[論文レビュー] Hypernode Automata

Ezio Bartocci, Thomas A. Henzinger+2 more|arXiv (Cornell University)|Jan 1, 2023

Formal Methods in Verification被引用数 3

ひとこと要約

本稿では、状態におけるハイパノード論理式による非同期ハイパプロパティの結合と、トレース同期のためのアクションラベル付き遷移を組み合わせた、ハイパノードオートマトンという新しい形式的枠組みを導入する。アクションラベル付きクリプケ構造上でハイパノードオートマトンの決定的モデルチェックアルゴリズムを提示し、並行システムにおける観察的決定性や動的改訂など、非同期ハイパプロパティの検証を可能にする。

ABSTRACT

We introduce hypernode automata as a new specification formalism for hyperproperties of concurrent systems. They are finite automata with nodes labeled with hypernode logic formulas and transitions labeled with actions. A hypernode logic formula specifies relations between sequences of variable values in different system executions. Unlike HyperLTL, hypernode logic takes an asynchronous view on execution traces by constraining the values and the order of value changes of each variable without correlating the timing of the changes. Different execution traces are synchronized solely through the transitions of hypernode automata. Hypernode automata naturally combine asynchronicity at the node level with synchronicity at the transition level. We show that the model-checking problem for hypernode automata is decidable over action-labeled Kripke structures, whose actions induce transitions of the specification automata. For this reason, hypernode automaton is a suitable formalism for specifying and verifying asynchronous hyperproperties, such as declassifying observational determinism in multi-threaded programs.

研究の動機と目的

• ハイパプロパティのトレース進捗が異なる場合に表現できないという、同期的ハイパロジック（例：HyperLTL）の制限を克服すること。
• 非同期性（ハイパノード内）と同期性（遷移で）を分離する新しい形式的枠組みを提案し、動的かつモード依存のセキュリティポリシーの自然な指定を可能にすること。
• ハイパノードオートマトンの決定的モデルチェック手順を開発し、並行システムにおける非同期ハイパプロパティの検証を支援すること。
• マルチスレッドプログラムにおける観察的決定性と情報漏洩の改訂の指定を通じて、表現力の高さを実証すること。

提案手法

• ハイパノードオートマトンは、ノードがハイパノード論理式でラベル付けされ、遷移がアクションでラベル付けされた有限オートマトンである。トレースの同期化を実現する。
• ハイパノード論理は、有限トレースセグメントの比較に、ストッパーを減らした接頭辞関係 ≾ を用いる。これにより、トレース間で独立した変数進捗を許容しつつ、順序付きの値変更比較を可能にする。
• モデルチェックアルゴリズムは、ストッパーを含まないオートマトンの新規構築を用いる。この構築は、フィルトレーションおよび自己合成技術に用いられ、ハイパノード論理式の検証に使用される。
• このアプローチは、自動車理論的手法を活用し、検証問題を標準的なオートマトン操作に還元することで、アクションラベル付きクリプケ構造上で決定性を保証する。
• 無限実行を扱う安全なハイパノードオートマトンがサポートされ、存在的トレース量化子を用いて非安全なハイパプロパティの検証が可能になる。
• ハイパノード間の遷移を通じてハイパプロパティの動的変更が可能であり、プログラムのモードスイッチをモデル化できる。

実験結果

リサーチクエスチョン

• RQ1 トレース比較における非同期性とトレース調整における同期性を両立できる形式的枠組みを設計できるか？
• RQ2 論理式ラベル付き状態を持つオートマトンで表現される一般クラスの非同期ハイパプロパティについて、モデルチェック問題が決定的か？
• RQ3 ハイパノードオートマトンは、観察的決定性がプログラムモードに応じて変化するような、動的情報フロー制御ポリシー（例：改訂）を表現できるか？
• RQ4 ハイパノードオートマトンの表現力は、HyperLTLS、HyperLTLC、A-HyperLTL、HyperATL* などの既存の非同期ハイパロジックと比べてどうか？
• RQ5 ストッパーを含まないオートマトンを、非同期ハイパプロパティの決定的かつモジュラーな検証の基盤として用いることができるか？

主な発見

• アクションラベル付きクリプケ構造上でハイパノードオートマトンのモデルチェック問題は決定的であり、非同期ハイパプロパティの自動検証の基盤を提供する。
• ハイパノード論理は、ストッパーを減らした接頭辞関係 ≾ をサポートし、同期タイミングを要せず、柔軟に非同期な有限トレースセグメントの比較を可能にする。
• この形式的枠組みは、文献に見られる観察的決定性の複数のバリエーション（動的およびモード依存形を含む）を表現可能である。
• ハイパノード間の遷移を通じて、情報の改訂をハイパノードオートマトンが指定でき、文脈依存のセキュリティポリシーをモデル化できる。
• Hµ やその拡張では表現できない性質を表現可能であるため、最近の非同期ハイパロジック（HyperLTLS, HyperLTLC, A-HyperLTL, HyperATL*）とは表現力において比較不能である。
• ストッパーを含まないオートマトンの使用により、非同期ハイパプロパティの文脈でフィルトレーションおよび自己合成をサポートする、技術的に新規な検証手法が可能になった。