特許 7551966 モデル検証装置及びモデル検証方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-09-09

(45)【発行日】2024-09-18

(54)【発明の名称】モデル検証装置及びモデル検証方法

(51)【国際特許分類】

   G06N 99/00 20190101AFI20240910BHJP

   G06F 17/10 20060101ALI20240910BHJP

   G06F 30/20 20200101ALI20240910BHJP

【ＦＩ】

G06N99/00 180

G06F17/10 Z

G06F30/20

【請求項の数】 7

(21)【出願番号】P 2020203366

(22)【出願日】2020-12-08

(65)【公開番号】P2022090822

(43)【公開日】2022-06-20

【審査請求日】2023-10-05

【新規性喪失の例外の表示】特許法第３０条第２項適用 令和２年９月８日 ウェブサイト＜ｈｔｔｐｓ：／／ｗｈｏｖａ．ｃｏｍ／ｐｏｒｔａｌ／ｗｅｂａｐｐ／ｅｓｗｅ＿２０２００９／Ａｇｅｎｄａ／１１４５７４３＞に掲載

【新規性喪失の例外の表示】特許法第３０条第２項適用 令和２年９月８日 ウェブサイト＜ｈｔｔｐｓ：／／ｗｗｗ．ｂｉｌｉｂｉｌｉ．ｃｏｍ／ｖｉｄｅｏ／ＢＶ１ｍ５４ｙ１Ｃ７Ｃｙ？ｐ＝３＞に掲載

【新規性喪失の例外の表示】特許法第３０条第２項適用 令和２年９月２２日 ウェブサイト ＥＭＢＥＤＤＥＤ ＳＹＳＴＥＭＳ ＷＥＥＫ ２０２０＜ｈｔｔｐｓ：／／ｗｈｏｖａ．ｃｏｍ／ｅｍｂｅｄｄｅｄ／ｓｕｂｓｅｓｓｉｏｎ／ｅｓｗｅ？２０２００９／１１０２１４６／１２４３１０４／？ｖｉｅｗ＝＞に掲載

【新規性喪失の例外の表示】特許法第３０条第２項適用 令和２年１０月２日 ウェブサイト＜ｈｔｔｐｓ：／／ｉｅｅｅｘｐｌｏｒｅ．ｉｅｅｅ．ｏｒｇ／ｄｏｃｕｍｅｎｔ／９２１１４６６＞に掲載

【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２９年度、国立研究開発法人科学技術振興機構、戦略的創造研究推進事業・総括実施型研究（ＥＲＡＴＯ）「蓮尾メタ数理システムデザインプロジェクト」に係る委託業務、産業技術力強化法第１７条の適用を受ける特許出願

(73)【特許権者】

【識別番号】504202472

【氏名又は名称】大学共同利用機関法人情報・システム研究機構

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(72)【発明者】

【氏名】張 振亜

(72)【発明者】

【氏名】パオロ アルカイーニ

(72)【発明者】

【氏名】蓮尾 一郎

【審査官】宮司 卓佳

(56)【参考文献】

【文献】特開２０１６－５７９６９（ＪＰ，Ａ）

【文献】特開２０１１－８６７５（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１３／０００７６８０（ＵＳ，Ａ１）

【文献】特開２０１４－２０９２７４（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１６／２９２３０７（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｎ ９９／００

Ｇ０６Ｆ ３０／２０

Ｇ０６Ｆ １７／１０

Ｇ０５Ｂ ２３／００

Ｇ０６Ｆ １１／３６

(57)【特許請求の範囲】

【請求項1】

探索空間からサンプルｘを抽出するサンプル抽出部と、
所定の変換規則に従って、前記抽出されたサンプルｘをモデルＭに対する制約条件ψによる制約条件付き探索空間上の入力ｕに変換する空間変換部と、
前記入力ｕに対する前記モデルＭの出力Ｍ（ｕ）が仕様φを充足するか判定し、前記出力Ｍ（ｕ）が仕様φを充足しない場合、前記入力ｕを反例として決定する反例決定部と、
を有するモデル検証装置。

