补充材料
可供下载
Alves-Foss，J.、Oman，P.W.、Taylor，C.和Harrison，S.高保证嵌入式系统的MILS架构。 国际嵌入式系统杂志2 , 3--4 (2006), 239--247. 谷歌学者 
Blackham，B.、Shi，Y.、Chattopadhyay，S.、Roychoudhury，A.和Heiser，G.受保护操作系统内核的计时分析。 在 第32届IEEE实时系统研讨会论文集 （奥地利维也纳，11月29日至12月2日）。 IEEE计算机学会出版社，2011年，339--348。 谷歌学者 数字图书馆 
波音公司。 无人驾驶小鸟H-6U； http://www.boeing.com/defense/unmanaded-little-bird-h-6u/ 谷歌学者 Boyton，A.、Andronick，J.、Bannister，C.、Fernandez，M.、Gao，X.、Greenaway，D.、Klein，G.、Lewis，C.和Sewell，T.正式验证系统初始化。 在 第15届形式工程方法国际会议论文集 （新西兰昆士敦，10月29日至11月1日）。 施普林格，海德堡，德国，2013年70-85。 谷歌学者 Chen，H.、Ziegler，D.、Chajed，T.、Chlipala，A.、Frans Kaashoek，M.和Zeldovich，N.使用Crash-Hoare逻辑验证FSCQ文件系统。 在 第25届ACM操作系统原理研讨会论文集 （加利福尼亚州蒙特雷，10月5-7日）。 ACM出版社，纽约，2015年，18-37。 谷歌学者 数字图书馆 Cock，D.、Ge，Q.、Murray，T.和Heiser，G.《最后一英里：对seL4上一些定时通道的实证研究》。 在 ACM SIGSAC计算机和通信安全会议记录 （亚利桑那州斯科茨代尔，11月3-7日）。 ACM出版社，纽约，2014年，570--581。 谷歌学者 数字图书馆 Cock，D.、Klein，G.和Sewell，T.确保微内核、状态单体和可扩展的精细化。 在 高阶逻辑定理证明国际会议论文集 （加拿大蒙特利尔，8月18-21日）。 施普林格，海德堡，德国，2008，167-182。 谷歌学者 数字图书馆 Colbert，E.和Boehm，B.安全软件和系统的成本估算。 在 国际参数分析师学会/成本估算与分析学会2008年联合国际会议记录 （荷兰诺德维克，5月12-14日）。 Curran，Red Hook，纽约，2008年。 谷歌学者 Davis，J.和Myreen，M.O。反射式Milawa定理证明程序是可靠的（甚至包括运行它的机器代码）。 自动推理杂志55 第2期（2015年8月），第117-183页。 谷歌学者 数字图书馆 Dennis，J.B.和Van Horn，E.C.多程序计算的编程语义。 Commun公司。 ACM 9号机组 ，3（1966年3月），143--155。 谷歌学者 数字图书馆 Elliott，T.、Pike，L.、Winwood，S.、Hickey，P.、Bielman，J.、Sharp，J.，Seidel，E.和Launchbury，J.无罪象牙。 在 ACM SIGPLAN Haskell研讨会会议记录 （加拿大温哥华，9月3-4日）。 ACM出版社，纽约，189-200。 谷歌学者 数字图书馆 费尔南德斯，M。 组件平台的形式验证。 博士论文。 澳大利亚悉尼新南威尔士大学计算机科学与工程学院，2016年7月。 谷歌学者 Fernandez，M.、Andronick，J.、Klein，G.和Kuz，I.RPC存根代码的自动验证。 在 第20届形式方法国际研讨会论文集 （挪威奥斯陆，6月22日至26日）。 德国海德堡施普林格，2015年，273-290。 谷歌学者 Floyd，R.W.为程序指定含义。 计算机科学的数学方面19 , (1967), 19--32. 谷歌学者 交叉引用 
