[論文レビュー] Danger Invariants

Cristina David, Daniel Kroening+1 more|arXiv (Cornell University)|Mar 18, 2015

Formal Methods in Verification参考文献 17被引用数 5

ひとこと要約

本稿では、安全仕様の双対としての「危険不変式」——エラー状態に到達することが保証されるプログラムトレースの集合を要約するもの——を導入し、ループ展開なしにスケーラブルかつ正確に深いバグを検出可能にする。危険不変式を2階論理で定式化し、2階SATソルバを活用することで、抽象解釈のスケーラビリティと束縛モデルチェックの精度を両立し、実世界のプログラムにおける複雑なバグの同定に成功した。

ABSTRACT

Static analysers search for overapproximating proofs of safety commonly known as safety invariants. Fundamentally, such analysers summarise traces into sets of states, thus trading the ability to distinguish traces for computational tractability. Conversely, static bug finders (e.g. Bounded Model Checking) give evidence for the failure of an assertion in the form of a counterexample, which can be inspected by the user. However, static bug finders fail to scale when analysing programs with bugs that require many iterations of a loop as the computational effort grows exponentially with the depth of the bug. We propose a novel approach for finding bugs, which delivers the performance of abstract interpretation together with the concrete precision of BMC. To do this, we introduce the concept of danger invariants -- the dual to safety invariants. Danger invariants summarise sets of traces that are guaranteed to reach an error state. This summarisation allows us to find deep bugs without false alarms and without explicitly unwinding loops. We present a second-order formulation of danger invariants and use the Second-Order SAT solver described in previous work to compute danger invariants for intricate programs taken from the literature.

研究の動機と目的

• 深いバグを検出する際に多数のループ反復を要する場合に生じる、束縛モデルチェック（BMC）のスケーラビリティの制限を解消すること。
• 明示的なループ展開なしに、具体的なトレースに基づく推論を可能にすることで、抽象解釈の不正確さを克服すること。
• 安全仕様の双対としての概念である「危険不変式」——エラー状態に至るトレースを要約するもの——を考案すること。
• 抽象解釈とBMCの長所を統合することで、複雑なプログラムにおける正確でスケーラブルなバグ検出を可能にすること。
• 2階論理と2階SATソルバを用いて危険不変式を計算可能であることを実証すること。

提案手法

• エラー状態に到達することが保証されるプログラムトレースの集合を特徴付ける2階論理述語として危険不変式を定式化すること。
• 2階SATソルバを用いて、複雑な制御フローと深いループを含むプログラムの危険不変式を自動的に計算すること。
• プログラム状態を抽象化しつつもエラー状態への到達可能性を保持する論理的不変式を用いてプログラム動作を表現すること。
• 安全仕様の論理を双対化することで危険不変式を構築し、アサーション違反に至るトレースに焦点を当てる。
• 既存の2階論理ソルバ技術を活用し、文献に登場する現実的で非自明なプログラムへスケーリング可能であることを確保すること。
• 従来のBMCが深さに起因する指数的爆発により失敗するベンチマークプログラムに対して、本手法を検証すること。

実験結果

リサーチクエスチョン

• RQ1 危険不変式は、安全仕様の双対として形式的に定義可能であり、エラー状態に至るトレースを捉えることができるか？
• RQ2 危険不変式を2階論理で定式化した場合、既存の2階SATソルバで効果的に解けるか？
• RQ3 束縛モデルチェックが失敗するような深いループを含むプログラムに対しても、危険不変式アプローチはスケーラブルか？
• RQ4 過剰近似による問題を抱える標準的な抽象解釈が見逃すバグを、危険不変式は検出可能か？
• RQ5 明示的なループ展開なしに、誤検出なしに複雑な深いバグを同定できるか？

主な発見

• 危険不変式は、エラー状態に至るトレースの集合を的確に要約し、明示的なループ展開なしに深いバグを検出可能であることが確認された。
• 本手法は、抽象解釈と同等のスケーラビリティを達成しながら、束縛モデルチェックの精度を維持している。
• 2階SATソルバを用いることで、文献に登場する複雑なプログラムの危険不変式を自動的に計算可能である。
• 深さに起因する要件による指数的爆発により従来のBMCが失敗するプログラムにおいても、本手法はバグを検出可能である。
• 危険不変式の双対的定式化により、反例トレースに依存せずにプログラムの失敗を体系的に推論する手法が提供される。
• 本手法は、従来の静的解析手法では検出不可能な、実世界のベンチマークにおける深い複雑なバグを的確に同定した。