【請求項2】

前記探索空間は、超立方体又は超直方体から構成され、
前記所定の変換規則は、比例変換である、請求項１記載のモデル検証装置。

【請求項3】

前記出力Ｍ（ｕ）が前記仕様φを充足する場合、所定の探索アルゴリズムに従って前記探索空間から次のサンプルｘ'を前記サンプル抽出部に抽出させ、前記抽出したサンプルｘ'に対して前記空間変換部及び前記反例決定部を起動させる繰り返し処理を制御する繰り返し制御部を更に有する、請求項１又は２記載のモデル検証装置。

【請求項4】

前記繰り返し制御部は、前記反例が検出されるか、又は、所定の終了条件が充足されるまで、前記繰り返し処理を起動する、請求項３記載のモデル検証装置。

【請求項5】

前記反例決定部は、前記出力Ｍ（ｕ）及び前記仕様φから前記仕様φの充足度を導出するロバストネス関数ｒを利用して、前記仕様φに対する前記出力Ｍ（ｕ）の充足度を決定する、請求項１乃至４何れか一項記載のモデル検証装置。

【請求項6】

前記所定の探索アルゴリズムは、山登り法であり、
前記サンプル抽出部は、前記サンプルｘに対するロバストネス値の履歴に基づき次のサンプルｘ'を抽出する、請求項５記載のモデル検証装置。

【請求項7】

プロセッサが、探索空間からサンプルｘを抽出するステップと、
前記プロセッサが、所定の変換規則に従って、前記抽出されたサンプルｘをモデルＭに対する制約条件ψによる制約条件付き探索空間上の入力ｕに変換するステップと、
前記プロセッサが、前記入力ｕに対する前記モデルＭの出力Ｍ（ｕ）が仕様φを充足するか判定し、前記出力Ｍ（ｕ）が仕様φを充足しない場合、前記入力ｕを反例として決定するステップと、
を有するモデル検証方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、モデル検証装置及びモデル検証方法に関する。

【背景技術】

【0002】

物理要素とデジタル要素とを有するハイブリッドシステムでは、形式検証を実行する際、その探索範囲が無限であるため、検証は困難を伴う。これまでに提案されている検証手法として、ハイブリッドシステムの仕様に違反する反例（ｃｏｕｎｔｅｒｅｘａｍｐｌｅ）を探索する反例生成手法（ｆａｌｓｉｆｉｃａｔｉｏｎ）が知られている。

【0003】

典型的な反例生成手法では、ブラックボックスモデルとしてのハイブリッドモデルＭと、ハイブリッドモデルＭが充足すべき仕様φに対して、仕様φを充足しないハイブリッドモデルＭへの入力ｕ^＊（反例）が、確率的山登り（ｓｔｏｃｈａｓｔｉｃ ｈｉｌｌ－ｃｌｉｍｂｉｎｇ）法などを利用して探索される。

【発明の概要】

【発明が解決しようとする課題】

【0004】

一方、モデル検証では、モデルＭへの入力に制約条件ψが課されることもある。例えば、アクセルとブレーキとを入力とし、車速を出力する自動車の速度制御モデルでは、アクセルとブレーキの双方が同時に作動することはない。このため、反例探索のためのアクセルとブレーキの入力の組み合わせに関する探索範囲には、このようなケースを排除するよう制約条件ψが課される。

【0005】

このような入力に制約条件が課された反例探索問題に関する解法として、Ｃｏｎｓｔｒａｉｎｔ Ｅｍｂｅｄｄｉｎｇ（ＣＥ）法やＬｅｘｉｃｏｇｒａｐｈｉｃ法（ＬＭ）が知られている。しかしながら、これらの解法は、探索空間のうち制約条件を充足しない領域に対してもサンプリングが行われ、計算のオーバヘッドが大きくなる。

【0006】

本開示の課題は、制約条件付き探索空間に対する効率的なモデル検証技術を提供することである。

【課題を解決するための手段】

【0007】

上記課題を解決するため、本発明の一態様は、探索空間からサンプルｘを抽出するサンプル抽出部と、所定の変換規則に従って、前記抽出されたサンプルｘをモデルＭに対する制約条件ψによる制約条件付き探索空間上の入力ｕに変換する空間変換部と、前記入力ｕに対する前記モデルＭの出力Ｍ（ｕ）が仕様φを充足するか判定し、前記出力Ｍ（ｕ）が仕様φを充足しない場合、前記入力ｕを反例として決定する反例決定部と、を有するモデル検証装置に関する。

