基于角色的社会技术系统构建规范模型的方法论研究

理论计算机科学电子笔记181（2007）5-17www.elsevier.com/locate/entcs基于角色的社会技术系统我是一个El-Hassan和Jos'eLuizFiadeiro莱斯特大学计算机科学系University Road，Leicester LE1 7RH，UKoehe1，jose@mcs.le.ac.uk摘要本文的重点是基于角色的架构方法如何有助于为可演化和可适应的社会技术系统构建规范模型，即软件组件和人都扮演明确角色并需要交互以确保所需的全局属性出现的系统。 我们提出了一种方法，它与一组新的建模原语相关联，这些原语锚定在组织角色上，并受社会法律的约束，这些法律处理当涉及的人偏离规定的行为并未能发挥他们被分配为系统实体的作用保留字：基于角色的建模，软件架构，协调。1介绍软件技术正在逐渐扩大其范围，从所需功能的核心技术实现到包括与所实现系统交互的过程和人员。术语“社会技术系统”是指包含“社会”维度的系统，在这个意义上换句话说，与人的交互需要被引入系统内部，特别是因为社交和软件组件之间的边界在其生命周期中可能会发生变化;由人类执行的任务可以（部分）被软件应用程序取代，甚至与软件应用程序共享，这取决于执行的上下文。在开发这样的社会技术系统时需要解决的主要问题是，社会和软件组件之间的交互，尽管受到组织规则和政策的约束，但可能会以一种无法完全预测的方式影响整个系统的行为，更不用说编程了。1571-0661 © 2007 Elsevier B. V.在CC BY-NC-ND许可下开放访问。doi：10.1016/j.entcs.2007.01.0506O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）5换句话说，社交组件不能像软件和机械/硬件实体那样被设计因此，在社会实体与软件交互的系统中，人们需要预测可能发生的违规行为，以便软件可以被编程为以确保商定的（可能是最低限度的）服务水平的方式对非规范性情况做出反应。亚理想状态是指由于违反了义务或许可而可能达到的状态。处理社会技术系统中的非规范或次理想情况需要被视为头等大事。处理这种情况的过程这种分离是必不可少的，因为处理非规范性情况的程序通常取决于社会实体在更大的系统中所扮演的角色这表明这些方面应该明确地建模为系统的一个单独的架构维度。社会技术系统的方法，我们提出利用和扩展软件架构技术最初由安德拉德等。al.[3]这就是所谓的CCC模型（协调/计算/配置）。该模型促进了负责协调系统内交互的机制的外部化，这些机制来自在组件中本地执行的计算，并确保所需的功能。然而，CCC模型没有配备基元，通过基元可以对人类实体的行为进行建模，并区分规范行为和可能因违反规范而产生的次理想情况。本文的目的是，准确地说，提出了一种方法和相关的语义原语，丰富的CCC模型，以解决组织设置内的协作活动建模协作表现出复杂性的特点，没有发现在协调为基础的模型，如CCC。协作建模中的主要困难来源是与人的交互是功能行为的一部分。这就需要在不断变化的交互策略和/或架构结构方面进行新级别的运行时可重构性，以确保所需的质量水平。我们的方法根据另一类连接器类型（社会法则）对预期的人类行为进行组织规范建模，这些连接器类型定义在一组社会角色上，每个角色都代表组织内社会实体的能力。本文件的结构如下。第2节概述了相关的研究领域，我们借鉴了一些概念和技术。第3节介绍了新的架构建模原语，特别强调了我们使用的基于角色的建模。最后，第4节概述了本文未涉及的我们方法的各个方面。O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）572背景我们提出的新的架构建模原语-社会法律和角色-考虑了规范系统[15，20]和基于角色的建模[16]领域的研究，包括最近关于基于角色的访问控制（RBAC）的工作和为基于策略的管理系统引入的角色模型[18，23]。社会和技术问题的分离本身就受到了迈克尔·杰克逊和他的同事们关于问题框架的工作的启发。在本节中，我们将快速概述其中一些领域对我们的方法的贡献2.1CCC架构在“软件体系结构”[ 7，22 ]中更确切地说，这些技术通过将代码（在传统方法中，这些代码包含在组件中，用于处理它们与系统其他部分交互的方式）与负责计算的代码（负责组件提供的服务我们建议扩展的特定架构方法已在行业/学术界合作伙伴关系中得到了阐述[1，2，3];它通过协调法律对连接器在CCC方法中，通过协调接口来表示合作伙伴，在合作伙伴上实例化协调定律。