[論文レビュー] Alloy meets TLA+: An exploratory study

Nuno Macedo, Alcino Cunha|arXiv (Cornell University)|Mar 11, 2016

Formal Methods in Verification参考文献 2被引用数 5

ひとこと要約

本稿では、Alloyの構造的モデリングの強みとTLA+の時系列検証の能力を統合する手法を検討し、AlloyモデルをTLA+に翻訳してTLCを用いた解析を実施する。Alloyで初期状態を生成し、TLCで時系列的性質を検証するハイブリッド手法は、静的および動的性質を豊富に含むシステムにおいて、性能とスケーラビリティの向上を示している。

ABSTRACT

Alloy and TLA+ are two formal specification languages that are increasingly popular due to their simplicity and flexibility, as well as the effectiveness of their companion model checkers, the Alloy Analyzer and TLC, respectively. Nonetheless, while TLA+ focuses on temporal properties, Alloy is better suited to handle structural properties, requiring ad hoc mechanisms to reason about temporal properties. Thus, both have limitations in the specification and analysis of systems rich in both static and dynamic properties. This paper explores the pros and cons of these two frameworks when handling this class of systems through the step-by-step modeling, specification and verification of an example.

研究の動機と目的

• 静的および動的性質を必要とするシステムにおいて、Alloyの表現力のある構造的モデリングとTLA+の強力な時系列検証を組み合わせることの妥当性を調査すること。
• Alloyを用いて初期状態を生成し、TLCによる検証を効率化する手法の性能と実用性を評価すること。
• 特に関係演算子や動的意味論に関する点で、AlloyモデルをTLA+仕様に翻訳する際の主な不一致と課題を同定すること。
• Alloyにおける対称性の打破と部分的インスタンスの取り扱いが、初期状態をTLA+に供給する際のスケーラビリティに与える影響を検討すること。
• 複雑なシステム仕様に対して、ハイブリッド手法がAlloyやTLA+のネイティブ解析を上回る性能を示すかどうかを評価すること。

提案手法

• ホテルルームのロックシステムを対象とする代表的なAlloyモデルをTLA+に翻訳し、TLCを用いた形式的検証を実施する。
• Alloyの有界モデルチェック機能を活用し、対称性の打破機能を活かして状態空間を削減することで、TLA+の初期状態を生成する。
• 生成された初期状態をTLCに供給し、全初期状態空間を探索する必要を回避することで、時系列的性質の検証を実施する。
• ハイブリッド手法（Alloyで初期状態を生成、TLCでトレース検証）の性能を、ネイティブのAlloy AnalyzerおよびTLC実行と比較する。
• 時間依存制約を除去することで、有効なTLA+初期状態およびアクション述語を生成するようにAlloyモデルを変更する。
• 対称性の打破と部分的インスタンスの取り扱いが、状態空間の削減および検証効率に与える影響を評価する。

実験結果

リサーチクエスチョン

• RQ1 Alloyが生成した初期状態は、TLCによるTLA+検証をブートストラップするために効果的に利用可能であり、複雑なシステムにおけるスケーラビリティの向上に寄与するか？
• RQ2 静的および動的性質が豊富なシステムにおいて、ハイブリッドAlloy-TLA+手法の性能は、AlloyおよびTLA+のネイティブ解析と比較してどのように異なるか？
• RQ3 Alloyの関係論理および推移的閉包をTLA+の一次論理およびアクション述語に翻訳する際の主な不一致と翻訳の課題は何か？
• RQ4 Alloyにおける対称性の打破は初期状態の数をどの程度削減するか？ また、その影響は、後続のTLA+検証の効率にどのように現れるか？
• RQ5 ハイブリッド手法は、大規模な状態空間においてメモリオーバーフローを避けるとともに、最小限の反例トレースを保持できるか？

主な発見

• ハイブリッド手法（Alloyで初期状態を生成、TLCで時系列的性質を検証）により、n=4の状態で初期状態の数が18,960から520に削減された。対称性の打破を活用した結果であり、生成時間は2秒未塔であった。
• 固定された初期状態を用いたTLCは、状態数が少ない場合に特に、通常のTLCよりも性能が優れており、スケーラビリティの向上が示された。
• 固定された初期状態を用いたAlloyの性能は、他の手法よりも悪く、部分的インスタンスのサポートが不十分であることが原因で、ハイブリッド戦略の必要性が裏付けられた。
• Alloyの関係論理、特に推移的閉包のTLA+への翻訳には再帰的定義が必要となり、複雑さと潜在的な意味論の不一致を引き起こす。
• TLCの性質検証能力は、TLA+において初期状態とアクションを完全に指定する必要があることに制限されており、一方でAlloyはより宣言的で柔軟な述語定義を許容する。
• Alloyにおける二重プライム変数の明示的使用により、ネイティブなTLA+アクションに比べて、動的性質のモデリングにおいてより高い表現力が得られる。これは、特定の文脈においてAlloyの動的モデリングがより柔軟であることを示唆する。