【発明の効果】

【0008】

本開示によると、制約条件付き探索空間に対する効率的なモデル検証技術を提供することができる。

【図面の簡単な説明】

【0009】

【図1】本開示の一実施例によるモデル検証装置を示す概略図である。

【図2】本開示の一実施例による空間変換を示す概略図である。

【図3】本開示の一実施例によるサンプルｘから入力ｕへの変換を示す概略図である。

【図4】本開示の一実施例によるモデル検証装置のハードウェア構成を示すブロック図である。

【図5】本開示の一実施例によるモデル検証装置の機能構成を示すブロック図である。

【図6】本開示の一実施例による比例変換を示す概略図である。

【図7】本開示の一実施例による比例変換を示す概略図である。

【図8】本開示の一実施例による比例変換を示す概略図である。

【図9】本開示の一実施例によるモデル検証処理を示すフローチャートである。

【発明を実施するための形態】

【0010】

以下の実施例では、制約条件が課された入力に対して物理情報システムなどのモデルの仕様充足性を検証するモデル検証装置が開示される。
［概略］
本開示の一実施例によるモデル検証装置１００は、図１に示されるように、モデルＭ、仕様φ及び制約条件ψに対して、制約条件ψを充足する入力ｕに対応するモデルＭの出力Ｍ（ｕ）のうち、仕様φを充足しない反例ｕ^＊の有無を検証する。典型的には、モデルＭは、ブラックボックスな内部構造を有し、入出力関係のみ観察可能な物理情報モデルであってもよい。本開示では、制約条件ψを充足する入力ｕの探索を容易にするため、制約条件ψを充足するモデルＭの入力領域Ｕを空間変換し、探索アルゴリズムに適した制約条件の少ない探索空間Ｘを構成し、山登り法などの探索アルゴリズムに従って探索空間Ｘ上で反例ｕ^＊を抽出するためのサンプルｘを探索する。

【0011】

例えば、図２に示されるように、制約条件ψを充足する入力領域Ｕが正方形の探索空間Ｘに空間変換される。図２（ａ）に示される具体例では、直感的には、直角二等辺三角形の制約条件付き入力領域Ｕが引き延ばされ、探索アルゴリズムに適した正方形の探索領域Ｘに空間変換される。図２（ｂ）に示される具体例では、直感的には、菱形の制約条件付き入力領域Ｕが引き延ばされ、正方形の探索領域Ｘに空間変換される。これらの空間変換は比例変換によって実現可能である。

【0012】

このようにして、制約条件付き探索領域Ｕから探索アルゴリズムに適した探索領域Ｘへの変換規則が決定されると、制約条件ψに対応した形状を有する制約条件付き探索領域Ｕで入力ｕをサンプリングする代わりに、図３に示されるように、正方形又は矩形（３次元以上の空間では、それぞれ超立方体（ｈｙｐｅｒｃｕｂｅ）や超矩形体（ｈｙｐｅｒｒｅｃｔａｎｇｌｅ）と呼ばれる）の探索領域Ｘにおいて山登り法などの探索アルゴリズムに従ってサンプルｘを探索し、抽出したサンプルｘを制約条件付き探索領域Ｕ上の点ｕに変換する。このように制約条件のない探索領域Ｘ上でサンプリングを行うことによって、山登り法による探索に必要とされる探索範囲の自由度を確保することが可能であると共に、探索空間Ｘ上で抽出したサンプルｘを制約条件付き探索空間Ｕ上の入力ｕに変換することによって、制約条件が課された入力ｕに対する効率的なモデル検証を実現することが可能になる。

【0013】

ここで、モデル検証装置１００は、例えば、図４に示されるように、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などのプロセッサ１０１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、フラッシュメモリなどのメモリ１０２、ストレージ１０３、及び入出力（Ｉ／Ｏ）インタフェース１０４によるハードウェア構成を有してもよい。

