[論文レビュー] Abstract Stobjs and Their Application to ISA Modeling

Shilpi Goel, Warren A. Hunt+1 more|arXiv (Cornell University)|Apr 30, 2013

Embedded Systems Design Techniques被引用数 5

ひとこと要約

この論文は、ACL2における抽象的stobjを導入し、不変条件をカプセル化し、記号的推論を可能にする新しい機能を提供する。抽象的stobjと具象的stobjの表現の間の対応関係を定義することにより、より高速な実行、証明の簡素化、モデリング最適化に対する耐性が得られることを示している。Y86-32プロセッサモデルの実装例では、ガードの検証と定理の仮定が顕著に削減された。

ABSTRACT

We introduce a new ACL2 feature, the abstract stobj, and show how to apply it to modeling the instruction set architecture of a microprocessor. Benefits of abstract stobjs over traditional ("concrete") stobjs can include faster execution, support for symbolic simulation, more efficient reasoning, and resilience of proof developments under modeling optimization.

研究の動機と目的

• 複数のフィールドにまたがる不変条件を表現する際の具象的stobjの制限を解消し、ガード検証の複雑さと定理の仮定の冗長性を軽減すること。
• 形式的検証における効率的な実行と洗練された論理的推論を分離するメカニズムを提供すること。
• 論理的抽象と具象的実装を分離することで、モデリング最適化に対しても証明の整合性が保たれるようにすること。
• 複雑なstobj状態不変条件を単純化された論理的インターフェースに抽象化することで、記号的シミュレーションと高速実行を両立すること。
• 実世界のプロセッサモデリングに適した、ACL2の工業的実装の検証能力を拡張すること。

提案手法

• defabsstobjイベントを用いて抽象的stobjを定義し、対応する具象的stobjに対する論理的（logic）および実行可能（exec）インターフェースを確立する。
• 対応関係述語を用いて、抽象的stobjがすべての更新において具象的stobjと同期を保つことを形式的に証明し、論理的同等性を保証する。
• :LOGICおよび:EXECキーワードを用いた関数のエクスポートにより、:LOGIC関数が論理的動作を定義し、:EXEC関数がLispの基本構造上で効率的な実行を可能にする。
• defabsstobjの評価時に、更新が対応関係述語を保持することを保証する証明義務を生成し、これに対して補題の証明により解決を行う。
• ACL2の単一スレッドオブジェクトモデルを活用し、更新中にstobj識別子の不変条件が保持されることを保証することで、ガード検証のオーバーヘッドを回避する。
• 具象的stobjを性能最適化のために設計し、抽象的stobjを推論に使用する階層的モデリング戦略を採用し、対応関係によって正しさを維持する。

実験結果

リサーチクエスチョン

• RQ1 複数のフィールドにまたがるstobj不変条件を、パフォーマンスコストや証明の複雑さを増さずに表現する方法は何か？
• RQ2 定理の証明を簡素化し、仮定の冗長性を回避する、より洗練されたstobjインターフェースを定義できるか？
• RQ3 抽象的stobjを用いることで、証明の効率性と実装変更に対する耐性はどの程度向上するか？
• RQ4 形式的検証フレームワークにおいて、記号的シミュレーションと効率的実行を同時に実現する方法は何か？
• RQ5 1つの具象的stobjに対して複数の抽象化を定義し、異なる証明目的に使用できるか？

主な発見

• 抽象的stobjの使用により、stobj識別子の保持に関するガード検証の義務が完全に排除された。これは、システムが対応関係を維持しているためである。
• メモリアクセスのread-over-write定理が仮定フリーとなり、より洗練され使いやすい定理となった：(equal (memi i (!memi j v x86-32)) (if (equal i j) (or v 0) (memi i x86-32)))。
• 抽象的stobjモデルにより、具象的stobjのパフォーマンス最適化が可能であり、抽象レイヤーの推論の正しさに影響を与えない。
• 対応関係の証明により、抽象的stobjにおける推論が具象的stobjに対して妥当であることが保証され、記号的シミュレーションと効率的実行が可能になった。
• 1つの具象的stobjに対して複数の抽象的stobjを定義でき、異なる証明目的に適した異なる抽象化を提供できる。
• 別々の具象的モデルと抽象的モデル間の同等性証明の必要がなくなる。対応関係を通じて、論理的オブジェクトが共有されるためである。