在[1]的意义上，协调定律构成了连接器概念，而协调接口表示连接器类型的角色，当要在它们上激活定律时，必须用组件实例化连接器类型。作为一个例子，考虑在急诊室的前提下，负责医生与医疗控制系统交互的方式的协调协调接口自动控制合作伙伴类型DEVICE类型a：压力，d：医生操作in-charge（d）：布尔验证（）：压力减少（a）：验证后（）=旧验证（）-a增加（a）：验证后（）=旧验证（）+a协调接口主治医生合作伙伴类型DOCTOR类型a：压力事件加（a）减（a）配位律限制呼吸合作伙伴d：主治医生，r：检验控制类型a：压力属性min，max：压力规则当d减去（a）和r负责（d）时，其中r.verify - a≥min减少（a）当d.plus（a）和r.in-charge（d）其中r.verify+a≤max增加（a）8O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）5上面的例子表明，协调定律定义了多个部分如何相互作用。合作伙伴没有命名：它们被抽象为协调接口，该协调接口根据实例伙伴需要使之可用的操作和需要观察的事件来定义系统实体的类型。例如，需要一个自动控制设备来提供操作，通过该操作可以验证、增加或减少正在施用的当前压力，并且还检查给定的医生是否负责该设备。 如果是医生，我们不需要提供任何操作，仅需要观察对应于增加或减小压力的请求的两种事件的能力。这些事件可以对应于医生需要按下的按钮，或者与语音设备通信，或者通过其他方式。协调法则的每一条规则都在“何时”条款下确定了一个触发点，法则的实例将对此做出反应--医生要求增加或减少压力。触发器可以是直接在一个合作伙伴上观察到的事件，也可以是从一个或多个事件构建的更复杂的条件。在“with”条款下，我们包括了进行反应时应遵守的条件（防护）：压力的变化使其保持在规定的范围内，并且医生负责该设备。如果任何条件失败，则不执行反应并且触发器的发生失败。可以定义明确的机制来处理此类故障。通常，协调规则中使用的操作调用由协调接口中标识的合作伙伴提供的在软件组件之间的互连的情况下，形式化技术可以用于推理从由此建立的交互中出现的行为的正确性，其假设，如果给定的先决条件适用，则执行所调用的操作，建立给定的后置条件。在更复杂的语言和模型中，还可以考虑异常处理。在嵌入式系统的情况下，软件组件与机械/硬件组件交互;我们假设协调接口中识别的在这种情况下，然而，在CCC方法中没有规定，在我们所知道的任何其他架构方法中也没有规定对社会交互进行建模，即，要求人（社会组件）执行给定操作的情况。请注意，这不是医生和上面建模的自动控制之间的交互的情况如果当监测系统发出需要立即干预的警报时，医生被要求增加或减少压力，则此外，医生可能偏离规定的行为，例如增加或降低压力水平超过组织同意的限制。在这种社会互动的情况下，“正确性”标准不适用。 一方面，人不像机械/硬件组件，如果有故障可以更换。另一方面，不能假定它们执行O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）59“操作”时，要求或坚持前/后条件，即使他们响应通知。总之，人们需要一个更丰富的互动模型，它可以捕捉到这样一个事实，即在存在社会成分的情况下，协调不可能是因果关系。2.2基于角色的建模我们对社会技术系统的研究方法的重点是对将人纳入系统的社会影响进行建模，即使用角色模型将人的人类在他们参与的协作活动中扮演角色。这些角色的语义很大一部分来源于它们所属的组织结构，如[12]中所定义的角色的概念可以在软件工程的许多研究领域中找到我们从中得到启发的一个领域是基于角色的访问控制（RBAC），用于分析信息系统的访问需求;在这一领域，角色提供了一种识别任务、用户行为和相关属性（如accountability）的方法。Kristensen [15]给出了角色的一般定义：这个定义没有描述动态环境中的角色概念，在动态环境中，代理可以被授予和撤销执行操作的权力和访问资源的权限。当这种权力和权威的启动取决于某一组织环境中的当前背景时对我们的方法至关重要的另一个方面是能够以系统的方式组成角色，以模拟独立于组织环境的社会组件的能力。这使我们能够将角色作为类型来处理，在这些类型上可以定义显式关系以解决组织约束，而无需提交特定的组件实例并构建表示组织结构的层次结构。使用角色来定义社会成分的类型还允许我们对动态属性（例如角色扮演）进行建模，这些动态属性可以触发角色分配方式的重新配置。我们为社交交互所考虑的协作模型由人类用户、通信媒体以及它们所作用的对象（例如，软件、硬件和机械）组成。