[論文レビュー] Partial Orders for Efficient BMC of Concurrent Software

Jade Alglave, Daniel Kroening+1 more|arXiv (Cornell University)|Jan 8, 2013

Formal Methods in Verification参考文献 50被引用数 3

ひとこと要約

本稿では、x86 や Power のような弱いメモリモデルに一般化可能な部分順序に基づく境界モデルチェック（BMC）手法を提案する。この手法は、スレッドのインタリーブ実行の組み合わせ爆発を回避する。並行実行を全順序インタリーブではなく部分順序としてモデル化することにより、複数のメモリモデルにおいて、スケーラブルで健全かつ完全な実世界の並行 C プログラムの検証が可能となり、Apache や PostgreSQL、Linux カーネルの RCU を含む非自明なシステムコードの初回の形式的検証を達成した。

ABSTRACT

The vast number of interleavings that a concurrent program can have is typically identified as the root cause of the difficulty of automatic analysis of concurrent software. Weak memory is generally believed to make this problem even harder. We address both issues by modelling programs' executions with partial orders rather than the interleaving semantics (SC). We implemented a software analysis tool based on these ideas. It scales to programs of sufficient size to achieve first-time formal verification of non-trivial concurrent systems code over a wide range of models, including SC, Intel x86 and IBM Power.

研究の動機と目的

• 順序整合性（SC）下でのスレッドインタリーブ数の指数的増加が引き起こす並行ソフトウェア検証のスケーラビリティ問題に対処すること。
• Intel x86 や IBM Power のような弱いメモリモデルにおけるインタリーブベース検証の制限を克服すること。これらのモデルは SC よりも多くの動作を許容する。
• 実際の並行システムコード（例：Apache、PostgreSQL、Linux カーネル）を、多様なメモリモデルにおいて実用的で、健全かつ完全な検証を可能にすること。
• Power や ARM におけるストアアトミックティの緩和といった複雑な並行パターンの効率的検証を可能にすること。これらは既存のツールでしばしば見逃される。

提案手法

• 並行実行を全順序インタリーブではなく、部分順序としてモデル化し、 happens-before 関係とプログラム順序関係を明示的に捉える。
• 各並行プログラムを論理式として表現する。この式は2つの部分から成る：スレッド内での制御フローやデータフロー、および部分順序による並行実行制約。
• 記号的決定手続きを用いて、論理式上の到達可能性クエリに応答し、バウンデッドループに対して健全かつ完全であることを保証する。
• メモリモデルの公理的仕様を制約として論理式にエンコードすることで、複数のメモリモデル（SC、x86、Power）をサポートする。
• C プログラムをこの論理的表現に変換し、部分順序削減を伴う境界モデルチェックを実行するツールを実装する。
• ラムポートの happens-before モデルからのクロックを活用し、推移的閉包を避けることで、部分順序を定義する。これにより、冗長な制約を回避できる。

実験結果

リサーチクエスチョン

• RQ1 部分順序意味論を用いることで、弱いメモリモデルにおける並行 C プログラムの境界モデルチェックをスケーリングできるか？
• RQ2 インタリーブベース手法と比較して、部分順序による並行実行のモデル化が、状態空間の爆発問題を軽減できるか？
• RQ3 同一の検証フレームワークが、SC、x86、Power を含む多様なメモリモデルを、健全性や完全性を損なわず処理できるか？
• RQ4 このアプローチを用いて、Apache や PostgreSQL、Linux カーネルなどの非自明な実世界の並行システムコードを形式的に検証できるか？
• RQ5 既存のツールが見逃す、Power におけるストアアトミックティの緩和に関連する微細な並行バグを検出できるか？

主な発見

• 本ツールは、全モデルで弱いメモリの兆候（再順序、ストアバッファ、非アトミックストアなど）を含む 4,500 個のリトミングテストを平均 0.22 秒で検証し、他のすべてのツールを上回った。
• 本ツールは、x86 で 2.45 秒、Power で 2.8 秒の所要時間で Apache HTTP サーバーの fdqueue モジュール（28,864 行）を検証し、ワーカーの引き継ぎ中におけるデータ一貫性を保証した。
• 本ツールは、Power 上で PostgreSQL のワーカー同期メカニズムに以前検出されなかったバグを確認し、2つのフェンス命令の追加で修正された。
• 本ツールは、x86 および Power での Linux カーネルの RCU 機構（5,824～5,834 行）を 1 秒未塔で検証し、データ一貫性を証明した。また、lwsync フェンスを削除すると不変条件が破壊されることも示した。
• 本ツールは、Fibonacci の例について 300 回以上のループ展開を処理でき、ESBMC よりも 30 倍多い。同じ時間予算内でのスケーラビリティが優れていることを示した。
• 本アプローチは、実ハードウェアで重要なが形式検証でしばしば無視される、Power や ARM における微細なストアアトミックティの緩和を処理する最初の手法である。