Simulating Observer in Supervisory Control- A Domain-based Method

یک سیستم گسسته، سیستمی با تعداد شمارا از حالات است. این بدین معنی است که رفتار یک سیستم گسسته می­تواند به­طور منظم از طریق حالاتش به ­صورت انتزاعی بیان­ شود. در نتیجه، یک سیستم گسسته اغلب با یک ماشین حالت، مدل و تحلیل می­شود. یک سیستم را سیستم رخداد گسسته[1] گویند اگر حالات آن بر طبق رویداد رخدادهای گسسته تغییر کند و گذار حالت در زمان‌های گسسته در پاسخ به رخدادها انجام شود. از نمونه سیستم‌های رخداد گسسته می‌توان شبکه‌های رایانه‌ای، سیستم‌های ارتباطی، سیستم‌های ترافیک شهری و سیستم­های گردش کار را نام برد.

از آنجا که پاسخ یک سیستم رخداد گسسته ممکن است نیازهای کاربرانش را نقض کند، یک کنترل­کننده به نام سرپرست[2] برای سرپرستی رفتار سیستم لازم است. به این منظور، نظریه کنترل سرپرستی[3] به عنوان یک روش رسمی برای ساخت کنترل­کننده­ سیستم­های رخداد گسسته تدوین شد [1]. کنترل­کننده یا سرپرست، مسؤولیت پایش رفتار سیستم و هدایت آن را به یک حالت امن در زمانی که نیاز کاربران نقض می شود، به عهده دارد.

از طرف دیگر، برای مطالعه یک سیستم با استفاده از شبیه­سازی، ما نخست یک مدل انتزاعی از سیستم که در برگیرنده ویژگی‌های سیستم است، ارائه می دهیم. سپس این مدل را با نوشتن برنامه‌هایی که اجرای آنها رفتار مدل را شبیه‌سازی می­کند، پیاده‌سازی می‌کنیم. شبیه‌سازی یک سیستم رخداد گسسته، مدل سیستمی را مشخص می­کند که در آن تغییرات در زمان­های گسسته اتفاق می­افتد. برای مثال، در یک مدل از یک شبکه رایانه‌ای، ورود یک پیام به شبکه، یک تغییر در حالت مدل است. از آنجا که چنین تغییراتی مهم هستند، لازم است رفتار مدل را در زمانی که یک تغییر رخ می­دهد، مشاهده کنیم.

این مقاله تصمیم دارد تا به مدل­سازی بخش پایشگر کنترل سرپرستی با استفاده از داده­های دامنه مسأله که به وسیله کاربر سیستم بیان می­شود، بپردازد. شبیه­سازی چنین پایشگری با مسأله مشاهده و وارسی رفتار سطح پایین هنگام اجرای سیستم در مقابل توصیف­های سطح بالای نیازهای کاربران مواجه است، زیرا این دو به علت متفاوت بودن ماهیتشان، قابل مقایسه نیستند. به این منظور، رخدادها و نیازهای کاربران را باید از داده­های استفاده شده در دامنه مسأله منتزع کرد و سپس به فعالیت های هنگام اجرای سیستم نگاشت نمود. اگرچه روش­های متعددی تاکنون برای مدل­سازی و شبیه­سازی کنترل سرپرستی سیستم­های گسسته ارائه شده است، فقدان یک روش سیستماتیک که متکی به داده­های دامنه مسأله باشد، به چشم می­خورد.

پس از توصیف رسمی رخدادها و نیازها، یک اتوماتا که معرف نقض نیازهاست، ساخته می­شود تا یک توصیف مبتنی بر حالت از نقض نیازها ارائه شود. این توصیف به عنوان پلی بین توصیف­های مبتنی بر رخداد و مراحل شبیه‌سازی در نظر گرفته می­شود. در حقیقت، این اتوماتا به عنوان یک مدل انتزاعی برای پیاده­سازی مرحله شبیه­سازی استفاده می­شود. این اتوماتا که شامل هسته پایشگر است برای تعیین حالاتی که سیستم نباید وارد آنها شود، استفاده می­شود.

دو نوع همروندی وجود دارد: (1) همروندی در اجرا که به وسیله پاسخ سیستم، رخدادهای محیط سیستم و کنترل سرپرستی ایجاد می­شود و (2) همروندی بین رخدادها. تغییر سرعت و تغییر وضعیت ترمز قطار در سیستم حفاظت قطار، نمونه­ای از همروندی در رخدادهاست. این سیستم هدایت قطارها در نواحی "هشدار" ، "معمولی" و "آزاد" را از طریق توصیه دستورالعمل‌هایی برای تنظیم سرعت و ترمز به عهده می‌گیرد. بنابراین، مکانیسمی برای اداره همروندی در مرحله شبیه­سازی باید استفاده شود. در این راستا، ما شبیه­سازی پایشگر را با استفاده از کتابخانه TPL ماکروسافت روی رایانه چند هسته با زبان C# [2و3] انجام می­دهیم. ما از نخ ها و توابع TPL برای اداره همروندی در شبیه‌سازی رفتار سیستم رخداد گسسته استفاده می‌کنیم و سپس کارایی آنها را در یک مورد مطالعه مقایسه می‌کنیم. در خاتمه، روشمان را برای مدل‌سازی و شبیه‌سازی بخش پایشگر در کنترل سرپرستی سیستم حفاظت قطار به کار می­بریم. کنترل سرپرستی، وارسی ارضا نیازهای کاربران به وسیله سیستم را به عهده دارد.

این مقاله به صورت زیر ادامه می­یابد: در بخش دوّم ابتدا تعاریف رخدادها و ثابت­ها[4] را به صورت رسمی بیان و سپس بر اساس این تعاریف، نیازهای ایمنی[5] را تعریف می‌کنیم. در بخش سوّم، از تعاریف رخدادها و ثابت­ها برای توصیف مبتنی بر حالت سیستم استفاده می­کنیم. در بخش چهارم، به طراحی شبیه­ساز با در نظر گرفتن توصیف مبتنی بر حالت، می­پردازیم. برای نشان دادن این که چگونه باید روش ما برای یک مسأله خاص به کار رود، یک سیستم حساس به ایمنی را به عنوان یک مورد مطالعه در بخش پنجم مطرح می‌کنیم. در بخش ششم، به ارزیابی کارآیی روشمان می پردازیم. در بخش هفتم،کارهای مرتبط را مطالعه می‌کنیم تا تفاوت‌ها و تشابهات آنها را با روش پیشنهادی نشان دهیم. در بخش هشتم، نتایجی، که از روش پیشنهادی به دست می‌آید، مشخص می‌کنیم.

