理论计算机科学电子笔记149（2006）139-153www.elsevier.com/locate/entcs相互作用有限状态系统事后可诊断性分析方法Dan Lawesson，Ulf Nilsson部计算机信息科学专业SE-58183Linkopépinging，SWEDEN{danla，ulfni}@ ida.liu.se英格·克莱因部电气工程专业SE-58183Linkopépinging，SWEDENinger@isy.liu.se摘要我们提出了一个基于模型的方法来诊断相互作用的有限状态系统的故障隔离被推迟，直到系统陷入停顿。系统模型的局部抽象用于缓解状态空间爆炸。 紧耦合自动机对 被合并，并由具有从系统的其余部分看到的等效行为的单个自动机替换;合并的自动机之间的交互被内在化，并且新的等效自动机随后从与故障隔离无关的内部行为中抽象出来。在适度并发的系统中，这些步骤通常可以迭代，直到系统由一个sin组成。 角自动机提供了一个紧凑的编码的所有可能的故障情况下的原始模型。 我们说明了如何得到的抽象可以用作事后诊断分析的基础。保留字：可诊断性分析，故障隔离，局部抽象，离散事件系统。*这项工作由Vinova的能力中心ISIS提供资金支持，并与ABB自动化技术合作开展。1571-0661 © 2006 Elsevier B. V.在CC BY-NC-ND许可下开放访问。doi：10.1016/j.entcs.2005.07.031140D. Lawesson等人/理论计算机科学电子笔记149（2006）1391引言我们提出了一种基于模型的方法来分析基于软件的控制系统中的可诊断性，其中系统通过离散事件系统[3]建模;更精确地说，是相互作用的有限状态机，FSM：s。所考虑的故障是硬件故障，但我们假设它们要么在与软件相同的框架中明确建模，要么在失败的软件服务中反映故障的硬件。我们的工作是由ABB自动化技术开发的工业机器人商业控制系统的该软件具有面向对象的体系结构，这使得故障隔离特别困难，因为面向对象在很大程度上依赖于封装。这意味着软件组件对系统的全局状态知之甚少，特别是错误报告是否在其他地方进行这通常会导致故障传播和系统故障时过多的此外，警报通常反映了对操作员提供很少帮助的软件架构因此，目的是确定根本原因。由于应用的安全关键性质，在系统故障的情况下，故障隔离只能在系统停止后进行在线可诊断性的结果（参见例如[12，11，6]）因此不（直接）适用。该软件具有相对较少数量的并发线程，但是它是并发的事实，连同在错误报告可以发生之前可能必须采取安全关键动作的事实，意味着日志中的错误消息之间的顺序不能被信任。在本文中，我们描述了一种方法抽象的系统模型。我们还说明了如何抽象可以用来研究系统的可诊断性。该方法相当于抽象的系统描述成一个单一的非循环FSM，相当于从故障隔离的角度来看，原来的系统。由此产生的FSM本质上是一个表耦合所有可能的观察，即。错误消息-以及可能导致错误消息的关键事件我们的想法是用一个新的组件来取代成对的组件（FSM：s），该组件的行为与上下文的交互和故障隔离的角度来看，但所有其他不相关的行为被丢弃。重复合并，直到系统由单个组件组成，从故障隔离的角度来看，该组件与原始系统相同。与之相反，例如Benveniste等人[2]我们有一个执行线程相对较少的系统，并且具有稳定且相当稀疏的拓扑结构。然而，状态空间爆炸是一个问题，该方法是最坏情况下的指数的组件的数量仍然在实践中，算法往往是可行的，如果选择的对是仔细做了说明，在同伴D. Lawesson等人/理论计算机科学电子笔记149（2006）139141−−−¢ae论文[9]。在下一节中，我们将描述建模框架，包括软件控制系统的行为模型在第3节中，我们描述了本地的抽象和算法构成的核心的方法，并在第4节中，我们展示了如何抽象的结果可以用来分析系统的诊断性能。在第5节中提供了总结以及相关工作。2建模框架在本节中，我们概述了建模框架，其中系统组件通过相互作用的有限状态机进行建模，行为被定义为全局系统状态的有限词。2.1组件我们的系统模型将是一组有限的交互组件，由有限的状态机建模组件可以是软件组件（对象）或硬件。系统模型基于异步交织语义，而组件对之间的同步依赖于CSP [5]或CCS [10]风格的握手定义2.1基本成分c是一个元组（Q，Q，R，q0），其中Q是一个有限的事件集，Q是一个有限的状态集，R<$Q×Q×Q是一个转移关系，q0∈Q是一个初始状态。