【0014】

プロセッサ１０１は、後述されるモデル検証装置１００の各種処理を実行する。

【0015】

メモリ１０２は、モデル検証装置１００における各種データ及びプログラムを格納し、特に作業用データ、実行中のプログラムなどのためのワーキングメモリとして機能する。具体的には、メモリ１０２は、ハードディスク１０３からロードされた後述される各種処理を実行及び制御するためのプログラムなどを格納し、プロセッサ１０１によるプログラムの実行中にワーキングメモリとして機能する。

【0016】

ハードディスク１０３は、モデル検証装置１００における各種データ及びプログラムを格納する。

【0017】

Ｉ／Ｏインタフェース１０４は、ユーザからの命令、入力データなどを受け付け、出力結果を表示、再生などすると共に、外部装置との間でデータを入出力するためのインタフェースである。例えば、Ｉ／Ｏインタフェース１０４は、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、通信回線、キーボード、マウス、ディスプレイ、マイクロフォン、スピーカなどの各種データを入出力するためのデバイスであってもよい。

【0018】

しかしながら、本開示によるモデル検証装置１００は、上述したハードウェア構成に限定されず、他の何れか適切なハードウェア構成を有してもよい。例えば、モデル検証装置１００による各種処理の１つ以上は、これを実現するよう配線化された処理回路又は電子回路により実現されてもよい。
［モデル検証装置］
次に、図５～８を参照して、本開示の一実施例によるモデル検証装置１００を説明する。以下の実施例では、アクセル（ｔｈｒｏｔｔｌｅ）及びブレーキ（ｂｒａｋｅ）の２つのパラメータを入力とし、車速、エンジン回転数及びギアの３つのパラメータを出力とする自動車制御モデルＭが、仕様φ「０～２９秒までは常に車速が１００未満であって、又は、２９～３０秒までは常に車速が７５より高い（ａｌｗ_{［０，２９］}（ｓｐｅｅｄ＜１００）∨ａｌｗ_{［２９，３０］}（ｓｐｅｅｄ＞７５））」を充足しない反例ｕ^＊が探索される。

【0019】

また、アクセル値及びブレーキ値はそれぞれ０～１００に正規化され、２つの入力パラメータは、各サンプリング機会ｉにおいて制約条件ψ「アクセルとブレーキとは同時には作動しない（∧_ｉ＝１（ｕｔｈｒｉ＝０∨ｕｂｒｋｉ＝０））（ｉ＝１，・・・，５）」を充足する。このような想定の下、モデル検証装置１００は、制約条件ψに従う入力ｕ＝（ｕｔｈｒ１，ｕｂｒｋ１，ｕｔｈｒ２，ｕｂｒｋ２，ｕｔｈｒ３，ｕｂｒｋ３，ｕｔｈｒ４，ｕｂｒｋ４，ｕｔｈｒ５，ｕｂｒｋ５）のうち（ただし、サンプリング間隔は６秒である）、モデルＭの出力Ｍ（ｕ^＊）が仕様φを充足しない反例ｕ^＊を探索する。

【0020】

図５は、本開示の一実施例によるモデル検証装置１００の機能構成を示すブロック図である。図５に示されるように、モデル検証装置１００は、サンプル抽出部１１０、空間変換部１２０、反例決定部１３０及び繰り返し制御部１４０を有する。

【0021】

サンプル抽出部１１０は、探索空間からサンプルｘを抽出する。サンプル抽出部１１０は、初期的には探索空間からサンプルｘをランダムに抽出し、サンプルｘに対する評価結果の取得後は、当該評価結果に基づき探索アルゴリズムに従って次のサンプルｘ'を抽出してもよい。

【0022】

一実施例では、探索空間は、山登り法などの探索アルゴリズムに適用に適した超直方体、超立方体などのシンプルな探索空間であってもよい。本実施例では、アクセルとブレーキとの２つの入力を５回サンプリングした際の反例が探索されるため、制約条件付き探索空間Ｕは１０次元のベクトル空間上の領域となる。このため、制約条件ψのない探索空間Ｘは、例えば、１０次元のベクトル空間上の超立方体又は超直方体として設定されてもよい。例えば、制約条件なし探索空間Ｘが、アクセル軸に対して［０，１００］と、ブレーキ軸に対して［０，１００］との閉区間によって規定される超立方体である場合、サンプル抽出部１１０は、当該超立方体内の点をサンプルｘ＝（ｘｔｈｒ１，ｘｂｒｋ１，ｘｔｈｒ２，ｘｂｒｋ２，ｘｔｈｒ３，ｘｂｒｋ３，ｘｔｈｒ４，ｘｂｒｋ４，ｘｔｈｒ５，ｘｂｒｋ５）として抽出し、空間変換部１２０にわたす。