2- توصیف رخدادها و ثابت­ها

از داده­های دامنه مسأله که بر حسب واژگان کاربر سیستم بیان می­شود، یک محیط را با ویژگی­هایش توصیف می­کنیم که در آن یک ویژگی، مشخصه مهّمی از محیط سیستم است. پس از آن، رخدادها و ثابت­ها را با استفاده از این ویژگی­ها تعریف می­کنیم. در نهایت، نقض نیازهای کاربران سیستم را با یک رخداد و تعدادی ثابت توصیف می­کنیم. یک رخداد معرّف تغییری جدی در مقدار یک ویژگی است، امّا یک ثابت معرف عدم تغییر در یک ویژگی دیگر در زمان یک رخداد است. برای مثال، در سیستم کنترل قطار، قطار محیط سیستم است و "سرعت" و "ناحیه" دو ویژگی از این محیط هستند. جمله "سرعت قطار نباید در هنگام ورود به ناحیه هشدار بالا باشد"، یک نیاز ایمنی روی این دو ویژگی است که نباید نقض شود. عبارت " ورود قطار به ناحیه هشدار" یک رخداد و عبارت "سرعت بالا" یک ثابت است. به عبارت دیگر، این رخداد نیاز کاربر را نقض می کند، در صورتی که ثابت "سرعت بالا" برقرار باشد. در ادامه، به تعریف رسمی رخدادها، ثابت ها و نیازهای کاربر با استفاده از ویژگی­ها می­پردازیم. برای خوانایی بیشتر، جدولی برای توصیف نمادهایی که در بخش­های بعدی این مقاله استفاده می­شود، ارائه می­شود (جدول 1).

جدول (1): شرح نمادهای مورد استفاده

2-1- مدل سازی داده‌ها

محیط سیستم به وسیله تعدادی ویژگی مشخص می­شود که در آن هر ویژگی که با Pr تعیین می شود. یک مجموعه خوش­ترتیب از مقادیر منطقی، شمارشی، صحیح یا اعشاری است. خصیصه ترتیب، مجموعه منطقی {درست، نادرست} را از مجموعه منطقی {نادرست، درست) متمایز می‌کند. بنابراین، در این مجموعه‌ها، یک خصیصه خوش ترتیب با ترتیب نوشتن عناصر آنها مشخص می شود. یک مجموعه شمارشی شامل مقادیری است که با اسامی، مانند مجموعه ناحیه = {هشدار، معمولی، آزاد} مشخص می­شود. یک مجموعه خوش­ترتیب، یک مجموعه کاملاً (به طور خطی) مرتب است اگر بتوان اوّلین عنصر آن مجموعه و هر زیر مجموعه­اش را مشخص کرد [4]. برای مثال، مجموعه اعداد صحیح ={…-2,-1,0,1,2,…}  ¢که یک مجموعه مرتب خطی است، خوش­ترتیب نیست، زیرا اوّلین عنصر آن را نمی­توان مشخص کرد، اما مجموعه اعداد مثبت ¢⁺={1,2,3,…} یک مجموعه خوش­ترتیب است، زیرا می‌توان اوّلین عنصر این مجموعه و هر زیر مجموعه آن را تعیین کرد. رابطه ترتیب ">" یک رابطه روی مجموعه Pr  است که سه خاصیت  P₁(انعکاس)،  P₂ (پادمتقارن) و P₃(تعدی) را ارضا کند.

P1. a Î Pr, a ≤ a

P2. a, b Î Pr, if (a ≤ b and b ≤ a) Þ a=b

P3. "a, b, c Î Pr, if (a≤ b and b≤ c) Þ a≤ c.

تعریف: فرض کنید a و b دو عدد صحیح یا حقیقی متمایز باشند که a<b . یک بازه با نقاط نهایی a و b به عنوان یک بازه "بسته- باز" از a به b تعریف می‌شود و با [a ...b) نمایش داده می شود. بر اساس دامنه مسأله، هر Pr به بازه های منفصل با رابطه ">" شکسته می شود؛ به طوری که در دو بازه متوالی مانند [a…b) و [b…c) سوپرمم اوّلین بازه، می نیمم دومین بازه باشد. برای مثال، فرض­کنید که سرعت یک ویژگی محیطی باشد که مقدارش به حداکثر 10 مایل در ساعت می­رسد و مقادیر 3 ، 5/7 و 10  مقادیر مرزی هستند. بر اساس این مقادیر دامنه، سرعت را به بازه‌های [0…3)  و [3…7.5) و [7.5…10] تقسیم می‌کنیم. وقتی یک مقدار ورودی از محیط سیستم دریافت می‌شود، با می­نیمم مقدار هر بازه مقایسه می­شود تا بازه متناظر مشخص شود. این بازه، بازه­ای است که مقدار خوانده­شده از ورودی درآن قرار دارد. اکنون به تعریف ویژگی­های بازه­ها روی مقادیر صحیح یا اعشاری می‌پردازیم:

که Pr_p  معرف ویژگی p و یک مجموعه خوش­ترتیب است و I_i,p معرف i امین بازه بسته باز از این ویژگیاست.

که I_i,pیک عدد اعشاری یا یک عدد صحیح است و i متعلق به مجموعه [1…k] و p یک ویژگی است. رابطه (2) معرف این است که هر I_i,p یک بازه رویPr_p  است که می‌نیمم و سوپرمم مقدارش بر اساس دامنه مسأله و به وسیله کاربر سیستم تعریف می­شود. برای مثال، برای یک وسیله نقلیه که با سرعت حداکثر 10 مایل در ساعت حرکت می­کند، بازه های[1…5)، [5…7) و [7…10] تعریف می‌شوند که به ترتیب معرف سرعت­های "کم" ، "متوسط" و "زیاد" است.

یک بازه، یک مجموعه شامل دو خصوصیت است: (1) یک مجموعه غیرتهی است که به وسیله رابطه (3) به صورت رسمی تعریف می­شود و (2) هیچ عنصر مشترکی با دیگر مجموعه­ها ندارد که به وسیله رابطه (4) به صورت رسمی تعریف می­شود. خصوصیت خوش­ترتیبی یک ویژگی با رابطه (5) بیان می­شود و معرف این است که هر زیر مجموعه از یک ویژگی، خوش‌ترتیب است.

پس از آن که بازه­ها تعیین شدند، می­توانیم "شاخص" را تعریف کنیم. فرض کنید که I_i,p ، i امین بازه Pr_p  و t یک شماره دنباله باشد که معرف یک ترتیب روی مقادیر اندازه‌گیری­شده روی ویژگی Pr_p  باشد. یک شاخص روی بازه I که با In_i,p)_t) نشان داده می­شود، یک نگاشت برای بازه I_i,pدر زمان t به صورت زیر است:

:  Þ  

از این به بعد، هر زمان اندازه­گیری از یک ویژگی را یک "رویداد" می­نامیم. بنابراین، می­گوییم که In_i,p)_t) برقرار است اگر امین "رویداد" Pr_p  به بازه I_i,p تعلق داشته باشد در غیراین صورت In_i,p)_t) برقرار نیست که به صورتIn_i,p)_t) Ø نشان داده می­شود. برای مثال، در سیستم حفاظت قطار، فرض کنید Pr₁ معرف ویژگی سرعت قطار باشد، در نتیجه، I₂₁ معرف بازه Pr₁خواهد بود و عبارت "In_2,1)₃)  برقرار است" به این معنی است که سومین سرعت اندازه­گیری شده قطار به دومین بازه Pr₁تعلق دارد. توجه کنید که در هر زمان، فقط یک شاخص از یک ویژگی برقرار است، زیرا هر مقدار Pr_p به فقط یکی از بازه­هایش تعلق دارد (رابطه 6). به عبارت دیگر، این خصوصیت معرف این است که یک کمیت اندازه­گیری شده در زمان t نمی­تواند به دو بازه از یک ویژگی متعلق باشد، زیرا بازه­ها منفصل هستند.