戈蒂尔，G。 四色定理的计算机检验证明。 微软研究院，英国剑桥，2005年； https://www.microsoft.com/en-us/research/wp-content/uploads/2016/02/gontier-4colproof.pdf 谷歌学者 Gonthier，G.，Asperti，A.，Avigad，J.，Bertot，Y.，Cohen，C.，Garillot，F.，Le Roux，S.，Mahboubi，A.，O'Connor，R.，Biha S.O.，Pasca，I.，Rideau，L.，Solovyev，A.，Tassi，E.，and Théry，L.奇数阶定理的机器验证。 在 第四届交互式定理证明国际会议论文集，LNCS第7998卷 （法国雷恩，7月22日至26日）。 施普林格，海德堡，德国，2013，163-179。 谷歌学者 数字图书馆 顾瑞、邵中、陈浩、吴小新、。， Kim，J.、Sjöberg，V.和Costanzo，C.CertiKOS：构建认证并发操作系统内核的可扩展架构。 在 第12届USENIX操作系统设计与实现研讨会论文集 （佐治亚州萨凡纳，11月2-4日）。 ACM出版社，纽约，2016年。 谷歌学者 数字图书馆 Hales，T.C.，Adams，M.，Bauer，G.，Dang，D.T.，Harrison，J.，Le Hoang，T.，Kaliszyk，C.，Magron，V.，McLaughlin，S.，Nguyen，T.T.，Ngyen，TQ.，Nipkow，T.、Obua，S.、Pleso，J.、Rute，J.和Solovyev，A.，Ta，A.H.T.，Tran，T.N.，Trieu，T.T.T.、Urban，J.；Vu，K.K.K.和Zumkeller，R.。开普勒猜想的正式证明。 数学论坛，Pi，第5卷。 剑桥大学出版社，2017年。 谷歌学者 交叉引用 Hawblitzel，C.、Howell，J.、Kapritsos，M.、Lorch，J.R.、Parno，B.、Roberts，M.L.、Setty，S.T.V.和Zill，B.IronFleet：证明实用的分布式系统是正确的。 在 第25届ACM操作系统原理研讨会论文集 （加利福尼亚州蒙特雷，10月5-7日）。 ACM出版社，纽约，2015年1月17日。 谷歌学者 数字图书馆 Heiser，G.和Elphinstone，K.L4微内核：20年研究和部署的经验教训。 ACM计算机系统交易34 2016年4月1日，1:1--1:29。 谷歌学者 数字图书馆 Kanav，S.、Lammich，P.和Popescu，A.是一个经过验证的文件机密性会议管理系统。 在 第26届计算机辅助验证国际会议记录 （7月18日至22日，奥地利维也纳）。 ACM出版社，纽约，2014，167-183。 谷歌学者 数字图书馆 Klein，G.、Andronick，J.、Elphinstone，K.、Murray，T.、Sewell，T.，Kolanski，R.和Heiser，G.。操作系统微内核的全面形式验证。 计算机系统ACM交易32 2014年2月1日，2:1--2:70。 谷歌学者 数字图书馆 Klein，G.、Elphinstone，K.、Heiser，G.、Andronick，J.、Cock，D.、Derrin，P.、Elkaduwe，D.、Engelhardt，K.、Kolanski，R.、Norrish，M.、Sewell，T.、Tuch，H.和Winwood，S.seL4：操作系统内核的正式验证。 在 第22届ACM操作系统原理研讨会会议记录 （《大天空》，马耳他州，10月11-14日）。 ACM出版社，纽约，2009，207--220。 谷歌学者 数字图书馆 Kumar，R.、Arthan，R.，Myreen，M.O.和Owens，S.高阶逻辑的自我形式化：语义、可靠性和验证的实现。 自动推理杂志56 2016年4月3日，第221--259页。 谷歌学者 数字图书馆 Kumar，R.