполняет роль тактирования в блоке Robot.

2.4. Верификация

Разработчики проектов в SCADE Suite для проверки их корректности могут воспользоваться инструментом формальной верификации «Верификатор проекта» (ВП, Design Verifier) [22]. Верификация отвечает на вопрос о том, ведет ли себя проект в соответствии с заданными требованиями в отличие от валидации, которая отвечает на вопрос о том, ведет ли проект себя в соответствии с требованиями для заданных условий применения.

174

Традиционная верификация тестированием предполагает, что разработчик пишет набор испытательных программ (test suite) или контрольные примеры (test cases), чтобы показать, что система (проект, модель) удовлетворяет данному свойству. Ограничения времени не позволяет достичь полноты, так как написание контрольных примеров для каждой комбинации возможных входных значений из реальной жизни приведет к комбинаторному «взрыву». Поэтому выбираются различные стратегии для ограничения числа контрольных примеров, но вместе с этим теряется полнота. Традиционно это такие стратегии, как: подвергать тестированию такие части системы, где наиболее вероятны ошибки или они не требуют больших временных затрат; подвергать тестированию лишь нормальное поведение системы. В обоих случаях целью испытательных программ является нахождение ошибок, которые воображает себе разработчик, и не направлено на обнаружение местоположения реальных ошибок.

В отличие от верификации тестированием ВП не требует написания тестов, а выполняет исчерпывающий поиск подтверждений соответствия проекта заданным свойствам. ВП верифицирует свойства, выраженные в виде булевых выражений, содержащих условия над булевыми переменными, числовымипеременнымиивременными задержками.

Рассмотрим проект SCADE Suite RollControl, который вычисляет величину крена самолета и формирует тревожные предупреждения. Необходимо выяснить, соответствует ли этот проект следующему свойству: тревожные предупреждения о правом и левом крене никогда не возникают одновременно. Это свойство может быть графически представлено «оператором свойства» (property operator) Proof (рис. 2.48).

Оператор HasNeverBeenTrue («Никогда не было истиной») принадлежит библиотеке верификации (Verification Library):

node HasNeverBeenTrue (input1:bool) returns(ounput1: bool); let

ounput1= not input1–>(not input1and pre(input1)); tel.

leftWarning и rightWarning – булевы выходы проекта RollControl,

необходимые для анализа свойства.

176

Библиотека верификации содержит следующие операторы, раскрытые для понимания в виде реализаций:

• Выход Output1 оператора AfterNthTick («После N-го такта», рис. 2.50) равен входу за исключением первых N тактов, во время которых выход равен true (т.е. первые N тактов вход игнорируется).

FBY 1

true

N

f alse

Input1

1

Output1

Рис. 2.50. Оператор AfterNthTick

• Выход Output1 оператора HasNeverBeenTrue (рис. 2.51) становится false, как только вход Input1 становится true и после этого навсегда остается false.

Рис. 2.51. Оператор HasNeverBeenTrue

• Выходной поток Output1 оператора AlwaysAfterFirstCond («Все-

гда после первого условия», рис. 2.52) равен входу Input1, как только условие Cond станет true.

1

Рис. 2.52. Оператор AlwaysAfterFirstCond

• Выходной поток Output1 оператора AtLeastNTick («Не меньше N тактов», рис. 2.53) становится равным входному потоку Input1, как только он остаетсяtrue N тактов подряд. Перед тактомN выход равен false.

178

• Оператора Implies реализует логический оператор «Импликация»

(рис. 2.54): если A true, то B true.

2 C

B

Рис. 2.54. Оператор Implies

• Выходной поток C оператора ImpliesWithinNTick («Импликация внутри N тактов», рис. 2.55) становится равным A Implies B спустя N тактов, в течение которых вход A оставался true.

Рис. 2.55. Оператор ImpliesWithinNTick

Примеры свойств, требующих темпоральной логики в Lustre:

• Тревожное сообщение (alarm) возникает не позже трех тиков дискретного времени после того, как высотомер самолета дает показание (altitude) меньше 200 м, при этом самолет не находится в режиме

(configure) приземления (landing) (рис. 2.56).

179

Оператор Tick

Рис. 2.56. Пример свойства тревожного сообщения о снижении

• Если пилот не сбросит сообщение, оно сохраняется по крайней мере 10 тиков после того, как высотомер самолета дает показание меньше 200 м, при этом самолет не находится в режиме посадки.

При разработке ПО часто происходит повторное появление одних и тех же ошибок. После следующего изменения в программе решение перестает работать; при переписывании какой-либо части кода всплывают те же ошибки, что были в предыдущей реализации. Иногда это происходит из-за слабой техники управления версиями или по причине человеческой ошибки при работе с системой управления версиями. Ошибки, когда после внесения изменений в программу перестает работать то, что должно было продолжать работать, называют регрессионными ошибками (regression bugs). Техника регрессионного тестирования направлена на обнаружение ошибок в уже протестированных участках исходного кода.

ВП может быть также использован для обнаружения регрессионных ошибок с помощью не регрессионного доказательства (доказательство или опровержение свойства эквивалентности двух моделей). Для

180