2-2- تعریف رخداد

یک رخداد اتفاق می­افتد اگر تغییر مقدار یک ویژگی مانندPr_p  باعث شود تا Pr_p  از بازه I_i,p به بازه­های مجاورش؛ یعنی I_i-1,pیاI_i+1,pگذر کند. به طور مشابه، تغییر در Pr_p از بازه­های I_i-1,pیاI_i+1,p به بازه مجاورش I_i,p معرف یک رخداد است. ما فرض می­کنیم که تغییر مقدار یک ویژگی تدریجی است؛ به این معنی که تغییر مقدار یک ویژگی یا در داخل یک بازه قرار دارد یا این که به انتقال به بازه مجاور خودش منجر می­شود. اکنون یک رخداد را به صورت رسمی تعریف می کنیم:

اگر دو رویداد متوالی از Pr_p که با t و  t+1 مشخص می­شود، به بازه I_i,p و یکی از بازه­های مجاور آن؛ یعنی I_i-1,pیاI_i+1,pمتعلّق باشد، می­گوییم یک رخداد در زمان t رخ داده است (رابطه­های (7) و (8)). رابطه (7) دو مورد را بیان می‌کند: (1) آخرین زمانی که Pr_p در بازه I_i-1,pیاI_i+1,p بوده‌است، زمان t است. این بدین معنی است که Pr_p در زمان t در In_i,pنبوده است که آن را با  نشان می‌دهیم. (2) در زمان t یک تغییر در مقدار Pr_p باعث شده است کهPr_p بازه I_i-1,pیاI_i+1,pرا ترک کند و وارد بازه I_i,pدر زمان  t+1شود. به طور مشابه، رابطه (8) بیان می‌کند که t آخرین زمانی است که Pr_pدر I_i,p بوده است و در زمان جاری یک تغییر در مقدار Pr_p موجب شده­است تا Pr_pبازه I_i,p را ترک کند و وارد بازه I_i-1,pیاI_i+1,pدر زمان  t+1شود. این بدین معنی است که Pr_pدر In_i,pدر زمان  t+1نبوده است. بنابراین، ما این مورد را با  نشان می‌دهیم. همان طور که روابط (7) و (8) نشان می‌دهد، فقط از In_i,pاستفاده کرده­ایم. این بدین معنی است که دغدغه ما تنها ورود به یا خروج ازبازه In_i,pاست و وارد شدن به یا خروج از بازه‌های مجاور In_i,pدغدغه ما نیست. نمادهای "T@" معرف تغییر مقدار از false به true و "F@" معرف تغییر مقدار از true به false است که به ترتیب معرف قرارداشتن و قرارنداشتن در بازه In_i,pاست. رابطه های (7) و (8) معرف ورود به یا خروج از بازه I_i,pدر زمان t+1 است.

در حالتی که یک ویژگی از نوع منطقی باشد؛ یعنی مقادیر true و false داشته باشد، دو پارتیشن [true] و [false] خواهیم داشت. بنابراین، دو نوع رخداد می­تواند وجود داشته باشد که به وسیله رابطه­های (9) و (10) بیان بیان می­شود. نمادهای "T@" و "F@" معرف بودن و نبودن در بازه In_1,1است کهPr₁={true,false}  و I_1,1=[true]  و I_2,1=[false] . رابطه­های (9) و (10) می‌تواند از رابطه­های (7)و (8) به دست آید. رابطه (9) معرف خروج از بازه I_1,1در زمان t+1 یا معرف ورود به بازه I_2,1 در زمان t+1 است و رابطه 10 معرف ورود به بازه I_1,1در زمان t+1 یا خروج از بازه I_2,1 در زمان t+1 است.

توجه داشته­باشید که رخدادها می توانند همزمان اتفاق بیفتند. به عبارت دیگر، در هر مرحله زمانی بیش از یک رخداد می­تواند رخ دهد. این بدین معنی است که مقدار ویژگی­ها می­تواند در هر زمان به صورت همزمان تغییر­کند. در رابطه­های (11) تا (14)، طرف چپ معرف تغییر مقدار Pr_pدر زمان t است و طرف راست معرف تغییر مقدار ویژگی دیگرمانند Pr_qدر همان زمان است، اما همان طور که در رابطه (6) بیان کردیم، حداکثر یک مقدار از یک ویژگی در هر مرحله از زمان می­تواند تغییر کند.

2-3- تعریف ثابت

فرض کنید t و t+1 دو رویداد متوالی از ویژگی Pr_p باشد. می­گوییم یک ثابت روی بازه I_j,q وجود دارد اگر: (1) هر دو رویداد متعلّق به بازه I_j,q باشد یا (2) هیچ یک از آن دو در بازه I_j,q نباشند. حالت اوّل را یک ثابت برقرار رابطه (15) و حالت دوّم را یک ثابت نابرقرار گوییم رابطه (16). رابطه (15) اظهار می­دارد که In_j,q در زمان­های t و t+1 برقرار بوده است و رابطه (16) اظهار می­دارد که  In_j,q در زمان­های t و t+1 برقرار نبوده است.

مشابه با رخدادها، ثابت­ها می­توانند همروند باشند؛ یعنی ترکیبی از ثابت­های برقرار و نابرقرار در یک زمان وجود داشته باشد مشروط بر این که هر ثابت متعلّق به یک ویژگی جداگانه باشد. ثابت­­های همروند را با S_i,r t( )_t,t+1 یا S_i,r f( )_t,t+1نشان می­دهیم. این نمادها، ثابت­ها را روی بازه­های جداگانه­ای از ویژگی­ها توصیف می­کند. بنابراین برای هر دو ثابت همروند زیر شرط  p≠q وجود دارد:

 ( )_t,t+1  ,   ( )_t,t+1

2-4- نیاز ایمنی

همان طور که در بخش­های 2 و 3 بیان کردیم، یک نیاز ایمنی معرف این است که یک رخداد بد که معرف نقض نیازکاربر سیستم است، رخ نمی­دهد. ما این نقض را به صورت ترکیب رخدادها و ثابت­ها نشان می­دهیم. بروز چندین رخداد را با:

S_i³1@T( )_t یا S_i³1@F( )_t

و چندین ثابت را با:

S_i³0t( )_t یا S_i³0f( )_t

نشان می­دهیم. رخداد را با رابطه­های (7) و (8) و ثابت را با رابطه­های (15) و (16) تعریف کردیم. فرض کنید که ویژگی Pr₂در سیستم حفاظت قطار معرف ناحیه­ای از خط آهن باشد که اوّلین بازه آن، بازه "هشدار" است، بنابراین In_1,2 معرف "ناحیه هشدار" است و فرض کنید که ویژگی Pr₃ معرف "ترمز قطار" باشد که اولین بازه­اش، بازه "آزاد" است. بنابراین In_1,3 معرف "ترمز آزاد" است. درنتیجه رخداد @T(In_1,2)_t که به معنی and  (In_1,2)_t+1] In_1,2)_t)Ø [ همراه با ثابت t(In_1,3)_t,t+1که به معنی [(In_1,3)_t and (In_1,3)_t+1] است، یک نقض را نشان می‌دهد. ثابت t(In_1,3)_t,t+1  اظهار می دارد که در زمان رخداد (یعنی ورود قطار به ناحیه هشدار) ترمز قطار آزاد بوده است.