【0023】

空間変換部１２０は、所定の変換規則に従って、抽出されたサンプルｘをモデルＭに対する制約条件ψによる制約条件付き探索空間Ｕ上の入力ｕに変換する。すなわち、探索領域Ｘが制約条件付き探索領域Ｕを包含する超立方体又は超直方体である場合、探索領域Ｘから制約条件付き探索領域Ｕへの変換は比例変換として規定可能であり、空間変換部１２０は、予め規定された比例変換に従ってサンプルｘを入力ｕに変換し、反例決定部１３０にわたす。

【0024】

一実施例では、空間変換部１２０は、ハイパーパラメータとして与えられる軸優先度に従ってサンプルｘを入力ｕに比例変換してもよい。具体的には、軸優先度がアクセル軸を優先させるよう規定されている場合、空間変換部１２０は、図６に示されるように、サンプルｘ＝（ｘｔｈｒ１，ｘｂｒｋ１，ｘｔｈｒ２，ｘｂｒｋ２，ｘｔｈｒ３，ｘｂｒｋ３，ｘｔｈｒ４，ｘｂｒｋ４，ｘｔｈｒ５，ｘｂｒｋ５）を入力ｕ＝（ｘｔｈｒ１，０，ｘｔｈｒ２，０，ｘｔｈｒ３，０，ｘｔｈｒ４，０，ｘｔｈｒ５，０）に変換し、サンプルｘを制約条件付き探索領域のアクセル軸上の点に変換する。

【0025】

また、軸優先度がブレーキ軸を優先させるよう規定されている場合、空間変換部１２０は、図７に示されるように、サンプルｘ＝（ｘｔｈｒ１，ｘｂｒｋ１，ｘｔｈｒ２，ｘｂｒｋ２，ｘｔｈｒ３，ｘｂｒｋ３，ｘｔｈｒ４，ｘｂｒｋ４，ｘｔｈｒ５，ｘｂｒｋ５）をｕ＝（０，ｘｂｒｋ１，０，ｘｂｒｋ２，０，ｘｂｒｋ３，０，ｘｂｒｋ４，０，ｘｂｒｋ５）に変換し、サンプルｘを制約条件付き探索領域のブレーキ軸上の点に変換する。

【0026】

しかしながら、ハイパーパラメータとして与えられる軸優先度はアクセル軸又はブレーキ軸の何れか一方に規定される必要はなく、サンプル毎に軸優先度が規定されてもよい。例えば、図８に示されるように、サンプル１，２はアクセル軸に変換され、サンプル３，４，５はブレーキ軸に変換されてもよい。

【0027】

反例決定部１３０は、入力ｕに対するモデルＭの出力Ｍ（ｕ）が仕様φを充足するか判定し、出力Ｍ（ｕ）が仕様φを充足しない場合、入力ｕを反例ｕ^＊として決定してもよい。具体的には、反例決定部１３０は、空間変換部１２０から取得した入力ｕに対してモデルＭをシミュレートし、出力Ｍ（ｕ）を取得する。例えば、モデルＭが自動車制御モデルである場合、モデルＭは、制約条件ψを充足するアクセル値又はブレーキ値の入力ｕに対して、車速等のパラメータ値を出力する。