在我们的方法中，我们抽象出了沟通媒体，并采用了Castelfranchi他的方法与约翰·塞尔的著名话语方法（言语行为）[ 20 ]具有可比性，但本质上不同言语行为理论提供了专门的和明确的交际符号，这些符号编码了隐含的直觉/组织语义，这可能导致参与代理的协作行为的上下文切换。 BIC是一种更直观的方式来实现协作，而无需明确的沟通，而是通过利用未编码的行为在上下文中用作按摩。10O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）5提出沟通的行动也符合工作流程管理系统的本质[24]。这些在其他基于协作的技术中得到认可，例如计算机支持的协同工作，正是因为它们将任务分配给第一类实体进行协作，而不是另一种通信协议。与明确定义的启动行动、终止行动和最终目标相关的定义明确的工作流程对于克服提取执行代理人的意图和目标的困难是必要的，前提是这些行动是有意执行的。3社会角色与法律与普通规则不同，组织规范允许它们协调的实体偏离预期行为。规范可以被社会实体违反，无论是否有正当理由。因此，灵活的制度不仅应为这些侵权行为的发生提供空间，而且还应提供一种以符合现有情况的方式对侵权行为作出反应的方式。所谓“语境”，我们指的是个体（或群体）的认知状态和世界在某一时刻的状态的某种表征。道义逻辑的研究已经引入了包括违反和子理想的结构。义务到责任（CTD）是一种基于道义逻辑的形式主义，它允许在违反另一项义务时唤起另一项义务[15，21]。我们的社会建模原语与CTD是一致的。在我们的工作中，我们专注于处理旨在实现业务工作流程方面的系统目标的功能违规正如已经激励的那样，我们对社会技术系统建模的方法是基于一种新的架构连接器，它可以捕获适用于社会组件的组织规范。就像协调法律依赖于协调界面来确定能够根据法律规则进行协调的组成部分所需的能力一样，社会法律依赖于社会角色来捕获社会组成部分的能力和规范方面。3.1社会角色角色是抽象的结构，通过操作和归属的规范性方面来指定社会组件的预期行为，这些方面涉及某些组织职位，例如外科医生负责人或合格医生预期的一组一致的假定能力。更具体地说，我们区分了具有执行操作的能力和具有这样做的资格或授权：一个社会组件可能具有执行操作的能力，并且如果它不是具有正确资格的角色的实例，则仍然触发角色违反。在这里，我们用资格这个词来表示，例如，组织已经授权社会组成部分执行给定的操作。在任何动态的组织环境中，服务或操作的授权都是至关重要的，然而，我们并没有调查授权超出本研究的范围正如下面所讨论的，当一个组件扮演一个没有所需资格的角色时，它执行的操作是由社会法则管理的。一种社会规律O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）511具体的（社会）规则，根据违规行为发生的背景，实施制裁或提供可以安全执行操作的配置。然而，我们需要强调，即使是由合格的组成部分执行的操作，也可以由协调法管辖，因此，在某些情况下，出于操作原因而不是道义原因而被拒绝。我们用[+]表示角色合格的操作我们也可以定义操作之间的包含关系：通过声明op1和op2，我们的意思是，op1只能作为op2的一部分执行，在这种情况下，一个有资格执行的组件op2也有资格做op1。社会角色的一般结构如下：社会角色rolename{specializesrolename}类型{{par}+：数据类型*操作{{}*例如，全科医生有资格执行常规任务，即看病人和登记病房轮班。GP也可以执行次要操作，但会触发角色违规，除非他/她是有资格这样做的角色的实例。社会角色GP专长人员类型p：patient，w：ward，op：operation[+]见患者（p）collectData（p）查看Patient（p）检查BloodPressure（p）查看Patient（p）[+]寄存器Shift（w）minorOp（op，p）另一个例子涉及胃肠病学家，他们专门从事内部登记。社会角色gastrospecializedregistrar internalp型：患者，op型：手术操作[+]胃过程（p）setProgram（p）胃活检程序（p）胃活检程序（p）小手术程序（p，p）该角色的执行者执行常规胃手术，但小手术仍限于有资格这样做的专业化实例。注册外科医生是这种专业化的一个例子社会角色注册医生外科医生专业全科医生p型操作[+]轻微Op（op，p）setupMonitor（op，p）主监视器Op（op，p）主监视器Op（op，p）角色以层次结构组织;执行操作的资格是继承的。下面的图片提供了一个例子。