3- توصیف اتوماتا

مدل‌سازی رسمی رفتار نرم‌افزار و ویژگی‌های سیستم با استفاده از اتوماتا به عنوان پایه‌ای برای پایش حین اجرا، ایده‌ای است که در ادبیات وارسی حین اجرا بیان شده است [5]. در این میان، شبکه­های پتری اتوماتاهای مناسبی برای مدل­سازی و تحلیل سیستم­های رخداد گسسته همروند و غیرهمگام[6] هستند [6]. علاقه­مندی قابل ملاحظه­ای به شبکه­های پتری برای مطالعه در حوزه مسائل کنترل سرپرستی نشان داده شده­ است [12و11و10و9 و8 و7] زیرا این شبکه­ها قدرت مدل­سازی و تحلیل خوبی دارد. به علاوه، شبکه­های سطح بالا مانند شبکه­های پتری رنگی[7] توانایی­های اضافه­ای در مدل­سازی سیستم­ها دارند [14]. در این بخش، ما می­خواهیم روشی برای نگاشت توصیف رخدادها و ثابت­هایی که در بخش 2 بیان کردیم، به مؤلفه‌های شبکه پتری ارائه دهیم. شبکه­های پتری حاصل رفتار سیستم و محیط آن را نشان می­دهد.

تعریف: یک شبکه پتری معمولی یک 4 تایی به صورت PN = (P, T, F, m₀) است که در آن P = {P₁, P₂, …, P_m} یک مجموعه متناهی از مکان‌هاست و با حباب نشان داده می­شود وT = {T₁, T₂, …, T_n}  مجموعه‌ای متناهی از گذارهاست که با خط عمودی پررنگ نشان داده می­شود وF = {F₁, F₂,… , F_k)  یک مجموعه متناهی از قوس­های جهت­دار از مکان­ها به گذارها یا بالعکس است که با پیکان نمایش داده شده است و M: P → N یک نشانه­گذاری[8] است که معرف تعداد نشانه­ها[9] در مکان­هاست وm₀  معرف نشانه­گذاری اولیه است [6]. یک نشانه­گذاری با برداری مشخص می­شود که اعضایش معرف تعداد نشانه­ها در مکان­هاست. برای مثال، بردارm₀=[1,0,0]  معرف این است که m₀(P₁)=1, m₀(P₂)=0, m₀(P₃)=0 یعنی مکان‌های P₁، P₂ و P₃ در ابتدا به ترتیب شامل یک، صفر و صفر نشانه است. مشابه با بردار m₀  ، بردارm_i  معرف نشانه­گذاری شبکه پتری در زمان i ام است.

تعریف: فرض کنید که مجموعه همه مکان­های ورودی به خروجی از گذار T_iبه ترتیب با ·T_i و ·T_iنشان داده شوند. گذار T_iاز مجموعه گذارهای T در شبکه پتری PN = (P, T, F, M) را در نشانه­گذاری m_iتوانا[10] گوییم اگر " p Î •T_i, m_i(p) ≥ 1. اگر گذار T_iتوانا باشد، می‌تواند عمل کند[11]. عمل کردن گذار T_i در نشانه گذاری m_j(p) که با رابطه 17 نشان داده می‌شود که به نشانه‌گذاری m_j+1(p) منجر می‌شود. در این حالت می­گوییم که m_j+1(p) از m_j(p) قابل دسترسی است.

3-1- ساختن اتوماتا

وقتی مکان‌ها، گذارها و نشانه­گذاری­ها تعریف شدند، از ویژگی­های محیطی سیستم برای ساختن اتوماتای پتری استفاده می­کنیم. برای هر ویژگی مانندp  یک زیرشبکه درنظر می­گیریم که در آن برای هر I_i,p، یک محل منظور می­شود و محل دارای نشانه، متناظر با بازه جاری از ویژگی  pاست. حال ثابت­های t( )_t  یا  f( )_tو رخدادهای @T( )_t یا F( )_tرا که در بخش 2 توصیف شدند، به مکان­ها و گذار بین این مکان­ها منتسب می کنیم.

ویژگی­های محیطی دو نوع هستند: پایشی و کنترلی. یک ویژگی پایشی مانند "ناحیه ورود قطار" ویژگیی است که باید به وسیله سیستم پایش شود و یک ویژگی کنترلی مانند "ترمز قطار" ویژگیی است که باید برای کنترل محیط مانند قطار استفاده شود. پس از آن که زیرشبکه­ها برای ویژگی­ها مشخص شدند، یک شبکه سراسری از اتصال زیرشبکه­های حاصل به دست می­آوریم. زیرشبکه­ها، شبکه‌های پتری هستند که برای ویژگی­های پایشی و کنترلی ساخته شده­اند و شبکه سراسری، در حقیقت اتصال بین این دو نوع ویژگی­های متناظر را نشان می­دهد. برای مثال، در سیستم حفاظت قطار، ویژگی­های "سرعت قطار" و "ناحیه ورود قطار" که ویژگی­های پایشی هستند، برای تعیین وضعیت "ترمز قطار" که ویژگی کنترلی است، استفاده می‌شوند. بنابراین، زیرشبکه­های پتری حاصل از ویژگی­های پایشی به زیرشبکه­های پتری حاصل از ویژگی‌های کنترلی متصل می­شوند. سپس شبکه پتری سراسری حاصل یک توصیف مبتنی بر حالت از رفتار محیط سیستم و پاسخ­های سیستم را مشخص می­کند.

علاوه بر شبکه سراسری پتری، شبکه‌ای نیز برای نقض نیازهای کاربران سیستم ساخته می­شود. عمل کردن هر گذار در این شبکه با یک نشانه­گذاری قابل دسترس رابطه (17) نشان داده می­شود که به معنی نقض یک نیاز است. این نقض نیاز کاربر، به خاطر بروز یک رخداد و برقراری یک یا چند ثابت است. وقتی رابطه 17 برای نقض یک نیاز استفاده می­شود، نماد m_j(p) یک حالت (نشانه­گذاری) امن و نماد m_j+1(p) یک حالت (نشانه­گذاری) ناامن یا بحرانی را نشان می­دهد. عبارت @T( )_tبه این معنی است که اگر گذار عمل کند، مقدار In_i,pدر مکان ورودی شبکه (که یک مکان امن است) false است و در مکان خروجی (که یک محل ناامن یا بحرانی است) برقرار می شود ((true. به طور مشابه، عبارت @F( )_t به این معنی است که مقدار In_i,pدر مکان ورودی شبکه برقرار است (true) و در مکان خروجی شبکه برقرار نیست (false). عبارت     t( )_t,t+1 به این معنی است که مقدار In_j,rدر مکان ورودی برقرار است(true) و وقتی گذار عمل می­کند، همچنان برقرار باقی می ماند. به طور مشابه عبارت           f( )_t,t+1 به این معنی است که مقدار In_j,rدر هردو مکان برقرار نیست. چنین توصیفی نشان دهنده حالت­های ناامن یا بحرانی (یعنی نقض یک نیاز کاربر) است که برای وارسی حین اجرای عملیات سیستم استفاده می­شود. اگر یک مکان در شبکه پتری را یک حالت حین اجرا در نظر بگیریم، شبکه پتری پلی روی شکاف بین رخدادهای محیطی و عملیات حین اجرای سیستم خواهد بود که برای وارسی حین اجرای رفتار سیستم به منظور مطابقت با نیازهای ایمنی مبتنی بر دامنه و سطح بالای کاربران استفاده می شود.