【0028】

一実施例では、モデルＭの出力Ｍ（ｕ）を取得すると、反例決定部１３０は、出力Ｍ（ｕ）及び仕様φから当該仕様φの充足度を導出するロバストネス関数ｒを利用して、仕様φに対する出力Ｍ（ｕ）の充足度を決定してもよい。ここで、ロバストネス関数ｒは、出力Ｍ（ｕ）が仕様φをどの程度充足するかを示す値を出力する何れか適切な関数であってもよい。ロバストネス値が０などの所定の閾値を下回ると、当該入力ｕは仕様φを充足せず、反例ｕ^＊として判定されてもよい。他方、ロバストネス値が所定の閾値以上であって、かつ、相対的に大きな値を有する場合、当該入力ｕは仕様φを高い充足度で充足していると判定され、ロバストネス値が所定の閾値以上のであるが、相対的に小さな値を有する場合、当該入力ｕは仕様φを充足しているが、充足度は低いと判定される。

【0029】

例えば、このようなロバストネス関数ｒは、

【0030】

【数1】

として規定されてもよい。ここで、ｗ（ｔ）（ｓｐｅｅｄ）は、時間ｔにおけるＭ（ｕ）の車速値を表す。すなわち、ある時間ｔにおける出力Ｍ（ｕ）が仕様φを充足しない場合、ロバストネス値は負になる。また、仕様φを充足する時間ｔにおける出力Ｍ（ｕ）の充足度が高いほど、ロバストネス値は大きな値となり、仕様φを充足する時間ｔにおける出力Ｍ（ｕ）の充足度が低いほど、ロバストネス値は０に近い値となる。このようなロバストネス値の導出手法については、例えばA. Donze and O. Maler, "Robust satisfaction of temporal logic over real-valued signals", in Proc. 8^th Int. Conf. Formal Model. Anal. Timed Syst. vol. 6246, 2010, pp. 92-106などを参照されたい。

【0031】

出力Ｍ（ｕ）が仕様φを充足しない場合、反例決定部１３０は、検出したｕを反例ｕ^＊として決定し、モデルＭは仕様φを充足しないと判定する。他方、出力Ｍ（ｕ）が仕様φを充足する場合、反例決定部１３０は、出力Ｍ（ｕ）の充足度を示すロバストネス値と共に、出力Ｍ（ｕ）が仕様φを充足した旨を繰り返し制御部１４０に通知する。

【0032】

繰り返し制御部１４０は、出力Ｍ（ｕ）が仕様φを充足する場合、所定の探索アルゴリズムに従って探索空間から次のサンプルｘ'をサンプル抽出部１１０に抽出させ、抽出したサンプルｘ'に対して空間変換部１２０及び反例決定部１３０を起動させる繰り返し処理を制御する。具体的には、出力Ｍ（ｕ）が仕様φを充足する場合、繰り返し制御部１４０は、出力Ｍ（ｕ）のロバストネス値ｒをサンプル抽出部１１０にわたし、サンプル抽出部１１０は、所定の探索アルゴリズムに従ってロバストネス値ｒに基づき次のサンプルｘ'を抽出する。

【0033】

ここで、山登り法などの探索アルゴリズムは、典型的には、制約条件のない探索空間に対して適用され、制約条件付き探索空間Ｕでは好適に適用され得ない可能性がある。このため、本開示では、制約条件付き探索空間Ｕで探索アルゴリズムを適用する代わりに、超立方体や超直方体などの探索空間Ｘで探索アルゴリズムを適用し、抽出したサンプルを比例変換によって制約条件付き探索空間Ｕ上の点に変換する。

【0034】

例えば、所定の探索アルゴリズムとして山登り法が利用される場合、サンプル抽出部１１０は、現在のサンプルｘ_ｉからロバストネス値ｒが最も減少する方向において次のサンプルｘ_ｉ＋１を探索してもよい。また、サンプル抽出部１１０は、現在のサンプルｘ_ｉだけでなく、過去のサンプルｘ_ｉ－ｊ，ｘ_{ｉ－ｊ＋１}，・・・，ｘ_ｉ＝１，ｘ_ｉの履歴に基づき次のサンプルｘ_ｉ＋１を抽出してもよい。例えば、過去のサンプルｘ_ｉ－ｊ，ｘ_{ｉ－ｊ＋１}，・・・，ｘ_ｉ＝１，ｘ_ｉの回帰に基づき次のサンプルｘ_ｉ＋１を抽出してもよい。