事件集合被划分为发送事件事件集合、接收事件集合和内部事件集合。内部事件被进一步划分为记录的事件日志、关键事件日志和关键事件日志。只有日志事件是可观察的，例如由操作员。按照惯例，发送事件被表示为e！，接收事件e？，logged eventse：log，critical eventse：critand criticalevents e： crit（但在示例中，我们更喜欢使用助记符名称）。给定一个事件名e，我们称之为e！而e？作为复杂事件。如果一个分支包含一个变迁（a，e，b）∈R，我们通常记为e−> B. 为了区分最终必须采取如果启用足够长的时间，则放置，以及即使永远启用也不必发生的转换，我们将转换划分为可选（后一种类型）和非可选（前一种类型）。强调一个跨-位置是可选的，我们写一个eb当写入非可选转换时−）b. 可选转换通常用于不可控制的对象;例如，涉及关键事件的转换。由142D. Lawesson等人/理论计算机科学电子笔记149（2006）139−）Fig. 1.机器人控制系统的简化模型，包括运动控制、伺服、通信总线、服务器和客户端如果存在另一个状态b/=a，并且内部事件e，使得eb;即，如果存在内部非可选过渡到另一种状态。图1描述了一个示意性的和非常简化的机器人控制系统的六个组件：运动控制（MOC）重复地将位置发送到插值器（IPOL），但也可能收到IPOL处于非操作状态的通知伺服器接收位置并计算一个转发到伺服器的段，但它也可能检测到一个无效的段/位置并严重失败;之后它向主运行中心发送下行消息在发送一个段后，IPOL等待来自伺服的就绪或失败消息在后一种情况下，IPOL还向MOC发送下行消息在接收到一个段时，伺服器可能会静默地崩溃，或者通过总线将数据转发给机器人，或者它可能会从总线接收如果数据被成功转发，则伺服接收确认并向IPOL发送就绪消息总线只是接收数据和发送数据，D. Lawesson等人/理论计算机科学电子笔记149（2006）139143−>−>图二. 扩展版本的IPOL的部分。它也可能在等待数据时下降该系统还包含通过总线通信的通用服务器和与服务器通信的客户端。抛开所有功能不谈，如果服务器未能响应客户端请求，客户端可能会失败。为了便于对状态历史的推理，我们使用先前遇到的关键事件和日志事件的记录来检测基本组件状态。定义2.2设c=（q，Q，R，q0）为基本连通区。 一个扩展态，以下简称为态s，是一个对（q，E），其中q∈Q，E是一组对c：e，其中e∈CritCritlog。图2描述了图1中基本组件IPOL的扩展版本。基本状态isDown现在被两个扩展状态取代。给定一个形式为（q，E）的状态s，我们让（s）表示E。注意E是一个集合，不考虑序和重数。这在一定程度上是由于日志中消息之间的顺序不可信;但也是由于复杂性的原因。即使E是一个集合，它仍然可能导致组件大小的指数爆炸;然而，在实践中，基本组件中几乎没有关键事件和日志事件。还应注意，所见不应被解释为状态的可观察部分（例如，如操作员所见）-仅日志记录事件是可观察的，而例如，关键事件总是不可观察的。状态（q0，q 0）被称为初始（扩展）状态，记为init（c）。我们还从基态Q中到扩展状态S. 如果q1eq2然后• （q1，E）e（q2，E<${c：e}）如果e∈ klogk kcrit，144D. Lawesson等人/理论计算机科学电子笔记149（2006）139−>−>我我−>• （q1，E）e（q2，E）否则。除非另有说明，否则当提及以下组件时，我们隐含地表示扩展组件定义2.3设（S，R，S0）是一个分支。我们说一个状态si∈S是不是很可能是一个chableeis0e1e2−>ei−>西岛不可局部访问的状态可以被丢弃，而不会影响组件的行为，实际上我们不会将这些状态视为组件的一部分。定义2.4设c是一个分量。通过|C|，c的大小，我们表示局部可达状态集的基数。2.2系统描述和交互接下来，我们考虑组件集之间的交互。定义2.5系统描述SD是一组有限的组件。定义2.6设SD ={c1，.，cn}是系统描述，其中，对于每个1 ≤ i ≤ n，ci=（Si，Si，Ri，s0）。全局状态σ是指从SD到分量状态的映射，使得对于每个ci∈SD，σ（ci）∈Si。