[論文レビュー] Lazy Probabilistic Model Checking without Determinisation

Ernst Moritz Hahn, Guangyuan Li+3 more|arXiv (Cornell University)|Nov 12, 2013

Formal Methods in Verification参考文献 5被引用数 9

ひとこと要約

本稿では、LTL仕様に対するマークフ・チェーンおよびマークフ意思決定過程（MDP）のための、完全なSafraスタイルの決定化を回避するラグギー確率的モデル検査手法を提示する。代わりに、軽量な代替手法としてサブセットおよびブレークポイント構成を用いることで、効率的な記号的および明示的状態空間探索を可能にする。主な貢献は、ネストされた時相演算子を含む複雑なLTL式に対して、自動化変換コストを低減し、大多数のケースで高価な決定化を回避することで、成熟したツール（PRISM や Rabinizer 3）を上回る性能を達成する手法の開発である。

ABSTRACT

The bottleneck in the quantitative analysis of Markov chains and Markov decision processes against specifications given in LTL or as some form of nondeterministic Büchi automata is the inclusion of a determinisation step of the automaton under consideration. In this paper, we show that full determinisation can be avoided: subset and breakpoint constructions suffice. We have implemented our approach - both explicit and symbolic versions - in a prototype tool. Our experiments show that our prototype can compete with mature tools like PRISM.

研究の動機と目的

• LTL式の完全なSafraスタイルの決定化に起因する確率的モデル検査の性能ボトルネックを解消すること。
• マークフ・チェーンおよびMDPにおけるLTL性質の自動化ベース検証の計算コストを低減すること。
• 従来のツールでは決定化のオーバーヘッドにより実行不可能な、複雑なLTL式の効率的検証を可能にすること。
• Safraに基づく複雑な構成の実装を避けるが、正しさとスケーラビリティを維持する実用的フレームワークの開発。
• 実世界の事例において、成熟したツール（PRISM や Rabinizer 3）と同等以上の性能を示すことを実証すること。

提案手法

• LTL式の Büchi 自動機の下界および上界近似を生成するためにサブセット構成を用いる。
• システムモデルとサブセット自動機との間で製品マークフ・チェーンを構築し、到達確率を計算する。
• サブセット近似が不確かである場合にのみ、局所的な分析を精緻化するためにブレークポイント構成を適用する。
• Rabinに基づく決定化は最後の手段として用い、かつ小さな、重要な部分状態空間に限定して適用する。
• エンド成分の分析と類似した近似戦略を用いることで、MDPに対してもフレームワークを適応させる。
• 実用的評価のため、IscaMCツールに明示的および記号的（BDDベース）の両実装を実装する。

実験結果

リサーチクエスチョン

• RQ1 完全なSafraスタイルの決定化を回避することで、LTLに対する確率的モデル検査の正しさを損なわずに実現可能か？
• RQ2 実際の応用において、サブセットおよびブレークポイント構成が完全な決定化をどの程度代替可能か？
• RQ3 サブセットおよびブレークポイント構成に基づくラグギー手法の性能は、Rabinに基づく決定化および成熟したツール（PRISM）と比べてどうか？
• RQ4 マルチブレークポイント構成は、Rabinに基づく決定化と比較して、どのような状況で優れるか、あるいは劣るか？
• RQ5 本手法は、GおよびU演算子をネストするような大規模なLTL式（例：ネストされたGとU）を効率的に処理できるか？

主な発見

• サブセットおよびブレークポイント構成を用いたIscaMCプロトタイプは、PRISM や Rabinizer 3 よりも多くのLTL式で優れた性能を示した。特に、ネストされたGおよびU演算子を含む式で顕著であった。
• ワークステーションクラスタプロトコルの事例では、IscaMCは全性質を10秒未塔で完了したが、PRISMは大規模な式（例：propU12以降）でRabin自動機構築に起因する記憶域または実行時間の過剰を理由に失敗した。
• 自己安定化プロトコルの事例では、IscaMCの明示的バージョンがPRISMおよびRabinizer 3を上回り、記号的バージョンはk=6, n=15を除き、Rabinizer 3をすべてのケースで上回った。
• propUk式では、サブセット構成のみで十分であり、確率0.509642が得られた。これは、完全な決定化が不要であることを示している。
• propGF∧k式では、ブレークポイント構成のみで確率が0と特定され、さらなる決定化は不要であった。
• propGF∨k式では、マルチブレークポイントまたはSafraベースの決定化が必要であり、すべての式が完全な決定化なしに解決可能ではないことが確認されたが、状態空間の限定的な部分に限定して必要となった。