、Myreen，M.、Norrish，M.和Owens，S.CakeML：ML.In的验证实现 第41届ACM SIGPLAN-SIGACT编程语言原理研讨会会议记录 （加州圣地亚哥，1月22日至24日）。 ACM出版社，纽约，2014年，179--191。 谷歌学者 数字图书馆 Kuz，I.、Klein，G.、Lewis，C.和Walker，A.capDL：一种描述基于能力的系统的语言。 在 第一届ACM亚太系统研讨会会议记录 （印度新德里，8月30日至9月3日）。 ACM出版社，纽约，2010年，31-35。 谷歌学者 数字图书馆 Kuz，I.、Liu，Y.、Gorton，I.和Heiser，G.CAmkES：基于安全微内核的嵌入式系统的组件模型。 系统与软件杂志（可信嵌入式系统基于组件的软件工程特别版）80 ，5（2007年5月），687--699。 谷歌学者 数字图书馆 Leroy，X.真实编译器的形式化验证。 Commun公司。 ACM第52页 ，7（2009年7月），107--115。 谷歌学者 数字图书馆 Murray，T.、Matichuk，D.、Brassil，M.、Gammie，P.、Bourke，T.，Seefried，S.、Lewis，C.、Gao，X.和Klein，G.seL4：从通用到信息流证明执行。 在 2013年IEEE安全与隐私研讨会会议记录 （加利福尼亚州旧金山，5月19日至22日）。 IEEE出版社，加利福尼亚州洛斯阿拉米托斯，2013，415-429。 谷歌学者 数字图书馆 Pnueli，A.、Siegel，M.和Singerman，E.翻译验证。 在 第四届系统构造与分析工具与算法国际会议论文集 （葡萄牙里斯本，3月28日至4月4日）。 施普林格，柏林，德国，1998年，151-166。 谷歌学者 数字图书馆 Rushby，J.安全系统的设计和验证。 在 第八届操作系统原理研讨会论文集 （加利福尼亚州太平洋格罗夫，12月14-16日）。 ACM出版社，纽约，1981年，12-21。 谷歌学者 数字图书馆 Ryzhyk，L.、Chubb，P.、Kuz，I.、Le Sueur，E.和Heiser，G.使用Termite的自动设备驱动器合成。 在 第22届ACM操作系统原理研讨会会议记录 （《大天空》，马耳他州，10月11-14日）。 ACM出版社，纽约，2009年，73-86。 谷歌学者 数字图书馆 seL4微内核代码及其证明； https://github.com/seL4/ 谷歌学者 Sewell，T.、Kam，F.和Heiser，G.完成WCET分析中循环边界和不可行路径的高保证确定。 在 22<sup>nd</sup>IEEE实时和嵌入式技术及应用研讨会论文集 （奥地利维也纳，4月11-14日）。 IEEE出版社，2016年。 谷歌学者 交叉引用 Sewell，T.、Myreen，M.和Klein，G.验证操作系统内核的翻译验证。 在 第34届ACM SIGPLAN编程语言设计与实现年会论文集 （华盛顿州西雅图，6月16日至22日）。 ACM出版社，纽约，2013，471--481。 谷歌学者 数字图书馆 Sewell，T.、Winwood，S.、Gammie，P.、Murray，T.，Andronick，J.和Klein，G.seL4强调诚信。 在 交互式定理证明国际会议论文集 （荷兰奈梅亨，8月22日至25日）。 施普林格，海德堡，德国，2011，325-340。 谷歌学者 数字图书馆
建议
下一代机载防撞系统中经正式验证的安全咨询混合系统 下一代机载防撞系统（ACAS X）拟安装在所有大型飞机上，以向飞行员提供建议，并防止与其他飞机发生空中碰撞。 它目前正在由联邦航空公司开发。。。 下一代机载防撞系统的正式验证混合系统 第21届系统构建和分析工具和算法国际会议论文集第9035卷 这个 下一代机载防撞系统 ACASíX拟安装在所有大型飞机上，为飞行员提供建议，并防止与其他飞机发生空中碰撞。 它目前正在由联邦航空公司开发。。。