区分执行操作的能力和资格的总体重要性在于，它减少了通常所谓的规范位置[15]第十五章角色转换 这是因为，在一个12O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）5Fig. 1. 角色层次系统开发的架构方法，很容易在动态重构方面对角色转换进行建模。如果没有这种明确的等级制度，就只能通过制裁来解决不理想的情况。相反，我们采取更积极和主动的方法，在当前环境允许这种偏离规范的情况下进行重新调整。这正是下文所讨论的社会法的目标3.2社会规律社会规律是我们在对社会相互作用进行建模时提出的补充协调规律的基元社会法使用道义概念（如义务和禁令）来捕捉协作的规范性方面，这些道义概念适用于社会组成部分根据给定的社会角色行事时所执行的行动。如果我们一方面考虑组织维度的包容性，另一方面考虑系统中社会组成部分的可投标性，我们就会发现，如果我们想要能够对系统内协作产生的行为进行推理，就需要填补一个空白。我们采用的协作概念与[4]一致：“如果不考虑组织的社会规律及其约束个体行为的方式，它需要在人员、流程和技术组件之间建立高度集成和灵活的法律，以管理根据组织政策出现的互动在O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）513为了使这些概念适用，社会法需要包括三个主要组成部分：作用、规范和制裁。我们的方法还建立在规范性立场[15，21]的基础上，这是CTD的扩展，以有效的方式将控制引入模型规范。一个规范性的位置代表了一个社会角色和其他合作伙伴在某种配置中的所有逻辑上可能的（规范，控制和干涉）关系。我们认为，人类的投标能力可以被建模为一套规范的立场，适用于所涉及的一套角色。当一个行动是由一个社会成分根据一个给定的社会角色（社会法则的锚定角色）发起的，而这个社会成分没有资格这样做时，社会法则定义了应该采取什么行动。也就是说，社会法律为系统提供了一个环境，以应对和适应由社会实体犯下通常由适应或重组管理者采取的反应可以包括实施制裁或对系统进行重组后者的实施可以创造一种环境，使社会部分可以继续进行手术，尽管它没有资格，例如医生必须在生命危急的情况下进行小手术为此，可能需要向系统配置中添加新的设备这种反应抓住了有时被称为角色绑定异常的东西，如[17]所述。另一种情况是，当一项行动是在一个根据某种组织规范不允许的背景下发起的例如，虽然外科医生有资格进行小手术，但医院的规则是，在开始任何手术之前都需要病人的同意。然而，在生命危急的情况下，可能无法获得同意，尽管如此，仍应允许外科医生继续手术。 在这种情况下，应该再次触发重新配置，这意味着在添加/替换组件和/或协调合同方面系统结构的变化。社会法具有以下一般结构：社会法名称社会角色伙伴{社会角色、协调界面}*类型{{par}+：数据类型*违反规则当触发器如果条件重新配置任务批准{operation}*}*除了锚定角色之外，社会法则还通过社会角色或协调界面来识别其他合作伙伴。前者用于重构操作，后者用于检测触发和重构，如下所述。违反规则的触发器有三种：（1）由没有资格的社交组件执行的锚角色操作;（2）操作14O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）5锚角色有资格，但它们是在不允许它们的上下文中启动的;（3）锚角色的操作不在需要它们的上下文中执行。第一种形式是：不合格作业第二种形式是：操作和非启用状态第三种形式是：活动状态和非操作请注意，为了检测对启用状态（权限）的违反，我们需要一个协调接口，它提供了一个返回布尔值的操作;为了检测对义务的违反，我们需要一个协调接口，它提供了一个事件。“被否定的操作”在操作尚未被调度用于由实例化锚角色的组件执行的状态中保持。[6]关于许可和义务的定义已从[6]修改。制裁用于实施组织商定的程序，对设想的违规行为作出反应，即被吸收，然后停止，不能通过重组来处理，而是需要采取惩罚性行动，可能在被确定为合作伙伴的系统利益相关者的协助下。作为一个例子，考虑适用于小手术的社会法。这样的程序涉及一个社会角色，一个GP，他是锚定角色，在这个意义上，社会法律将适用于这个角色的实例所执行的行动。此外，需要三个协调接口来确保GP与正确的组件进行交互：监视程序的设备-监视器-程序，以及提供对管理数据的访问的软件组件-管理员 。在系统的配置中，将存在协调规律模拟这三个部分的相互作用。由于篇幅有限，我们无法提供相关协调界面和法律的定义。社会法小操作锚角色d：GP伙伴锚角色d：GPp型：患者，op：手术伙伴a：administratorm：monitor-procedure当d.minorOp（op，p）而不是a.ensureConsent（op，d，p）如果m.