4- طراحی شبیه­ساز پایشگر

هنگامی که یک رخداد در محیط سیستم اتفاق می­افتد، پایشگر، نشانه­گذاری جاری در شبکه پتری نقض نیازها که یک نشانه­گذاری امن است و همچنین، رخداد و ثابت­هایی را که معرف شرایط محیط هستند، می­گیرد. اگر گذاری از شبکه پتری حاصل بتواند عمل شود، نشان دهنده این است که پاسخ سیستم نامطلوب بوده و یک نقض رخ­داده است. برای مثال، در سیستم حفاظت قطار که قطار وارد ناحیه هشدار می­شود و سرعت بالا دارد، مشخص می­شود که سیستم سرعت قطار را کنترل نکرده ­است و نقض یک نیاز کاربر محسوب می­شود. این نقض با عمل­کردن یک گذار در شبکه پتری کشف می­شود. اگر سرعت قطار پایین باشد، هیچ گذاری عمل نمی­کند و در نتیجه هیچ نقض نیازی نداریم.

همان طور که در بخش 2-2 بیان شد، یک رخداد به عنوان تغییر مقدار یک ویژگی تعریف می­شود که به ایجاد یک گذار از بازه جاری ویژگی به بازه بعدی یا قبلی آن منجر می‌شود. بنابراین، برای تعیین این که آیا اتفاقی رخ داده است یا نه، پایشگر مقدار تغییر­یافته یک ویژگی را از محیط سیستم دریافت می­کند و آن را با می­نیمم مقدار هر بازه از آن ویژگی مقایسه می­کند تا بازه متناظر در ویژگی را تعیین کند. پس از آن، پایشگر پاسخ سیستم را با پاسخ صحیح در بازه متناظر مقایسه می­­کند. متوسط زمان مقایسه از مرتبه n/2 است که n تعداد بازه­های ویژگی است.

برای شبیه­سازی پایشگر در کنترل سرپرستی، مکانیسمی برای اداره رخدادهای همروند لازم است، زیرا پایشگر باید قادر به دریافت و اداره رخدادهایی که به صورت همروند در محیط سیستم رخ می­دهد، باشد. به طور سنتی، الگوی برنامه­نویسی چندنخی برای پشتیبانی همروندی در رایانه‌های تک­هسته­ استفاده می­شود، اما رشد فزاینده پردازنده­های چندهسته، الگوهای جدید همروندی را در استفاده از پردازنده­ها ایجاد کرده­است. علاوه براین، پردازنده­های چند­هسته می­توانند برای افزایش کارآیی اجرای برنامه ها در اداره داده­ها و وظایف موازی، مدیریت شوند. کتابخانه موازی وظایف (TPL) کتابخانه­ای در محیط .NET است که برنامه­نویسان را برای استفاده از پردازنده‌های چندهسته در اجرای موازی برنامه­ها، توانا می‌سازد. در TPL، یک وظیفه به یک نخ منتسب می شود و سپس وظایف موازی به صورت نخ­های همروند اجرا می‌شوند. TPL مجموعه‌ای از واسط‌های برنامه‌نویسی کاربردی را فراهم می‌سازد که به وسیله آنها برنامه‌نویسان قادر می‌شوند عملیاتی مانند انتظار برای اتمام وظایف، لغو وظایف، ایجاد وظایف طولانی اجرا و اجرای وظایف را به صورت همگام اجرا کنند. علاوه براین، آن الگوی زمانبندی وظایف را با تعیین سطح همروندی و اولویت­ها، پیکربندی می­کند. پایشگر را با استفاده از مکانیسم­های: (1) نخ­، (2) وظیفه (3) ترکیب نخ و وظیفه شبیه­سازی می­کنیم و آن را در "سیستم حفاظت قطار" در بخش بعدی به کار می­بریم تا کارآیی مکانیسم­ها را با یکدیگرمقایسه­کنیم.

5- مورد مطالعه: سیستم حفاظت قطار

در این بخش روش­ پیشنهادی را برای طراحی پایشگر کنترل سرپرستی سیستم حفاظت قطار به کار می­بریم و به بررسی کارایی آن می­پردازیم. این سیستم را Cab signaling گویند که به صورت پیوسته اطلاعاتی را درباره محل و سرعت قطار دریافت می­کند تا آن را با اتخاذ کنش‌های مناسب روی سرعت و ترمز کنترل کند. این سیستم­ در بسیاری از کشورها مانند فرانسه، آلمان و ژاپن استفاده می­شود. این سیستم سیگنال­های سبز، زرد یا قرمز را برای راننده قطار نمایش می­دهد تا با توجه به آن راننده قطار سرعت خود را تنظیم کند. سیگنال­های سبز، زرد و قرمز به ترتیب معرف نواحی "امن"، "محدود" و "خطرناک" است. در ناحیه امن قطار می­تواند دارای هر سرعتی باشد، در ناحیه محدود، سرعت قطار دارای حداکثر مجازی است و در ناحیه سوم، خطر تصادف وجود دارد و سرعت باید حداقل شود. وقتی که راننده قطار به سگینال صادره توجهی ندارد و از محدوده سرعت مجاز تخطی می­کند، این سیستم وظیفه دارد تا به راننده قطار هشدار دهد. اگر راننده­ قطار به هشدارها پاسخ ندهد، سیستم خود برای عمل ترمزگیری اقدام خواهد­کرد. سرعت و ترمز قطار براساس نوع سیگنال مشخص می­شود. کنش­هایی که انتظار می­رود تا به وسیله کنترل سرپرستی سیستم اتخاذ شود، به قرار زیر است:

الف- اگر سرعت قطار زیر سرعت مجاز است، کنشی لازم نیست؛

ب- اگر قطار با سرعت خیلی زیاد در هنگام اعلام سیگنال قرمز حرکت می­کند، سیستم باید هشدار دهد و سپس اگر راننده قطار هشدار را جدی نگرفت، خود ترمز قطار را بکشد؛

ج– سیگنال زرد معرف این است که قطار باید آماده توقف حرکت در سیگنال بعدی باشد. بنابراین، کنترل کننده سرپرستی باید منحنی ترمز را محاسبه کند تا سرعت قطار را در هنگام ورود به ناحیه متعادل کاهش دهد؛

د– هنگامی که قطار متوقف شد، ترمزهایش باید آزاد شود.