给定一个分量ci，其中s∈Si，我们将全局状态记为σ[ci <$→s几乎与σ相同，其中⎧如果c=ci，σ[ci<$→s]（c）=σ（c）否则。定义2.7SD的初始全局状态，记为init（SD），我们指的是全局状态σ，使得σ（ci）=s0，对于每个i。组件以交错方式更改状态。如果σ是一个状态，则σ（ci）es并且e是ci的内部事件，则σσ [ci→s]。全局状态也可能由于精确的具有互补事件的两个分量：如果σ（c）e！s1和σ（c）是吗？S2（我j）然后我σ<$σ [ci<$→s1，cj<$→s2].−>J−>为了使全局转换关系完全，我们还允许一个断续的转换σσ...S1D. Lawesson等人/理论计算机科学电子笔记149（2006）1391452.3系统行为系统行为被定义为全局状态的有限个字，其中第一个状态是init（SD），后续状态服从上面的全局转移关系定义2.8通过一系列系统描述SD，我们指的是全局状态σ0σ1σ2. 使得σ0= init（SD），且对所有i≥0，σi <$σi+1我们为系统描述SD的所有运行的集合编写运行（SD）。然而，一些运行是不可信的，因为可能存在无限启用但从未发生的非可选转换。特别是，如果某些组件可以移动，我们不希望永远应用断续过渡。我们采用一种弱形式的公平来丢弃这种运行。定义2.9我们说一个游程σ0σ1σ2. 是公平的，如果不存在状态的无限子集，其中某些组件能够执行非可选转换而最终不这样做。设R是一组游程。我们用fair（R）表示R的所有公平游程的集合。在每一个公平运行中σ0σ1σ2. 我们对第一个关键事件感兴趣，运行的所有关键事件和记录事件的集合。后者相当于见（σi），对于某些极大的i。定义2.10设r = σ0σ1σ2. 是一个运行。 通过abs（r），我们表示对（e，S），其中e是r的第一个关键事件，S是r中所有关键和记录的事件的集合。我们将e称为根本原因。游程的这种抽象自然地扩展到游程集合R。通过只允许有限的事件集合，任何运行的抽象，甚至在有限的运行集合中，具有有限的抽象。abs（R）={abs（r）|r∈ R}。定义2.11系统描述SD的诊断抽象Diabs（SD）是diabs（SD）= abs（fair（runs（SD）。3抽象我们的方法的目的是自动构建一个新的抽象系统描述，这是不详细的比最初的，但仍然具有相同的诊断抽象。146D. Lawesson等人/理论计算机科学电子笔记149（2006）139−>−>−>−>定义3.1我们说两个系统描述SD1和SD2是诊断等价的（写作SD1SD2），因为它们具有相同的诊断抽象，即如果diabs（SD1）= diabs（SD2）。我们迭代地用单个组件c替换组件集合C，它不仅具有与C相同的诊断抽象，而且具有与系统描述的其余部分相同的观察行为。阻碍，称为上下文。定义3.2设C=SD。 集合SD\C称为C的上下文。3.1笛卡尔积我们建议取一对分量ci，cj∈SD，并将它们替换为一个新的分量ci<$cj，它在任何上下文中都是诊断等价于{ci，cj}由此产生的新系统描述是诊断等效于SD，然后，我们对成对合并进行迭代，直到系统描述由单个组件组成;当然，这也是与SD等价的诊断。成对替换的基本思想很简单;我们用一个分量替换ci和cj，其中每个状态对应于同时处于ci的一个状态和cj的一个状态。定义3.3设s1=（q1，E1）和s2=（q2，E2）为状态。则s1<$s2=（（q1，q2），E1<$E2）。状态乘积的概念被提升到状态集合S1，S2：{s1}{s2|s1∈S1和s2∈ S2}。定义3.4设c1=（s1，S1，R1，s1）和c2=（s2，S2，R2，s2）是compo，0 0nents。 c1和c2的笛卡尔积c1<$c2是一个分量（S，S，R，s0）哪里• =• S=S1<$S2，• s0=s1<$s2，0 0• RS×RS是最小的关系，使得e−> sJtifseSJ和t∈S2，e−> 如果s∈S1且tetJ，є−> sJtJifse1sJ和te2tJ和e1，e2是互补的。基本思想是，如果任何涉及的转换是可选的，则新的转换是可选然而，确切的定义更为复杂，由于篇幅有限，此处无法涵盖。详情见[7]·st·st·stD. Lawesson等人/理论计算机科学电子笔记149（2006）139147注意|ci|为|Ci| ·|CJ|. 