报警（p）重新配置重新配置Minor（d，op）制裁a.记录（d，op，“不同意”）当不合格时d.minorOp（op，p）如果m.报警（p）reconfUnqual（d，op，p）（d，op，“unqualified”）社会法则有两条规则，由同一事件触发：医生开始对病人进行手术的那一刻。第一条规则处理的情况是，没有病人同意医生进行手术的记录。如果监视器检测到存在紧急情况，则执行上下文的重新配置以将其置于适当位置O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）515继续开展行动所需的组成部分和协调合同。例如，这可能涉及提供对患者档案中登记的进一步信息的访问，例如关于过敏的信息。然而，如果监测器没有发现紧急情况，则通过在医生的文件中记录违规行为来实施制裁。如果实际医生没有资格执行小手术，则激活第二条规则，这是可能的，因为医生在这种情况下，我们必须再次区分是否有紧急情况。为简单起见，我们使用了监护仪提供的相同报警条件。如果确实检测到紧急情况，则执行上下文的重新配置以允许医生继续进行，例如解除在规范状态下应该禁止医生进行的动作。否则，将实施制裁请注意，重新配置操作将医生作为参数：医院可能对手术期间应存在的上下文有不同的规则，具体取决于医生的类型请注意，这两条规则都可以适用：医生可能没有资格，病人可能没有同意。在紧急情况下，两种制裁都适用;否则，两种制裁都将实施。由于空间有限，我们无法讨论定义任务reconfMinor（d，op）和reconfUnqual（d，op，p）的重构语言。参见[2] CCC中使用的重构语言和[25]基于图变换的重构语义4总结发言我们在本文中的目标是提出一组建模原语，可以支持社会技术系统的规范，这些系统足够灵活，可以响应不断变化的社会和组织环境。这包括一些机制，通过这些机制，系统可以对作为系统组成部分的人可能偏离组织规定的规范的情况做出反应。这种反应应导致以灵活和可预测的方式进行的重新调查，并符合侵权行为发生的背景另一个问题是将这些社会方面的建模与计算和协调方面分开，这些方面捕获了系统满足给定业务目标的方式，以便它们都可以相互独立地发展。也就是说，组织应该能够改变其业务目标，而不必改变其规范，反之亦然。这就是为什么社会法则的定义独立于调节相互作用的协调法则。然而，一旦在给定的系统配置中实例化，社会和协调定律就结合在一起，对软件和人类实体之间在运行时建立的互连进行也就是说，为了理解一个系统在给定状态下的行为，我们需要知道哪些协调和哪些社会法则适用于呈现该状态的组件，以及这些组件在系统中扮演的角色。16O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）5系统社会法律以两种可能的方式对偏离规范的行为做出反应：要么通过制裁，要么通过我们承认，我们的例子是说明性的，因为它们不是基于现实生活中的社会技术环境，然而，它们的灵感来自于与繁忙医院的医疗人员的这些讨论形成了我们设想，我们的案例研究将利用重构规则，使系统自适应人类使用它们的角色，以及监控和应对这种使用的不断发展的组织政策。一个在手术室的监测系统，方便访问医疗记录和报告给医院管理部门将是一个理想的例子。我们目前正在丰富CCC方法中重构规则的建模方式[2];我们考虑探索Jackson的问题框架方法中解决社会技术系统的方式确认我们要感谢ATX Software SA的Lu 'ıs Andrade和Georgios Koutsoukos、 McMasterUniversity 的Tom Maibaum 、 Imperial College的Marek Sergot 、 University ofLeicester的Reiko Heckel、 Open University的John Hall和Michel Wermelinger，感谢他们的讨论和评论帮助我们形成了我们的想法。我们也要感谢裁判的许多有益和鼓励的言论。引用[1] 艾伦河，巴西-地和G. Garlan，213-249，1997年。[2] 安德拉德湖F.、J.，Gouveia，J. L. Fiadeiro和G. Koutsoukos，533-370，2002年。[3] 安德拉德湖F.、J. L.基于体系结构的软件系统演化，M。 Bernardo and P. Inverardi，（eds.），软件体系结构的形式化方法，LNCS 2804，Springer-Verlag，pp. 148-181，2003年。[4] Barbuceanu，M.，T. Gray和S.Mankovski，1999年11月38日[5] 巴罗卡湖J. L. Fiadeiro，M. 