[論文レビュー] Event-Flow Graphs for Efficient Path-Sensitive Analyses

Ahmed Tamrawi, Suresh Kothari|arXiv (Cornell University)|Apr 4, 2014

Software Testing and Debugging Techniques参考文献 22被引用数 3

ひとこと要約

本論文は、制御フローダイアグラム（CFG）の短縮版として、共通のイベントトレース（関連イベントおよび分岐ノードの列）に基づいて経路を同値類にグループ化する、コンパクトで線形時間のイベントフローグラフ（EFG）を導入する。イベントトレースと関連する分岐にのみ注目することで、EFGは経路爆発を最大99％まで低減し、妥当性の確認を簡素化し、人間が理解可能な最小限のグラフを用いて、効率的かつ正確なパスセンシティブ解析を可能にする。

ABSTRACT

Efficient and accurate path-sensitive analyses pose the challenges of: (a) analyzing an exponentially-increasing number of paths in a control-flow graph (CFG), and (b) checking feasibility of paths in a CFG. We address these challenges by introducing an equivalence relation on the CFG paths to partition them into equivalence classes. It is then sufficient to perform analysis on these equivalence classes rather than on the individual paths in a CFG. This technique has two major advantages: (a) although the number of paths in a CFG can be exponentially large, the essential information to be analyzed is captured by a small number of equivalence classes, and (b) checking path feasibility becomes simpler. The key challenge is how to efficiently compute equivalence classes of paths in a CFG without examining each path in the CFG? In this paper, we present a linear-time algorithm to form equivalence classes without the need for examination of each path in a CFG. The key to this algorithm is construction of an event-flow graph (EFG), a compact derivative of the CFG, in which each path represents an equivalence class of paths in the corresponding CFG. EFGs are defined with respect to the set of events that are in turn defined by the analyzed property. The equivalence classes are thus guaranteed to preserve all the event traces in the original CFG. We present an empirical evaluation of the Linux kernel (v3.12). The EFGs in our evaluation are defined with respect to events of the spin safe-synchronization property. Evaluation results show that there are many fewer EFG-based equivalence classes compared to the corresponding number of paths in a CFG. This reduction is close to 99% for CFGs with a large number of paths. Moreover, our controlled experiment results show that EFGs are human comprehensible and compact compared to their corresponding CFGs.

研究の動機と目的

• 制御フローダイアグラム（CFG）における経路の指数的増加という、パスセンシティブ静的解析の主要なボトル neck を解消すること。
• 指数的経路爆発のため、すべてのCFG経路の妥当性を確認することが計算的に非現実的であるという課題を克服すること。
• CFG内のすべての個別経路を分析するのではなく、代表的経路（同値類）のみを分析する手法を開発すること。
• すべての関連するイベントトレースと妥当性条件を保持することで、解析が健全かつ完全であることを保証すること。
• スケーラブルな検証を可能にする、コンパクトで人間が理解可能な、かつ効率的に計算可能なグラフ構造（EFG）を構築すること。これにより、スピンロックの安全性といったソフトウェアプロパティの検証が可能になる。

提案手法

• CFG経路上のイベントおよび関連分岐ノードの列としてイベントトレースを定義し、同一のイベントトレースを持つ経路を同値類にグループ化する。
• EFG（イベントフローグラフ）をCFGの派生形として導入し、同値類ごとに1つの経路を捉えるようにし、EFGの経路と同値類の間に一対一かつ全射の対応関係を確立する。
• 4段階のアルゴリズムを用いて線形時間でEFGを構築する：(1) 関連する分岐ノードと関連のない分岐ノードを特定する、(2) 関連のない分岐を削除する、(3) グラフを圧縮する、(4) T-非可約で、非巡回的かつ最小限のEFGを生成する変換を適用する。
• 関連のない分岐ノード（同じイベントまたは終端ノードに到達する分岐）の概念を活用し、それらの存在がイベントトレースや妥当性に影響しないことを示す。
• パス妥当性は、関連する分岐ノードのみを用いて確認可能であることを証明する。なぜなら、関連のない分岐は同値類の妥当性に影響しないからである。
• 境界ノードや後続ノード集合などのグラフ理論的性質を用いて、EFGがイベントトレースと妥当性を保持することを形式的に確立し、解析の健全性と完全性を保証する。

実験結果

リサーチクエスチョン

• RQ1 指数的増加から管理可能な数の同値類にまで経路数を削減することで、パスセンシティブ解析のスケーラビリティを向上させることができるか？
• RQ2 線形時間で構築でき、CFGから必要なすべてのイベントトレースと妥当性情報を保持する、コンパクトで人間が理解可能なグラフ構造を構築できるか？
• RQ3 関連する分岐ノードとイベントトレースにのみ注目することで、スピンロックの安全性のようなプロパティの検証において、健全性と完全性が保たれるか？
• RQ4 実世界のシステムにおいて、EFGは元のCFGと比較して、経路数および分岐ノード数をどの程度削減できるか？
• RQ5 EFGにより、静的解析の実用性が向上し、手作業での検証時間の短縮と実際のバグの検出が可能になるか？

主な発見

• Linuxカーネル v3.12 の評価において、EFGは経路数を最大99％まで削減することが実証された。
• EFGでは、関連する分岐ノードのみが保持されるため、元のCFGと比較して分岐ノード数が著しく削減される。
• EFG構築アルゴリズムは線形時間で実行され、パスセンシティブ解析に適したコンパクトで代表的なグラフを効率的に生成可能である。
• EFGは人間が理解可能な形であり、対応するCFGと比較して著しくコンパクトであるため、手作業での検証時間と作業負荷が削減される。
• EFGを用いた制御実験により、コミュニティが受け入れた以前に発見されていなかったLinuxカーネルのバグが特定され、本手法の実用的有効性が検証された。
• パス妥当性の確認は、関連する分岐ノードのみに限定可能である。なぜなら、関連のない分岐はパス妥当性に影響しないからである。これにより、解析プロセスが簡素化される。