也就是说，状态的数量没有减少。但是，通常可以删除一些状态和转换。特别是，以下两个简化始终可以应用于上下文中的任何组件：• 具有其中上下文不包含补充事件的发送或接收事件的转换不能发生并且所有这样的转换可以被移除，• 可移除不可局部到达的状态（如可移除在不可到达状态中发起的所有目的是找到可以应用上述简化的成对组件。此外，通常可以删除组件的一些内部事件，而不删除观察行为;在我们的情况下，诊断抽象。我们提出了两个这样的抽象-强制删除和日志删除和内部循环合并。3.2强制清除木材和原木假设一个对象有一个状态s，从状态s开始只有一个非可选的日志转换t任何到达s的游程最终也必然涉及t。然后s可以被丢弃，并且所有正在进行的转换都移动到t的目的地状态，而不改变对象所在的系统的模型。记录的事件和关键事件被记录在局部状态的历史分量中，因此不需要保持转换以维持观测等效性。3.3内循环合并假设在一个对象中有一个内部转换的循环。这个循环上的状态可以全部合并成一个状态s，而不改变对象所属的系统模型为了模拟在循环上可以拒绝某些转换的情况，即，仅在循环的状态的子集中启用的转换，标记从S从s开始的可选转换对应于仅在循环上的状态的严格子集中启用的转换3.4基本算法其目的是构建一个单一的组成部分，这是诊断相当于初始系统描述SD。 原则上这很容易：给定SD={c1，.，cn}，我们可以构造具有状态S1，…你好，148D. Lawesson等人/理论计算机科学电子笔记149（2006）139算法1基本抽象方案输入：一组组件SD输出：单个组件，诊断等同于SD一曰： 对所有c∈SD进行抽象2：同时有一对合适的组件做3：用其乘积4：对新组件进行建模和抽象第五章： end while6：合并所有剩余组件7：对生成的组件进行8：返回组件其跃迁模拟SD的跃迁。然而，在所有有趣的情况下，这都会导致状态空间爆炸相反，我们提倡一个本地的方法，我们采取的产品的两个组件，然后丢弃状态和transitions这是无关的故障隔离，然后，我们将此，直到系统描述由一个单一的组件（或直到它是可行的计算所有剩余组件的产品）。虽然这种方法在一般情况下（组件数量呈指数级）在计算上也是不可行的，但在适当的限制下，它在实践中表现良好。在[9]中，我们证明了在一个稳定且稀疏的系统拓扑结构中，只有有限数量的并发线程，非平凡的系统描述通常可以抽象为单个组件;只要组件以适当的顺序合并（参见[9]或[7]了解详细信息）。抽象算法的基本结构在算法中概述1.一、将算法应用于图1中的系统（具有两个客户端）的结果如图3所示。这样的FSM总是一个只包含内部事件的有根图（因为上下文是空的），并且由于内部循环合并，图必须是无循环的。定理3.5如果系统描述SD被抽象为单个组件c，其中不可能进一步的内部循环合并，则c是仅包含内部事件的无环有向图。所有可能的完整日志都可以在图的非瞬态状态（在我们的示例中标记为s-20、s-21、s-22、s-24、s-26和s-33的状态）中找到，并且可以很容易地通过反向遍历图来找到日志的根本原因该方法已被实施，见[8]的早期帐户。最近的实验结果（见[9]或[7]）使用合成的例子表明，该方法处理非平凡的例子（>100 000可达状态）提供系统具有稀疏拓扑，具有少量并发执行线程（≤5），并假设组件是抽象的D. Lawesson等人/理论计算机科学电子笔记149（2006）139149图三. 图1中系统的抽象，有两个客户端按照适当的顺序。实验还表明，最终自动机的状态数平均仅为原始系统中可达状态数的百分之几，并且随着可达状态数的增加，这个数字正在减少对于具有100 000个可达状态的系统，抽象平均具有少于1 000个状态150D. Lawesson等人/理论计算机科学电子笔记149（2006）1394根本原因可诊断性分析算法1的结果不仅可用于诊断特定故障，更一般地，它还允许我们静态分析系统的可诊断性离散事件系统中的可诊断性通常意味着检测所有故障（或故障类型）都以有限延迟发生的能力（参见例如，[6、11、12]）。这种可诊断性的概念在在线环境中是有用的，但它并不能解决我们的具体问题，即，根据记录的事件，在几个故障中识别根本原因存在其他可诊断性概念，如[4]，但似乎没有提供足够的方法来隔离我们意义上的根本原因令R（L）表示收敛到logL的SD的所有公平运行的集合。