در زیر بخش­های بعدی، پایشگر را با استفاده از موارد زیر شبیه­سازی می­کنیم: (1) اتوماتا؛ (2) تعیین ویژگی­های قطار به عنوان محیط سیستم و (3) توصیف رخدادها، ثابت‌ها و نیازهای ایمنی کاربران.

5-1 – مدل سازی داده­ها

با در نظرگرفتن کنش­هایی که باید به وسیله کنترل سرپرستی سیستم برای کنترل محیط سیستم گرفته شود، سه ویژگی محیطی برای کنترل­کردن محیط استفاده می­شود: (1) سرعت قطار که با نماد Pr₁ نشان می­دهیم؛ (2) ترمز قطار که با نماد Pr₂ نشان می­دهیم و (3) ناحیه­ای که قطار وارد می­شود که با نماد Pr₃ نشان می­دهیم. اولین و سومین ویژگی از نوع شمارشی (ر. ک. بخش 2-1) و دومین ویژگی یک عدد صحیح است. سیستم نواحی را که قطار وارد می­شود، پایش می­کند و بر اساس آن قطار را از طریق سرعت و ترمز آن کنترل می­کند. محاسبات برای اعمال ترمز و کاهش سرعت قطار به وسیله نرم­افزار سیستم انجام می‌شود.

Pr₁: VELOCITY = ¢⁺ = {v₁, v₂, . . ., v_n}       v_i < for i < j

Pr₂: BRAKE = {putOn, putOff}

Pr₃: REGION = {free, moderate, cautionary}

براساس بخش 2-1 ، ویژگی Pr₁ را به بازه‌های جدا از هم و متناهی با رابطه ترتیب <” “ تقسیم می‌کنیم؛ به طوری که برای هر دو بازه متوالی، مانند [a₁…a_j)  و [a_j+1…a_m)  سوپرمم اولین بازه و می­نیمم دومین بازه است. براساس نظر خبره سیستم، سرعت کمتر از یک مقدار مشخص، مانند v_i معرف سرعت مجاز در همه وضعیت­هاست و سرعت بین دو مقدار مشخص مانند v_i و v_j وقتی مجاز است که قطار سیگنال قرمزی را دریافت نکند و سرعت بیش از مقدار v_j وقتی مجاز است که قطار از سیستم سیگنال سبز دریافت کند. در نتیجه، ویژگی Pr₁ به سه بازه ،  و تقسیم می­شود که:

VELOCITY = ¢⁺ = {v₁, v₂, . . ., v_n} = È È  :   = [v₁…v_i), =[v_i… ), =[ … v_n)

پس از تعیین بازه­ها، شاخص‌ها را تعریف می‌کنیم. فرض کنید که بازه ، iامین بازه ویژگی Pr₁ و t یک شماره توالی باشد که معرف یک ترتیب روی مقادیر اندازه‌گیری شده ویژگی Pr₁ باشد. یک شاخص روی بازه I که با ( )_tنشان داده می­شود، یک نگاشت برای بازه  در زمان t است (رابطه 18).

شاخص­های ،  و  معرف نمادهای "کم"، "متوسط" و "زیاد" هستند. ویژگی Pr₂ (برای ترمز) شامل دو بازه [putOn] و[putOff] با مقادیر منطقی و ویژگی Pr₃ (برای ناحیه) شامل سه بازه free، moderate و cautionary با مقادیر شمارشی است. در حقیقت، هر بازه یک کمیت است که نشان دهندة مجموعه‌ای از مقادیر است. این کمیت‌ها به عنوان شاخص‌های بازه‌ای منظور می‌شوند:

= putOn, = putOff

= free, = moderate, =cautionary

همان طور که در بخش 4 بیان شد، هنگامی که مقدار یک ویژگی محیطی تغییر می­کند، پایشگر آن را از محیط سیستم دریافت می­کند و آن را با مینیمم مقدار هر بازه از ویژگی مقایسه می­کند تا بازه متناظر با آن را تعیین کند. با تعیین بازه، کنش مورد انتظار سیستم مشخص می­شود.سپس پایشگر کنش مورد انتظار را با پاسخ واقعی سیستم مقایسه می­کند که درستی رفتار سیستم مشخص شود.

5-2- تعریف رخداد و ثابت

براساس رابطه­های (7) و (8) (یک رخداد به معنی تغییر بازه در یک خصیصه است) و رابطه­های (15) و (16) (یک ثابت به معنی عدم تغییر بازه یک ویژگی در هنگام یک رخداد است)، ما رخدادها و ثابت‌های محیطی سیستم حفاظت قطار را تعریف می­کنیم. در ارتباط با شاخص­های بازه­ای برای ویژگی Pr₃ (ناحیه آزاد، محدود و هشدار) رخدادها و ثابت­های زیر را می­توان داشت:

T(free)_t , @F(free)_t, @T(moderate)_t,F(moderate)_t, @T(cautionary)_t and @F(cautionary)_t

t(free)_t,t+1 , f(free)_t,t+1, t(moderate)_t,t+1,f(moderate)_t,t+1, t(cautionary)_t,t+1 and f(cautionary)_t,t+1

توجه داشته باشید که رخداد "@F" می‌تواند با رخداد "@T" روی بازه دیگر تعریف شود. برای مثال، رخداد "@F(moderate)" زمانی رخ می‌دهد که "@T(free)_t" یا "@T(cautionary)_t" رخ دهد. به طور مشابه یک ثابت از نوع "t" می­تواند با دو ثابت "f" بیان شود. برای مثال، ثابت "t(free)_t,t+1" می­تواند با ثابت‌های "f(moderate)_t,t+1" و "f(cautionary)_t,t+1" بیان شود. به طور مشابه، رخدادها و ثابت­ها برای ویژگی­های Pr₁ و Pr₂ تعریف می­شوند.

5-3- نیازهای ایمنی

با استفاده از تعریف نیاز ایمنی (بخش 2-4 را ملاحظه کنید) و کنش­هایی که باید به وسیله سیستم در برابر رخدادهای محیطی انجام شود (این کنش­ها در بخش 5 با موارد الف تا د مشخص شدند)، نیازهای ایمنی را برای سیستم حفاظت قطار تعیین می­کنیم. در ارتباط با کنش "ب" در بخش 5، یک رخداد بد وجود دارد که باید به وسیله پایشگر به صورت زیر هشدار داده­ شود. هنگامی که قطار می­خواهد وارد ناحیه هشدار شود، سیستم باید یک سیگنال قرمز را برای قطار صادر­کند. بنابراین، یک رخداد بد اتفاق خواهد افتاد اگر سیستم چنین سیگنالی را صادر­نکند یا اینکه راننده قطار توجهی به آن نکند. در این راستا، نقض­های نیازهای ایمنی عبارتند از: (1) قطار با سرعت بالا در ناحیه هشدار حرکت می­کند و (2) ترمز قطار در ناحیه هشدار آزاد است. این دو نقض را با SRV₁ و SRV₂ تعریف می­کنیم و با رابطه­های (19) و (20) نشان می­دهیم.

