[論文レビュー] A Theoretical Framework for Symbolic Quick Error Detection

Florian Lonsing, Subhasish Mitra+1 more|arXiv (Cornell University)|Jan 1, 2020

Radiation Effects in Electronics参考文献 33被引用数 3

ひとこと要約

この論文は、プロセッサの事前シリコーン検証手法である記号的クイックエラーディテクション（SQED）の形式的理論的基盤を提示する。SQEDは、自己整合性をチェックすることでバグを検出する：同一の入力を用いて命令列を2回実行した場合、出力が同一でなければならない。著者らは、SQEDが健全であることを証明している—報告された反例はすべて実際のバグである—かつ、条件付きで完全であることを示している。これは、広範なバグのクラスを検出可能であるが、完全な完全性は、状態リセット命令のハードウェア支援によって達成される。

ABSTRACT

Symbolic quick error detection (SQED) is a formal pre-silicon verification technique targeted at processor designs. It leverages bounded model checking (BMC) to check a design for counterexamples to a self-consistency property: given the instruction set architecture (ISA) of the design, executing an instruction sequence twice on the same inputs must always produce the same outputs. Self-consistency is a universal, implementation-independent property. Consequently, in contrast to traditional verification approaches that use implementation-specific assertions (often generated manually), SQED does not require a full formal design specification or manually-written properties. Case studies have shown that SQED is effective for commercial designs and that SQED substantially improves design productivity. However, until now there has been no formal characterization of its bug-finding capabilities. We aim to close this gap by laying a formal foundation for SQED. We use a transition-system processor model and define the notion of a bug using an abstract specification relation. We prove the soundness of SQED, i.e., that any bug reported by SQED is in fact a real bug in the processor. Importantly, this result holds regardless of what the actual specification relation is. We next describe conditions under which SQED is complete, that is, what kinds of bugs it is guaranteed to find. We show that for a large class of bugs, SQED can always find a trace exhibiting the bug. Ultimately, we prove full completeness of a variant of SQED that uses specialized state reset instructions. Our results enable a rigorous understanding of SQED and its bug-finding capabilities and give insights on how to optimize implementations of SQED in practice.

研究の動機と目的

• プロセッサ検証におけるSQEDのバグ検出能力に関する形式的理論的理解の欠如に対処する。
• SQEDの自己整合性チェックと実際の設計バグとの間の厳密な関係を確立する。
• SQEDが誤検出（虚偽の反例）を出さないという形式的保証を提供する。
• SQEDがプロセッサ設計のすべてのバグを検出可能な条件を特定する。
• ハードウェア支援による状態リセット機構を用いて、SQEDの完全性を向上させる拡張を検討する。

提案手法

• 実装の詳細を抽象化しながら機能的動作を保持するため、プロセッサを遷移系としてモデル化する。
• 正しい命令実行を、期待される振る舞い（正しい出力の書き込み、意図しない副作用なし）を捉える抽象的仕様関係として定義する。
• SQEDの自己整合性特性を、実装に依存しない普遍的なチェックとして形式化する：同一の入力シーケンスを2回実行した場合、出力が同一でなければならない。
• 健全性を証明する。すなわち、SQEDが報告する自己整合性の反例は、抽象的仕様の違反（つまり、実際のバグ）に対応することを示す。
• やや弱い仮定の下で、自己整合性の違反を通じて露呈可能な広範なバグクラスを同定することで、条件付き完全性を確立する。
• 特殊な状態リセット命令を備えたSQEDの変種を導入・形式化し、この変種が完全（非条件的）完全性を達成することを証明する。

実験結果

リサーチクエスチョン

• RQ1 SQEDは健全か？ すなわち、SQEDが報告する自己整合性の反例は、すべて実際の設計バグに対応するか？
• RQ2 どのような条件下でSQEDは完全か？ プロセッサ設計のすべてのバグを検出可能か？
• RQ3 バグの性質に関する仮定に依存せずに、SQEDを完全にできるか？
• RQ4 ハードウェア支援による状態リセット命令は、SQEDの完全性保証をどのように向上させるか？
• RQ5 抽象的仕様関係と自己整合性特性との関係は何か？ そして、この関係を形式的に確立できるか？

主な発見

• SQEDは健全である：SQEDが報告する自己整合性の反例は、プロセッサ設計における実際のバグに必ず対応する。
• SQEDは条件付き完全である：広範なバグクラスに関して、バグ構造に関するやや弱い仮定の下で、自己整合性違反を示すトレースを検出可能である。
• 特殊な状態リセット命令を備えたSQEDの変種は、完全（非条件的）完全性を達成する。これは、抽象的仕様に違反するすべてのバグを検出可能であることを意味する。
• 理論的枠組みにより、SQEDの有効性が実装固有のアサーションや形式的仕様に依存しないことが示され、広く適用可能であることが明らかになった。
• 結果として、記号的初期状態の使用や、標準的QEDテストとリセットベースQEDテストを組み合わせたハイブリッドテスト戦略を含む、SQED実装の最適化の形式的基盤が得られた。
• このフレームワークは、今後の拡張をサポートしており、例えばデッドロックの検出や、乗算器やアクセラレータの形式的検証との統合が可能である。