如果R（L）中的所有运行都包含事件e，则我们说L中存在临界事件e。我们说，一个临界事件e是L中的一个使能根，如果在R（L）中有一个run，其中e是第一个临界事件，并且事件e是L中的一个证明根，如果e是L中唯一的使能根。显然，希望能够为每个可能的日志标识已证明的根。然而，根据我们的经验，这在大多数模型中是不可能的，除非做出额外的假设（例如单一故障假设）。因此，我们引入以下较弱的概念：我们说e是L中的强根候选者，如果它既存在于L中，又是L中的使能根。强根候选是关键事件，基于观察，（1）必须发生并且（2）不一定跟随其他关键事件。我们说，L是强可诊断的，如果它有一个证明的根，和SD如果SD的所有可能日志都是强可诊断的，则是强可诊断的我们说L是弱可诊断的，如果它至少有一个强根候选，而SD是弱可诊断的，如果SD的每个可能的对数都是弱可诊断的。由于已证明的根也是强根候选者，强可诊断性意味着弱可诊断性。弱意义上的可诊断性通常出现在两种情况下：当有多个故障可能导致彼此时，以及当有多个非因果故障时，如下所示。由于算法1保留了诊断抽象，我们可以使用它来分析SD的诊断属性。再次考虑图3。图3中的组件的非瞬态是s-20、s-21、s-22、s-24、s-26和s-33。这些是表示原始系统已完成运行的状态;即。公平运行，其中没有新的（在日志记录或关键事件方面这些是对可能的日志和可能发生的关键事件以下是可能的D. Lawesson等人/理论计算机科学电子笔记149（2006）139151我们示例的日志L1：L2：{moc：log：down}L3：{client1：log：badserver， client2：log：badserver}L4：{moc：log：down，client1：log：badserver，client2：log：badserver}。状态s-22和s-24表示根本不导致日志记录的运行，即 日志L1。状态s-33是表示导致日志L2的运行的唯一状态。状态s-20和s-26表示报告L4的运行，而状态s-21表示仅报告L3的运行。首先考虑状态s-33：此状态表示报告L2的运行.由于相应的日志没有其他非瞬态状态，并且由于s-33具有唯一的根本原因，因此我们可以得出结论，日志L2唯一地确定了根本原因-在我们的情况下，IPOL无法计算段。在我们的术语中，这是一个在L2中被证明的根.因此，L2是强可诊断的。然而，它是我们示例中唯一可强诊断的日志。状态s-20和s-26都对应于logL4。因此，所有相应的运行在观测上是不可区分的。然而，在状态s- 20结束的运行只包含一个关键事件-总线故障，而在s-26结束的运行包含两个关键事件，这两个事件都可能是根本原因;总线故障后IPOL故障，反之亦然。因此，如果我们观察L4，我们不能唯一地查明根本原因。我们知道这辆巴士一定是出了故障，虽然不一定是第一次。因此，crit.down是L4的一个强有力的根候选者-一个已知已经发生并且可能是根本原因的关键事件。在没有经过证实的根本原因的情况下，这可能被认为是尝试从故障中恢复时的合理首选，但我们不能排除IPOL作为实际根本原因。在我们以前的故障隔离工作中，务实的选择是在缺乏已证实的根源的情况下寻找强根源候选者，并在向用户提供所有可能的根本原因之前，请参见[8]。在L4的情况下，该模型还可以作一些改进.注意，只有状态s-26之前是IPOL失败因此，如果我们在IPOL失败后但在开始发送向下消息之前向IPOL添加日志事件，则在IPOL失败时运行中会出现额外的错误消息新的信息将出现在s-26中，但不会出现在s-20中，我们可以区分这两种情况;我们将在s-20中有一个已证明的根源，但在s-26中仍然有两个可能的根源（和强根源候选者）状态s-21表示logL3。同样，这个日志有两个可能的根源--总线故障，或者伺服器故障，或者两者都有。其实在152D. Lawesson等人/理论计算机科学电子笔记149（2006）139在这种情况下，故障是非因果性的伺服系统的故障不必导致总线的故障（如状态S-24所示），并且总线的故障不必导致伺服系统的故障（如例如状态S-20所示）。因此，在这种情况下，我们有两个（独立的）根本原因和两个强根候选。