技术特征：
1.一种嵌入式操作系统设计层形式化验证方法，其特征在于，包括：从操作系统详细设计报告中，获取操作系统包含的函数模块、各函数模块的具体功能及流程图，提炼操作系统各函数模块应满足的局部性质；根据函数模块构建操作系统的系统状态及确立引起系统状态变化的触发事件；建立基于有限状态机的操作系统设计层形式化模型；在定理证明器coq中将提炼出的局部性质和操作系统设计层形式化模型进行形式化定义，验证操作系统设计层形式化模型是否满足所述局部性质，若满足，则所述操作系统设计层正确可靠；若不满足，根据不满足的局部性质确定详细设计报告中存在问题的流程图及问题的具体位置。2.根据权利要求1所述的一种嵌入式操作系统设计层形式化验证方法，其特征在于，按照如下方式提炼操作系统某个函数模块应满足的局部性质：结合该函数模块的具体功能，根据其流程图的不同分支，从成功和失败两方面考虑，分别提炼出执行其流程图成功或者失败分支应满足的性质，作为该函数模块应满足的局部性质。3.根据权利要求1所述的一种嵌入式操作系统设计层形式化验证方法，其特征在于，所述操作系统包含的函数模块包括任务管理模块、中断管理模块、内存管理模块、时间管理模块、任务间通信模块，以及各函数模块下细分的子函数模块。4.根据权利要求3所述的一种嵌入式操作系统设计层形式化验证方法，其特征在于，根据函数模块构建的系统状态，包括该函数模块的输入、输出、以及该函数模块对应的流程图中涉及的关键变量，所述关键变量是指其取值不同时导致流程图进入不同分支的变量。5.根据权利要求4所述的一种嵌入式操作系统设计层形式化验证方法，其特征在于，不同函数模块对应的流程图，从开始到结束，每次从一个流程框转移到另一个流程框的条件，确立为引起系统状态变化的一种触发事件。6.根据权利要求5所述的一种嵌入式操作系统设计层形式化验证方法，其特征在于，将所有函数模块的输入、输出和流程图中涉及的关键变量作为有限状态机的状态，触发事件作为有限状态机的状态转移条件，建立基于有限状态机的操作系统设计层形式化模型，在该模型中，随着触发事件的发生，导致状态的一个或多个组成元素发生改变，最终引起状态发生改变。7.根据权利要求1所述的一种嵌入式操作系统设计层形式化验证方法，其特征在于，在定理证明器coq中对操作系统设计层形式化模型进行形式化定义，包括：定义基本数据类型表征系统状态，所述基本数据类型包括输入状态、输出状态、各种关键变量；定义状态转移函数表征触发事件，所述状态转移函数包括转移前状态、状态转移条件、转移后状态。8.根据权利要求1所述的一种嵌入式操作系统设计层形式化验证方法，其特征在于，在定理证明器coq中定义局部性质的方式是：从系统状态中提取局部性质涉及到的数据结构，提取后描述所述数据结构之间的关系。9.根据权利要求1所述的一种嵌入式操作系统设计层形式化验证方法，其特征在于，验
证操作系统设计层形式化模型是否满足局部性质的方式如下：采取证明策略，将coq中形式化定义的局部性质在操作系统设计层形式化模型中进行逐步简化和推理，直到所述局部性质被证明完成或中断；若证明完成，则所述操作系统设计层形式化模型满足所述局部性质，操作系统设计层正确可靠；如证明中断，则所述操作系统设计层形式化模型不满足所述局部性质，找出对应的局部性质，据此提取设计报告流程图中存在的问题。10.一种嵌入式操作系统设计层形式化验证系统，其特征在于，包括：局部性质获取模块、操作系统设计层形式化模型建立模块、操作系统设计层形式化模型验证模块；局部性质获取模块：从操作系统详细设计报告中，获取操作系统包含的函数模块、各函数模块的具体功能及流程图，并提炼操作系统各函数模块应满足的局部性质，将上述获取和提炼的内容发送给操作系统设计层形式化模型建立模块和操作系统设计层形式化模型验证模块；操作系统设计层形式化模型建立模块：根据函数模块构建操作系统的系统状态及引起系统状态变化的触发事件，据此建立基于有限状态机的操作系统设计层形式化模型，发送给操作系统设计层形式化模型验证模块；操作系统设计层形式化模型验证模块：在定理证明器coq中将局部性质和操作系统设计层形式化模型进行形式化定义，验证操作系统设计层形式化模型是否满足所述局部性质，若满足，则所述操作系统设计层正确可靠；若不满足，根据不满足的局部性质确定详细设计报告中存在问题的流程图及问题的具体位置。
技术总结
一种嵌入式操作系统设计层形式化验证方法，首先，从操作系统详细设计报告中，获取操作系统包含的函数模块、各函数模块的具体功能及流程图，提炼操作系统各函数模块应满足的局部性质；构建操作系统的系统状态及确立引起系统状态变化的触发事件；然后建立基于有限状态机的操作系统设计层形式化模型；在定理证明器Coq中将局部性质和操作系统设计层形式化模型进行形式化定义，验证操作系统设计层形式化模型是否满足所述局部性质，若满足，则操作系统设计层正确可靠；若不满足，确定详细设计报告中存在问题的流程图及具体位置。本发明可以准确地描述操作系统的设计过程，以便更早地发现是否有潜在的错误。是否有潜在的错误。是否有潜在的错误。
技术研发人员：张锦坤 乔磊 杨孟飞 杨桦 刘波 马智
受保护的技术使用者：北京控制工程研究所
技术研发日：2022.06.07
技术公布日：2022/10/13