در ارتباط با کنش "ج" در بخش 5، یک رخداد بد وجود دارد که باید به وسیله پایشگر به شیوه زیر هشدار داده شود: هنگامی که قطار می‌خواهد در سیگنال بعدی توقف کند، سیستم باید یک سیگنال زرد را صادر کند. بنابراین، یک رخداد بد رخ خواهد داد وقتی که سیستم، سیگنالی را صادر نکند (این می‌تواند به دلیل عدم محاسبه صحیح منحنی ترمز کاهش سرعت قطار باشد) یا این که راننده قطار، سرعت قطار را کاهش ندهد. بنابراین، نقض‌های نیازهای ایمنی که با SRV₃ و SRV₄ (رابطه‌های 21 و 22) نشان داده می­شوند، عبارتند: از (1) سرعت قطار در هنگام ورود به ناحیه محدود بالاست و کاهش نمی­یابد و (2) وقتی قطار وارد ناحیه محدود می­شود، راننده قطار ترمز نمی­گیرد.

نقض­های SRV₁ و SRV₂  بحرانی و نقض‌های SRV₃ و SRV₄ ناامن هستند. به ترتیب نقض­های بحرانی و ناامن هستند. یک نقض بحرانی معرف یک موقعیت خیلی خطرناک است، در حالی که یک نقض ناامن معرف موقعیتی است که می­تواند به وضعیت خطرناک منجر شود.

در ارتباط با کنش "الف" در بخش 5، هیچ نیاز ایمنی وجود ندارد، زیرا هیچ رخداد بدی اتفاق نمی‌افتد حتی اگر سیستم سیگنال قرمزی را صادر کند یا این که دستور ترمز گرفتن بدهد و به طور مشابه، در ارتباط با کنش "د" در بخش 5، هیچ نیاز ایمنی وجود ندارد، زیرا اگر ترمز آزاد نشود، رخداد بدی اتفاق نمی­افتد.

5-4- ساخت اتوماتا

براساس بخش 3-1، دو اتوماتا ساخته می­شود: (1) برای نمایش رفتار سیستم و (2) برای نمایش نقض­های بحرانی و ناامن نیازهای ایمنی. از اتوماتای اول برای پایش رفتار سیستم و از اتوماتای دوم برای کنترل سیستم استفاده می­شود. برای ساختن اتوماتای اول، یک شبکه برای هر ویژگی محیطی ساخته می­شود و سپس یک شبکه سراسری با استفاده از اتصال هر شبکه ایجاد می شود. براساس بخش 5-1، محیط سیستم یعنی قطار، 3 ویژگی Pr₁، Pr₂ و Pr₃ دارد که به ترتیب شامل 3، 2 و 3 بازه است. بنابراین، سه شبکه پتری برای ویژگی­های Pr₁، Pr₂ و Pr₃ ساخته می­شود (نک. بخش 3-1). در زیر، مجموعه­های P، T و m0 تا m2 به ترتیب مکان‌ها، گذارها و نشانه‌گذاری‌ها را برای شبکه اول توصیف می­کند که محل­های P₀ تا P₂ معرف شاخص‌های بازه­ای "کم"، "متوسط" و "زیاد" برای سرعت هستند و نشانه­گذاری­های m₁ و m₂ از نشانه­گذاری m₀ بر طبق رابطه 17 ایجاد می­شوند.

P = {P₀, P₁, P₂}, T = {T₀, T₁, T₂, T₃}, •T₀={P₀}, T₀•={P₁},  •T₁={P₁}, T₁•={P₂}, •T₂={P₁}, T₂•={P₀},

•T₃={P₂}, T₃•={P₁},  m₀={1,0,0}, m₁={0,1,0}, m₂={0,0,1}

به طور مشابه، مجموعه­های P´،  T´ و m´₀ و m´1 به ترتیب مکان­ها، گذارها و نشانه­گذاری‌ها را برای شبکه دوم توصیف می­کند که محل‌های P'₁ و P'2به ترتیب معرف شاخص­های بازه‌های "ترمز گرفته­شده" و "ترمز آزاد" و نشانه­گذاری از نشانه­گذاری بر طبق رابطه (17)، ایجاد می‌شود.

P' = {P'₁, P'₂}, T' = {T₄, T₅}, •T₄={P'₁}, T₄•={P'₂}, •T₅={P'₁}, T₅•={P'₂}, m'₀={1,0}, m'₁={0,1}

به طور مشابه، مجموعه‌های P´،  T´ و m´₀ و m´₂ به ترتیب مکان ها، گذارها و نشانه‌گذاری‌ها را برای سومین شبکه توصیف می‌کند که محل‌های P"₁ ،  P"₂و  P"₃  معرف شاخص بازه‌های "آزاد"، "محدود" و "هشدار" است و نشانه‌گذاری‌های m´₁ و m´₂ از نشانه‌گذاری‌m´₀ براساس رابطه (17) ایجاد می­شود.

P" = {P"₁, P"₂, P"₃}, T" = {T₆, T₇, T₈, T₉}, •T₆={P"₁}, T₆•={P"₂}, •T₇={P"₂}, T₇•={P"₁}, •T₈={P"₂}, T₈•={P"₃}, •T₉={P"₃}, T₉•={P"₂}, m"₀={1,0,0}, m"₁={0,1,0}, m"₂={0,0,1}

شکل های  (1)،(2) و (3) به ترتیب شبکه‌های پتری را برای سه شبکه فوق‌الذکر نشان می‌دهد که مکان های نشانه‌دار معرف مکان‌های جاری در هر شبکه است.

شکل (1):شبکه پتری برای ویژگی Pr₁

شکل (2): شبکه پتری برای ویژگی Pr₂

شکل (3):شبکه پتری برای ویژگی Pr₃

ویژگی Pr₃ که معرف ناحیه(REGION) است، یک ویژگی پایشی است، زیرا به وسیله سیستم نظارت می­شود، در حالی که ویژگی­هایPr₁  و Pr₂  که به ترتیب معرف سرعت (VELOCITY) و ترمز(BRAKE) است، نقش ویژگی­های هم ­پایشی و هم­کنترلی را ایفا می­کنند زیرا هر دو ویژگی به وسیله سیستم پایش می‌شوند، تا اگر لازم باشد تنظیم (کنترل) می­شوند. شکل (4)، شبکه سراسری است که با استفاده از زیر شبکه‌ها ساخته شده است. در این شکل، زیر­شبکه مربوط به ویژگی Pr₃(سمت چپ شکل) ورودی به سیستم است، در حالی که زیر شبکه­های مربوط به ویژگی‌های  Pr₁ و Pr₂ (بالا و سمت راست شکل) هم ورودی و هم خروجی سیستم است.

اکنون به روش ساخت اتومای نقض نیازها می پردازیم که نشان دهنده نقض‌های بحرانی و ناامن نیازهای ایمنی است و با توجه به رابطه‌های (19) تا (23) به دست می‌آید. برای این که رخداد  در رابطه (19) عمل کند، گذار T₈ در شکل (3) باید توانا باشد و ثابت t(high)_{}در رابطه (19) معرف این است که محل P₂ در شکل 1، یک نشانه دارد. رخداد  به همراه ثابت  در رابطه (19) با شکل(5)نشان داده می‌شود که در آن نشانه‌گذاری m₀=[0, 0, 1, 0, 1, 0]، نشانه‌گذاری اولیه است. هنگامی‌که گذار T₈ در شکل (5) عمل می‌کند، نشانه‌ها از محل‌های P₂  و P²₂  حذف می‌شود و محل P²₃  دارای نشانه می­شود که با نشانه‌گذاری m₁=[0, 0, 0, 0, 0, 1] مشخص می‌شود. نشانه گذاری m₁ از نشانه­گذاری m₀ به وسیله پایشگر با استفاده از رابطه (17) به دست می­آید. اتوماتای نقض برای رابطه‌های (20) تا (22) به صورت مشابه ساخته می‌شود.

