[論文レビュー] Finite countermodels for safety verification of parameterized tree systems

Alexei Lisitsa|arXiv (Cornell University)|Jul 26, 2011

Formal Methods in Verification参考文献 19被引用数 4

ひとこと要約

本稿では、安全特性の検証を、第一階論理への還元と一般化された有限モデル探索ツールを用いて不正状態の到達不可能性を反証することで、パラメータ化された木構造システムにおける安全特性の検証に向けた有限反例モデル（FCM）手法を提案する。この手法は、正則木モデルチェック（RTMC）および単調抽象化手法と比較して、少なくとも同等の表現力を持つことが示され、ベンチマークプロトコルにおける実験的結果から、優れた効率性を示している。

ABSTRACT

In this paper we deal with verification of safety properties of parameterized systems with a tree topology. The verification problem is translated to a purely logical problem of finding a finite countermodel for a first-order formula, which further resolved by a generic finite model finding procedure. A finite countermodel method is shown is at least as powerful as regular tree model checking and as the methods based on monotonic abstraction and backwards symbolic reachability. The practical efficiency of the method is illustrated on a set of examples taken from the literature.

研究の動機と目的

• 一般の検証が決定不能である無限状態のパラメータ化された木構造システムにおける安全特性の検証の課題に対処すること。
• 安全特性の検証問題を、第一階論理式の有限反例モデルの探索問題に還元する手法を開発すること。
• 正則木モデルチェック（RTMC）および単調抽象化といった既存手法と比較して、有限反例モデル手法の相対的完全性を示すこと。
• 標準的なパラメータ化された木構造プロトコルベンチマークにおいて、この手法の実用的効率を評価すること。
• 一般化された第一階論理推論を用いた、複雑な並列および分散システムのスケーラブルな検証の基盤を構築すること。

提案手法

• パラメータ化された木構造システムの安全特性検証問題を、不正状態の到達不可能性を表す第一階論理式に変換する。
• 一般化された有限モデル探索ツール（例：Mace4）を用いて、その論理式の有限反例モデルを探索する。この反例モデルは、不正状態が到達不可能である証拠として機能する。
• 第一階論理における有限モデル探索手順の完全性を活用し、反例モデルが存在する場合、それを確実に発見できることを保証する。
• RTMCスタイルのプロトコルおよび単調抽象化で検証可能なプロトコルの両方に対して、一貫した第一階論理エンコーディングを用いて手法を適用する。
• 初期状態、到達可能性、不正状態を表す述語を用いて、システムの状態、遷移、および安全特性を第一階論理でエンコードする。
• 安全特性の否定論理式に対して有限モデルが存在することを証明することで、安全であることを示し、不正状態の到達不可能性を効果的に反証する。

実験結果

リサーチクエスチョン

• RQ1 有限反例モデル手法は、パラメータ化された木構造システムに効果的に適用可能か？
• RQ2 有限反例モデル手法は、正則木モデルチェック（RTMC）および単調抽象化と比較して、表現力で優れているか？
• RQ3 標準的なパラメータ化された木構造プロトコルベンチマークにおいて、有限反例モデル手法の実用的効率はいかがなものか？
• RQ4 この手法は、同種のシステムに対して、既存の検証手法の完全的または相対的に完全な代替手段として機能可能か？
• RQ5 他の最先端の手法と比較して、CPU時間の観点から、この手法のスケーラビリティおよびパフォーマンスはどの程度か？

主な発見

• 有限反例モデル手法は、パラメータ化された木構造システムの安全特性検証において、正則木モデルチェック（RTMC）および単調抽象化手法と同等以上に強力であることが示された。
• TokenおよびTwo-way Tokenプロトコルでは、それぞれ0.02秒および0.03秒で反例モデルが発見され、RTMC（0.06秒および0.09秒）および単調抽象化（1秒ずつ）を上回る性能を示した。
• Tree-arbiterプロトコルでは、0.02秒で完了したが、単調抽象化では37秒を要した。これは顕著なパフォーマンス向上を示している。
• IEEE 1394プロトコルでは、0.04秒で安全特性が検証されたが、単調抽象化では1時間15分25秒を要した。これは、本手法のスケーラビリティの優位性を強力に示している。
• 本手法は、すべてのベンチマークプロトコルをミリ秒単位で検証に成功し、顕著な実用的効率性を示した。
• 有限モデル探索ツールMace4は、例示されたシステムに対して、安全特性の論理式の反例モデルを0.05秒未満で生成でき、不正状態の到達不可能性が確認された。