[論文レビュー] Bug Hunting By Computing Range Reduction

Eugene Goldberg, Panagiotis Manolios|arXiv (Cornell University)|Aug 29, 2014

Formal Methods in Verification参考文献 3被引用数 4

ひとこと要約

この論文では、部分的量化子除去（PQE）を用いて範囲削減式を計算することで、長大な反例を効率的に特定する、新たなモデルチェック手法である計算的範囲削減（CRR）を紹介する。従来のSATベースやIC3スタイルの手法とは異なり、CRRは完全な到達可能状態集合の計算を回避し、特定の初期状態からのみ到達可能な状態に焦点を当てる。これにより、長大な反例の検出がより効率的に行えるようになり、PQEに基づくアプローチが特定の状況下でSATソルバーを上回ることを示している。

ABSTRACT

We describe a method of model checking called Computing Range Reduction (CRR). The CRR method is based on derivation of clauses that reduce the set of traces of reachable states in such a way that at least one counterexample remains (if any). These clauses are derived by a technique called Partial Quantifier Elimination (PQE). Given a number n, the CRR method finds a counterexample of length less or equal to n or proves that such a counterexample does not exist. We show experimentally that a PQE-solver we developed earlier can be efficiently applied to derivation of constraining clauses for transition relations of realistic benchmarks. One of the most appealing features of the CRR method is that it can potentially find long counterexamples. This is the area where it can beat model checkers computing reachable states (or their approximations as in IC3) or SAT-based methods of bounded model checking. PQE cannot be efficiently simulated by a SAT-solver. This is important because the current research in model checking is dominated by SAT-based algorithms. The CRR method is a reminder that one should not put all eggs in one basket.

研究の動機と目的

• 長大な反例を効率的に発見する課題に取り組むこと、特に従来のIC3や束縛モデルチェック手法が非効率になる状況を想定する。
• SATベースのアプローチやIC3の限界を克服すること、これらは長大な反例においてスケーラビリティと完全性に課題を抱えることがある。
• 部分的量化子除去（PQE）を活用して、特定の初期状態を経由するみた状態に限定する制約式を計算する手法を開発すること。
• PQEに基づく推論が、特に長大な反例の発見において、SATソルバーを上回る性能を示す可能性を実証すること。
• CRRに基づく完全で無限長のモデルチェック手法の基盤を提供し、将来的に任意長の性質を扱えるように拡張すること。

提案手法

• CRRは、特定の初期状態 $ s_0 $ からのみ $ i $ ステップで到達可能な状態を表す範囲削減式 $ H_i $ を計算する。これは、他の初期状態をすべて除外する節 $ C $ を用いる。
• この手法は、$ i $ 個の遷移関係 $ N $ の合成に部分的量化子除去（PQE）を適用し、$ s_0 $ からのみ開始するトレースのみを考慮する制約下で $ H_i $ を導出する。
• 各ステップ $ i $ において、$ \overline{H_i} \rightarrow P $ が成り立つかをチェックする。成り立たない場合、$ s_0 $ から到達可能な悪い状態が存在し、長さ $ \leq n $ の反例が存在する。
• 完全な到達可能状態集合 $ A_i $ を計算するのではなく、$ A_i \setminus B_i $、すなわち $ s_0 $ からのみ到達可能な状態の集合に焦点を当てる。これは劇的に小さい場合がある。
• ノイズの多いPQEソルバーを用いて近似された $ H^*_i $ を計算し、論理的含意 $ H^*_i \rightarrow H_i $ を保証することで、整合性を確保する。
• この手法は、$ H^*_i $ を用いた帰納的推論により、節 $ C $ の $ P^n $-同等性を証明するように拡張され、もしすべての悪い状態が除外されていなければ、$ C $ は $ n $ ステップに対して安全であることが保証される。

実験結果

リサーチクエスチョン

• RQ1 PQEによる範囲削減を用いて、完全な到達可能状態集合の計算を回避しつつ、長大な反例を効率的に特定できるか？
• RQ2 CRR手法は、長大な反例の発見において、SATベースの束縛モデルチェックやIC3スタイルのアルゴリズムと比較して、性能とスケーラビリティで優れているか？
• RQ3 ノイズの多いPQEソルバーを用いて近似された範囲削減式を計算しても、反例検出の正当性保証を維持できる範囲はどの程度か？
• RQ4 どのような条件下で、CRRフレームワークを用いて節 $ C $ の $ P^n $-同等性を証明できるか？また、これは除外された悪い状態が存在しないこととどのように関連するか？
• RQ5 CRR手法は、任意の数の遷移に対して性質を証明できる完全な無限長モデルチェックアルゴリズムに拡張可能か？

主な発見

• CRR手法は、特定の初期状態を経由するみた状態に焦点を当てることで、完全な状態空間探索の指数的爆発を回避し、長大な反例を効率的に特定できる。
• 実験により、PQEソルバーを実用的なベンチマークに効率的に適用できることを示し、実装可能性を裏付けた。
• PQEはSATソルバーでは効率的にシミュレートできないため、CRRは現在のSATベースのモデルチェックとは根本的に異なる、よりスケーラブルなアプローチを提供している。
• この手法は整合性がある：$ \overline{H_i} \rightarrow P $ が失敗する場合、長さ $ \leq i $ の反例が存在し、$ H_i $ は関連する状態集合を正しく特定する。
• ノイズの多いPQEソルバーが使用される場合、$ H^*_i \rightarrow H_i $ が成り立つため、$ H^*_i $ が除外するすべての悪い状態は、真の $ H_i $ でも除外される。これにより、正当性が保たれる。
• もし $ H^*_i $ が除外するすべての悪い状態が到達不能であり、かつすべての $ H^*_j $ が到達可能な悪い状態を除外しない場合、節 $ C $ は任意の $ n > 0 $ に対して $ P^n $-同等であることが保証され、すべての長さに対して安全であることが証明される。