[論文レビュー] On Verifying Timed Hyperproperties

Hsi-Ming Ho, Ruoyu Zhou+1 more|arXiv (Cornell University)|Dec 25, 2018

Formal Methods in Verification参考文献 39被引用数 4

ひとこと要約

この論文は、時刻付き自動機としてモデル化されたシステムにおける時刻付きハイパープロパティの指定および検証のための、HyperLTL の時刻付き拡張であるHyperMTLを紹介する。本研究では、量化子の入れ替えが存在する場合、制限された時間制約のもとでも、HyperMTLのモデルチェックイングが非決定的であることを示しているが、同期的意味論または有界時間ドメインの下では決定的になることを示しており、既存のLTLおよびオートマトンツールを用いた実用的検証を可能にする。

ABSTRACT

We study the satisfiability and model-checking problems for timed hyperproperties specified with HyperMTL, a timed extension of HyperLTL. Depending on whether interleaving of events in different traces is allowed, two possible semantics can be defined for timed hyperproperties: asynchronous and synchronous. While the satisfiability problem can be decided similarly to HyperLTL regardless of the choice of semantics, we show that the model-checking problem, unless the specification is alternation-free, is undecidable even when very restricted timing constraints are allowed. On the positive side, we show that model checking HyperMTL with quantifier alternations is possible under certain conditions in the synchronous semantics, or when there is a fixed bound on the length of the time domain.

研究の動機と目的

• 反復的システムにおけるタイミング依存のセキュリティポリシー、たとえばタイミング側帯域漏洩など、形式的検証のニーズに対応する。
• 時刻付きトレース間の関係を表現できる形式的記法として、HyperLTLを時刻付きシステムへ拡張し、HyperMTLを導入する。
• 異なる意味論および制約条件の下で、HyperMTLの充足可能性およびモデルチェックイングの決定性を分析する。
• 通常は非決定的になる量化子の入れ替えが存在する場合でも、HyperMTLのモデルチェックイングが依然として決定的である条件を同定する。
• QPTLおよび非時刻付きオートマトンへの還元を介して、既存のツールと連携することで、実用的検証を可能にする。

提案手法

• 時刻付き実行トレース間の関係を指定できるように、トレース量化子を追加したメトリック時刻論理（MTL）を拡張することでHyperMTLを定義する。
• イベントがトレース間で時刻的に重ね合わせ可能かどうかに基づく、同期的および非同期的の2種類のポイントワイズ意味論を導入する。
• 有界時間ドメインを有するHyperMTL論理式を、同等のQPTL論理式に変換するスタッキング構成を用い、モデルチェックイングをQPTLにおける充足可能性問題に還元する。
• 時刻付きオートマトンおよびそのトレースを表すためにMSO[<, +1]論理を用い、モデルチェックイングに向けたオートマトンへの変換を可能にする。
• 同期的意味論または有界時間ドメインの下で、HyperMTLのモデルチェックイングをQPTLにおける充足可能性問題に還元することで、決定性の結果を証明する。
• 非時刻付きオートマトンおよびLTLベースのツール（例：SPOT、GOAL、Owl）への還元を用い、HyperMTL論理式の実用的検証を可能にする。

実験結果

リサーチクエスチョン

• RQ1 仕様に量化子の入れ替えが含まれる場合、HyperMTLのモデルチェックイング問題は決定的か？
• RQ2 同期的と非同期的意味論の選択が、HyperMTLモデルチェックイングの決定性にどのように影響するか？
• RQ3 HyperMTLモデルチェックイングは、時刻論理またはオートマトン理論における既知の決定的問題に還元可能か？
• RQ4 システムまたは仕様にどのような制限を課すと、量化子の入れ替えが存在する場合でもHyperMTLモデルチェックイングが依然として決定的となるか？
• RQ5 有界時間ドメインは、完全なHyperMTLについても決定性を回復できるか？ もしそうなら、既存の検証ツールとどのように統合できるか？

主な発見

• 仕様に少なくとも1つの量化子の入れ替えが含まれる場合、非常に制限された時間制約のもとでも、HyperMTLのモデルチェックイングは非決定的である。
• イベントが複数のトレース間で重ね合わされるのを禁止する同期的意味論の下では、決定性が回復する。
• 時間ドメインが事前に[0, N)（ある正の整数N）に有界である場合、モデルチェックイングは決定的になる。
• 有界時間ドメインの下では、HyperMTLモデルチェックイングはQPTLにおける充足可能性問題に還元され、最適化された汎用ツールの利用が可能になる。
• ∃∗∀∗断片ですら、既存のLTLおよびオートマトンベースの検証バックエンドを用いて、効率的にモデルチェックイングが可能である。
• 同期的意味論は証明を単純化し、ステッタリング構成の必要性を回避し、直接MSO[<, +1]論理による推論を可能にする。