[論文レビュー] On Verifying Complex Properties using Symbolic Shape Analysis

Thomas Wies, Viktor Kunčak+3 more|ArXiv.org|Sep 18, 2006

Protein Structure and DynamicsBiochemistry, Genetics and Molecular Biology参考文献 56被引用数 21

ひとこと要約

Bohne は、木構造上の単調第二階論理の決定手続き、SMT ソルバ（CVC Lite）、および Isabelle の定理証明器を組み合わせることで、一階論理の結合的かつ普遍的に量化されたループ不変条件を合成する、記号的形状解析アルゴリズムである。この手法により、リンクリスト、ツリー、配列などの動的データ構造における安全性、整合性、契約に関する性質を正確に検証可能となり、キャッシュおよび量化子のインスタンス化による性能向上が実現される。

ABSTRACT

One of the main challenges in the verification of software systems is the analysis of unbounded data structures with dynamic memory allocation, such as linked data structures and arrays. We describe Bohne, a new analysis for verifying data structures. Bohne verifies data structure operations and shows that 1) the operations preserve data structure invariants and 2) the operations satisfy their specifications expressed in terms of changes to the set of objects stored in the data structure. During the analysis, Bohne infers loop invariants in the form of disjunctions of universally quantified Boolean combinations of formulas. To synthesize loop invariants of this form, Bohne uses a combination of decision procedures for Monadic Second-Order Logic over trees, SMT-LIB decision procedures (currently CVC Lite), and an automated reasoner within the Isabelle interactive theorem prover. This architecture shows that synthesized loop invariants can serve as a useful communication mechanism between different decision procedures. Using Bohne, we have verified operations on data structures such as linked lists with iterators and back pointers, trees with and without parent pointers, two-level skip lists, array data structures, and sorted lists. We have deployed Bohne in the Hob and Jahob data structure analysis systems, enabling us to combine Bohne with analyses of data structure clients and apply it in the context of larger programs. This report describes the Bohne algorithm as well as techniques that Bohne uses to reduce the ammount of annotations and the running time of the analysis.

研究の動機と目的

• リンクリストや動的割り当てされた配列のような無限大のヒープ領域に確保されたデータ構造における、複雑な不変条件を検証する課題に対処すること。
• 統一されたフレームワーク内で、到達可能性やツリー構造といった形状的性質と、整列性や配列の不変条件といった関数的性質を同時に検証できること。
• 決定手続きと意味的キャッシュを用いて自動的に正確なループ不変条件を推論することで、手動による注釈の必要性を低減すること。
• 複数の決定手続きを合成された不変条件を通じて統合することで、プログラム検証のスケーラビリティと自動化を向上させること。
• 単調第二階論理、SMT 解法、定理証明の統合が、複雑なデータ構造操作の検証にどのように有効であるかを示すこと。

提案手法

• Bohne は、構造的および関数的性質を表す一元的述語を用いて、ヒープに確保されたオブジェクトを分割する記号的形状解析を用いる。
• ループ不変条件は、普遍的に量化された論理式の論理和として合成され、二進決定図（BDD）の集合として表現される。
• アルゴリズムは、木構造上の単調第二階論理の決定手続きと、SMT ソルバ（CVC Lite）および Isabelle の自動推論エンジンを組み合わせて不変条件を推論する。
• フィールド制約解析により、単調第二階論理式内での未解釈関数記号の使用が可能となり、重要なケースにおいて完全性が保持される。
• 意味的キャッシュと事前条件の項の伝搬により、重複する決定手続きの呼び出しを削減し、性能が向上する。
• 量化子のインスタンス化は、過去のループ反復に基づいて文脈的に実行され、計算コストを低減しながらも正確性を維持する。

実験結果

リサーチクエスチョン

• RQ1 記号的形状解析アルゴリズムは、データ構造における到達可能性と関数的性質を統合した複雑な、結合的なループ不変条件を自動的に推論できるか？
• RQ2 単調第二階論理と SMT の決定手続きを効果的に連携することで、手動の注釈なしにデータ構造の不変条件を検証できるか？
• RQ3 意味的キャッシュと文脈に依存する量化子インスタンス化は、形状解析における決定手続きの呼び出し回数をどの程度削減できるか？
• RQ4 統一された解析フレームワークは、同一の検証プロセス内で構造的不変条件（例：ツリー構造）と関数的不変条件（例：整列性）を両方検証できるか？
• RQ5 Isabelle の定理証明器を外部の決定手続きと統合することで、合成された不変条件の通信と正確性はどのように向上するか？

主な発見

• Bohne は、単方向リンクリスト、双方向リンクリスト、2段階スキップリスト、親ポインタを有する・ないツリー、整列リスト、配列など、多様なデータ構造において複雑な性質を正当に検証した。
• List.reverse の検証において、決定手続きの呼び出し回数が 72% 減少（合計 371 回、キャッシュヒット率 22%）し、キャッシュの有効性を示した。
• 意味的キャッシュを無効化した場合、解析が 1.3 から 1.5 倍遅くなったことから、その性能への顕著な影響が確認された。
• 量化子のインスタンス化を無効化した場合、実行時間が 1.2 から 3.6 倍に増加したため、スケーラビリティにおいてその機能が極めて重要であることが示された。
• Tree.add の解析では、決定手続きの呼び出しが 983 回（合計時間の 91%）にのぼり、81 秒で実行された。これは、複雑な不変条件のコストが顕著であることを示している。
• このフレームワークにより、手動による注釈の必要性が低減され、データ構造に格納された要素の集合に生じる変更といった手続き契約の検証が可能になった。