شکل (4): شبکه پتری سیستم حفاظت قطار

شکل (5): اتوماتای نقض نیاز SRV₁

5-5- شبیه‌سازی پایشگر

ما از زبان C# همراه با نخ­ها و از کتابخانه TPL در محیط .NET برای : (1)شبیه­سازی رخدادهای همروند و ثابت­ها در رفتار سیستم و (2) مشاهده و وارسی آنها به وسیله پایشگر در مقابل الگوهای نقض نیازها استفاده می‌کنیم. این الگوهاکه در شکل (5)نشان داده شده است، با یک همروندی نامطلوب تعیین می­شود. این الگوهای همروند در شکل ترکیب رخدادها و ثابت­ها روی ویژگی‌های Pr₁ تا Pr₃ ظاهر می­شود (نک. بخش 5-1). برای مثال نقض  Ù  در شکل (5)، یک نمونه همروند است که معرف رخداد ورود قطار به ناحیه هشدار در هنگام بالا بودن سرعت قطار (که یک ثابت است) است. برای شبیه­سازی با استفاده از کتابخانه TPL، برای هر اجرای همروند، یک وظیفه در نظر می­گیریم. سیستم کنترل قطار و محیط آن (قطار) با سه اجرای همروند مدل می­شوند: (1) رفتار قطار در ناحیه؛ یعنی ورود یا خروج قطار به یا از ناحیه، (2) رفتار سرعت قطار یعنی افزایش یا کاهش سرعت و (3) رفتار ترمز قطار یعنی گرفتن یا آزاد کردن آن. همچنین، یک وظیفه همروند برای اجرای برنامه پایشگر منظور می­شود تا رخدادها و ثابت­های گزارش شده به وسیله سه وظیفه فوق‌الذکر را دریافت کند.

ما از کتابخانه TPL و نخ‌ها برای شبیه‌سازی اجراهای همروند استفاده می­کنیم، اما کتابخانه TPL، دید روشن‌تری از رفتار سیستم و محیط آن می­دهد. انتساب وظایف به هسته‌های پردازنده به صورت پویاست، در حالی در مکانیسم چندنخی انتساب هر نخ اجرا به یک هسته به صورت ایستاست. روش پویا با سوئیچ کردن بین هسته­های یک پردازنده، یک اجرا را به هر هسته از پردازنده که بیکار است، می­دهد در حالی که در روش ایستا، یک هسته وقف یک نخ می­شود و از هسته بیکار پس از اتمام وظیفه‌اش استفاده نمی­شود. در نتیجه، شبیه‌سازی شبکه‌های همروند با استفاده از کتابخانه TPL دید واقعی‌تری از همروندی در سیستم­های حقیقی و محیط آنها را می‌دهد. علاوه بر این، وقتی تعداد فرآیندهای همروند افزایش می‌یابد، استفاده از کتابخانه TPL به کارآیی محاسباتی سطح بالاتری روی پردازنده‌های چند هسته‌ای نسبت به استفاده الگوی چندنخی منجر می‌شود.

شکل (6) زمان اجرای شبیه سازی را با چهار مکانیسم نشان می­دهد: (1) تک نخی؛ (2) چندنخی؛ (3) مبتنی بر وظیفه و (4) ترکیب چندنخی و مبتنی بر وظیفه. ما این مکانیسم‌ها را روی یک پردازنده دو هسته برای 10، 20 و 30 قطار به کار بردیم .شکل (6) زمان اجرا را نشان می­دهد که در آن محور عمودی نشان دهنده زمان و محور افقی نشان دهنده مکانیسم‌های 1 تا 4 است. میله­ها زمان اجرا را برای 10، 20 و 30  قطار نشان می­دهد. همان طور که شکل (6) نشان می‌دهد، مکانیسم مبتنی بر وظیفه حداقل زمان اجرا را دارد. شکل‌های (7) تا (9)بهره­وری هسته­ها را در استفاده از مکانیسم­ها برای 50  قطار نشان می­دهد. در حالی که شکل‌های (7) و (9) نشان می­دهد که مکانیسم‌های چندنخی و ترکیبی (چندنخی و مبتنی بر وظیفه) از 68% و 54% و هسته­ها استفاده کرده­اند، شکل (8) نشان می­دهد که مکانیسم مبتنی بر وظیفه از هسته­ها نزدیک 100% بهره می‌گیرد.

6- ارزیابی کارآیی روش پیشنهادی

این بخش کارآیی روش پیشنهادی را ارزیابی می­کند. ما روش پیشنهادی را برای نیازهای ایمنی کاربران سیستم حفاظت قطار به کار گرفتیم تا پایشگر سیستم را مدل و شبیه­سازی کنیم. ارزیابی قدم­های روش پیشنهادی به شرح زیر است: (1) کارآیی مستندسازی نیازهای کاربران. در ارتباط با سیستم­های حساس به ایمنی، کارشناس سیستم مستندات نیازها را مرور می­کند تا مطمئن شود که آنها سازگار و صحیح هستند. چنین مرورهایی کارآ خواهد بود اگر مستندات واضح و قابل فهم برای کارشناس باشد. برای محقق شدن این ویژگی، ما نیازهای ایمنی مبتنی بر دامنه مسأله را به زبان کارشناس و خبره سیستم بیان کردیم و سپس انتزاع کمیت­های سیستم را با تقسیم آنها به کمیت­های پایشی و کنترلی نشان دادیم. (2) کارآیی توصیف نیازها. در سیستم­های حساس به ایمنی، توصیف نیازها باید قابل وارسی به صورت رسمی (مبتنی بر ریاضی) باشد تا بتوان درستی و سازگاری آنها را نشان داد. (3) کارایی طراحی نیازها. با نگاشت نیازهای ایمنی به یک اتوماتا، یک مدل انتزاعی ساختیم که یک طراحی کارآ را برای پیاده­سازی پایشگر فراهم­کرد. برای نشان دادن کارایی طراحی، آن را برای پایشگر کنترل سرپرستی حفاظت قطار به کار بردیم.

شکل (6): زمان اجرا با مکانیسم‌های (1) تک نخی، (2)چند نخی،         شکل (7): بهره‌برداری از هسته‌ها در برنامه چند نخی برای

              (3) وظیفه‌ای و (4) ترکیبی                                                 50  قطار

شکل (8): بهره‌برداری از هسته‌ها در برنامه چند وظیفه‌ای                 شکل (9): بهره‌برداری از هسته‌ها در برنامه ترکیب چند وظیفه‌ای

                        برای 50  قطار                                                                     و چند نخی