【0035】

繰り返し制御部１４０は、サンプル抽出部１１０によって抽出された次のサンプルｘ'に対して、上述した空間変換部１２０及び反例決定部１３０における処理を繰り返すため、空間変換部１２０及び反例決定部１３０を起動する。このような繰り返し処理は、反例ｕ^＊が検出されるまで、あるいは、所定の終了条件が充足されるまで繰り返される。ここで、所定の終了条件は、所定のサンプリング回数に対して繰り返し処理が終了されるまで、などであってもよい。
［モデル検証処理］
次に、図９を参照して、本開示の一実施例によるモデル検証処理を説明する。以下のモデル検証処理では、制約条件ψによる制約条件付き探索空間Ｕ上において仕様ψを充足しないモデルＭの出力Ｍ（ｕ）を生じさせる反例ｕ^＊が探索される。当該モデル検証処理は、上述したモデル検証装置１００によって実行され、例えば、モデル検証装置１００の１つ以上のメモリに格納されたプログラムを１つ以上のプロセッサが実行することによって実現されうる。図９は、本開示の一実施例によるモデル検証処理を示すフローチャートである。

【0036】

図９に示されるように、ステップＳ１０１において、モデル検証装置１００は、探索空間Ｘからサンプルｘを抽出する。例えば、探索空間Ｘは、サンプルｘと同じ次元を有する超立方体や超直方体など、探索アルゴリズムを適用するのに適したものであってもよい。初期的には、モデル検証装置１００は、探索空間Ｘからサンプルｘをランダムに抽出してもよい。

【0037】

ステップＳ１０２において、モデル検証装置１００は、変換規則に従ってサンプルｘを制約条件付き探索空間Ｕ上の点ｕに変換する。例えば、当該変換規則は、探索空間Ｘ上の任意の点を制約条件ψによる制約条件付き探索空間Ｕの何れかの点にマッピングする全射であり、例えば、比例変換であってもよい。変換規則が比例変換である場合、モデル検証装置１００は、ハイパーパラメータとして与えられた軸優先順位に従って、サンプルｘの各成分ｘ_ｋを指定された軸方向に関して変換してもよい。アクセルとブレーキの上述した具体例のように、制約条件付き探索空間Ｕが軸上の領域から構成される場合、モデル検証装置１００は、サンプルｘの各成分ｘ_ｋをアクセル軸又はブレーキ軸上の点にマッピングする。

【0038】

具体的には、サンプルｘ＝（ｘｔｈｒ１，ｘｂｒｋ１，ｘｔｈｒ２，ｘｂｒｋ２，ｘｔｈｒ３，ｘｂｒｋ３，ｘｔｈｒ４，ｘｂｒｋ４，ｘｔｈｒ５，ｘｂｒｋ５）及びアクセル軸を優先するハイパーパラメータ（例えば、（１，０，１，０，１，０，１，０，１，０）など）が与えられると、モデル検証装置１００は、サンプルｘをｕ＝（ｘｔｈｒ１，０，ｘｔｈｒ２，０，ｘｔｈｒ３，０，ｘｔｈｒ４，０，ｘｔｈｒ５，０）に比例変換する。

【0039】

また、サンプルｘ＝（ｘｔｈｒ１，ｘｂｒｋ１，ｘｔｈｒ２，ｘｂｒｋ２，ｘｔｈｒ３，ｘｂｒｋ３，ｘｔｈｒ４，ｘｂｒｋ４，ｘｔｈｒ５，ｘｂｒｋ５）及びブレーキ軸を優先するハイパーパラメータ（例えば、（０，１，０，１，０，１，０，１，０，１）など）が与えられると、モデル検証装置１００は、サンプルｘをｕ＝（０，ｘｂｒｋ１，０，ｘｂｒｋ２，０，ｘｂｒｋ３，０，ｘｂｒｋ４，０，ｘｂｒｋ５）に比例変換する。

【0040】

また、サンプルｘ＝（ｘｔｈｒ１，ｘｂｒｋ１，ｘｔｈｒ２，ｘｂｒｋ２，ｘｔｈｒ３，ｘｂｒｋ３，ｘｔｈｒ４，ｘｂｒｋ４，ｘｔｈｒ５，ｘｂｒｋ５）及びハイパーパラメータ（１，０，０，１，０，１，１，０，１，０）が与えられると、モデル検証装置１００は、サンプルｘをｕ＝（ｘｔｈｒ１，０，０，ｘｂｒｋ２，０，ｘｂｒｋ３，ｘｔｈｒ４，０，ｘｔｈｒ５，０）に比例変換する。