杰克逊河，巴西-地 Laney和B. Nuseibeh，“问题框架：协调的案例”，在Proc. 第六届协调模式和语言国际会议（协调'0 4 ） ， L N C S ， S p r i n g e r - V e r l a g ， 第 5 - 1 9 页 ，2 0 0 4 年 。[6] Boella，G.， 和L. 德尔·托雷，Proc. ICAIL，Edinburgh，Scotland，2003.[7] 巴斯湖P. Clements和R.Kazman，Software Architecture in Practice，Addison Wesley，1998。O. El-Hassan，J.L.Fiadeiro/电子笔记在理论计算机科学181（2007）517[8] Brier，B.，L. Rapanotti和J. Hall，“社会技术系统的问题框架：可预测性和变化”，ICSE，第1版。关于问题框架的进展和应用的国际讲习班（WAAPF 2004），苏格兰爱丁堡，2004年。[9] Castelfranchi，C.和F.贾迪尼，《沉默的特工》。M-A协调和HMI加利福尼亚州门洛帕克，2003[10] Dustdar ， S. ， ”Caramba-A Process-Aware Collaboration System Supporting Ad hoc and CollaborativeProcesses 第15页。2004年第45-66页[11]Hall，J.，M.杰克逊河，巴西-地兰尼湾Nuseibeh和L. Rapanotti，“Relating Software Requirements andArchitectures Using Problem Frames” ， Proc.Requirements Engineering （ RE'02 ） ， Essen ，Germany，IEEE Computer Society Press，pp. 137-144，2002年。[12] Hulstijn，J.，“对话中的角色”，载于Kruij Korbayova（编辑）， 第七届对话的语义学和语用学研讨会，pp。43-50，2003年。[13] 杰 克 逊 ， M. ， Problem Frames ： Analyzing and Structuring Software Development Problems ，Addison Wesley，2001。[14] 杰 克 逊 ， M. ， 《 软 件 需 求 和 规 范 ： 实 践 、 原 则 和 偏 见 词 典 》 （ Software Requirements andSpecifications：A Lexicon of Practice，Principles and Prejudices），Addison Wesley，1995年[15] 琼斯，A.和M. Sergot，427-444，1996年[16] 克里斯滕森，B.，”Object-Oriented Modelling with Roles”, in[17]李， J. - S. 和C. H. 小比 “一个增强的 榜样 为 缓解 角色绑定异常Software：Practice Experience，vol. 32，pp. 1317-1344，2002。[18] 卢普湖和M. Sloman，36-47，1997年。[19] 桑德胡河，巴西-地美国，E. J. Coyne，H.L. Feinstein和C.E. Youman，IEEE Computer，vol. 29，pp. 38-48，1996年。[20] Searle，J. R.，“言语行为，心灵和社会现实”，在G。Grewendorf和G. Meggle（eds.）， 《语言学与哲学研究》，第79卷，页。2002年3月16日[21] Sergot，M.，“规范的立场”，在H。Prakken and P. McNamara（eds.），规范，逻辑和信息系统：道义逻辑的新研究，IOS出版社，页。289-310，1998年。[22] 肖，M。和D. Garlan，软件体系结构，Prentice Hall，1996。[23] Sloman，M.和E.林志玲，“分布式系统管理中的策略与方法”，国立成功大学计算机工程研究所硕士论文。第25（6）卷，第852 -869页，1999年。[24] van der Aalst、W.M.P和K. M.范希，[25] Wermelinger，M.，A. Lopes和J.L. Fiadeiro，