这说明了在缺乏已证明的根的情况下需要强根候选最后考虑标为s-22和s-24的状态。它们表示完全没有可观测量的运行，即。L1。然而，只有状态s-22表示无故障运行，而状态s-24表示伺服系统严重故障的运行。为了补救这种情况，我们必须确保伺服器的故障如果FSM伺服是用软件实现的，这只是一个确保伺服在停机之前发出一些（新的）错误消息的问题;否则，该消息可能必须引入与故障组件直接或间接通信的其他组件5结论我们已经展示了如何在适当的限制下的局部抽象可以用来导出离散事件系统的故障行为的表示。该方法相当于迭代地用一个新的自动机替换自动机对，当涉及到故障行为和与系统其余部分的相互作用时，该自动机的行为与原始自动机对相同，但局部相互作用和内部行为被丢弃。虽然在一般情况下计算上不可行，但该方法处理相当大规模的系统描述，假设系统具有稀疏拓扑和少量并发线程的执行特性，这些特性通常由集中式控制系统拥有，但通常不由分布式系统，例如电信网络[2]。与[12，11，6]相反，我们不依赖于在线诊断，而是将注意力限制在系统停止后发生故障隔离的系统上;即，当错误报告停止时（或者更准确地说，当没有新的错误消息被报告时）。我们已经说明了如何使用抽象来静态地确定系统的诊断属性;特别是当系统停止时，帮助确定根本原因虽然解决完全不同的问题，我们的方法基于本地合成/抽象的精神是类似的，例如，巴罗尼等人。[1]，并在具体的Pencol′e[11]，who oostudieson-lineediagnosisinadistinctsetting。虽然我们不是在处理分布式系统，但我们也考虑了交互自动机的集合，并且通过考虑封装组件，我们的问题与分布式系统有几个共同的特征;尽管D. Lawesson等人/理论计算机科学电子笔记149（2006）139153异质性和适度并发性。也与例如。[11]和[12]我们不考虑可观察事件的顺序和多重性，而是将它们抽象成集合。因此，我们支持潜在的更积极的抽象策略，但可能会失去诊断能力。引用[1] Baroni，P.，G. Lamperti，P. Pogliano和M. Zanella，大型主动系统的诊断，人工智能110（1999），pp. 135-183[2] Benveniste，A.，S. Haar，E. Fabre和C. Jard，Distributed Monitoring of Concurrent andAsynchronous Systems，Discrete Event Dynamic Systems15（2005），pp. 33比84[3] 卡桑德拉角和S. Lafortune，[4] 康斯蓬湖，C. Picardi和M. Ribaudo，使用PEPA的诊断和可诊断性分析，在：Proc. of the14th ECAI（2000），pp. 131比135[5] Hoare，C.，[6] 江，S.，Z. Huang，V.Chandra和R.李文，离散事件系统的可诊断性分析，国立成功大学机械工程研究所硕士论文，2001。1318-1321.[7] Lawesson，D.，“离散事件系统中故障隔离和可诊断性的抽象策略”，P h。D. thesis，LinkéopingUniversityy（2005）.[8] Lawesson，D.，联合尼尔森和我克莱因，离散事件系统中的故障隔离通过观察抽象，在：Proc.第42届IEEE Conf. 《决策与控制》，CDC'03，2003。[9] Lawesson，D.，联合尼尔森和我Klein，Local abstraction strategies for fault isolation indiscrete event systems（2005），unpublished manuscripts.[10] 米尔纳河，“A Calculus of Communicating Systems,” LNCS[11] 我是说，我是说... 在Proc .中，不可知性分析是不确定的，但它是精确的，甚至是系统的。16thECAI（2004），pp. 43比47[12] Sampath，M.，R. 森古普塔河，巴西-地Lafortune，K.Sinnamohideen和D.陈文，离散事件系统的可诊断性，IEEE自动控制学报，第40卷，1995年。1555-1575年。
我的内容管理
展开