【0041】

なお、探索空間Ｘが正規化された超立方体などから構成される場合、ハイパーパラメータは適宜スカラー倍されてもよい。

【0042】

ステップＳ１０３において、モデル検証装置１００は、モデルＭからの出力Ｍ（ｕ）が仕様φを充足するか判定する。例えば、上述したアクセルとブレーキの具体例では、モデル検証装置１００は、入力ｕに対してモデルＭをシミュレートし、モデルＭからの出力Ｍ（ｕ）が仕様φ「０～２９秒までは常に車速が１００未満であって、又は、２９～３０秒までは常に車速が７５より高い（ａｌｗ_{［０，２９］}（ｓｐｅｅｄ＜１００）∨ａｌｗ_{［２９，３０］}（ｓｐｅｅｄ＞７５））」を充足するか判定する。出力Ｍ（ｕ^＊）によると、０～２９秒において車速が１００以上になるか、あるいは、２９～３０秒において車速が７５以下になる場合、モデル検証装置１００は、入力ｕ^＊をモデルＭの反例として決定し、モデルＭは仕様φを充足しないと判定する。他方、試行した何れの入力ｕに対しても出力Ｍ（ｕ）によると、０～２９秒において車速が１００未満であって、かつ、２９～３０秒において車速が７５を超える場合、モデル検証装置１００は、モデルＭは仕様φを充足すると判定する。

【0043】

また、モデル検証装置１００は、出力Ｍ（ｕ）及び仕様φから仕様φの充足度を導出するロバストネス関数ｒを利用して、仕様φに対する出力Ｍ（ｕ）の充足度を決定してもよい。例えば、モデル検証装置１００は、仕様φに対する出力Ｍ（ｕ）の充足度を示すロバストネス値が所定の閾値（例えば、０など）以上である場合、出力Ｍ（ｕ）は仕様φを充足すると判定し、ロバストネス値が所定の閾値未満である場合、出力Ｍ（ｕ）は仕様φを充足しないと判定してもよい。

【0044】

出力Ｍ（ｕ）が仕様φを充足しない場合（Ｓ１０３：ＮＯ）、モデル検証装置１００は、ステップＳ１０４において、当該入力ｕを反例として決定し、モデルＭは仕様φを充足しないと判定し、当該モデル検証処理を終了する。

【0045】

他方、出力Ｍ（ｕ）が仕様φを充足する場合（Ｓ１０３：ＹＥＳ）、モデル検証装置１００は、ステップＳ１０５において、当該モデル検証処理の終了条件を充足するか判定する。終了条件を充足する場合（Ｓ１０５：ＹＥＳ）、モデル検証装置１００は、モデルＭは仕様φを充足すると判定し、当該モデル検証処理を終了する。

【0046】

他方、終了条件を充足しない場合（Ｓ１０５：ＮＯ）、モデル検証装置１００は、ステップＳ１０１に戻って、探索空間Ｘから次のサンプルｘ'を抽出する。このとき、モデル検証装置１００は、サンプルｘに対するモデルＭの出力Ｍ（ｕ）の充足度に基づき探索アルゴリズムに従って次のサンプルｘ'を抽出してもよい。例えば、探索アルゴリズムとして山登り法が利用される場合、モデル検証装置１００は、充足度又はロバストネス値が最も低下する方向において次のサンプルｘ'を抽出してもよい。また、モデル検証装置１００は、現在のサンプルｘ_ｉだけでなく、過去のサンプルｘ_ｉ－ｊ，・・・，ｘ_ｉの履歴を利用して、次のサンプルｘ_ｉ＋１を抽出してもよい。

【0047】

以上、本発明の実施例について詳述したが、本発明は上述した特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

【符号の説明】

【0048】

１００ モデル検証装置
１１０ サンプル抽出部
１２０ 空間変換部
１３０ 反例決定部
１４０ 繰り返し制御部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】