[論文レビュー] Portability Analysis for Axiomatic Memory Models. PORTHOS: One Tool for all Models

Hernán Ponce-de-León, Florian Furbach+2 more|arXiv (Cornell University)|Feb 22, 2017

Formal Methods in Verification参考文献 27被引用数 3

ひとこと要約

porthos は、異なる弱いメモリモデル間の整合性を分析することにより、パフォーマンスが求められるコードにおけるポート移行バグを検出する最初のツールである。SMTソルブを用いたバウンデッドモデルチェックを用い、特定のアーキテクチャ（例：Power）で有効な実行が、元のアーキテクチャ（例：TSO）では無効であるケースを効率的に検出する。再帰的メモリモデルの意味論と量記号の入れ替えを、存在的クエリを用いて効率的に符号化する。

ABSTRACT

We present Porthos, the first tool that discovers porting bugs in performance-critical code. Porthos takes as input a program and the memory models of the source architecture for which the program has been developed and the target model to which it is ported. If the code is not portable, Porthos finds a bug in the form of an unexpected execution - an execution that is consistent with the target but inconsistent with the source memory model. Technically, Porthos implements a bounded model checking method that reduces the portability analysis problem to satisfiability modulo theories (SMT). There are two main problems in the reduction that we present novel and efficient solutions for. First, the formulation of the portability problem contains a quantifier alternation (consistent + inconsistent). We introduce a formula that encodes both in a single existential query. Second, the supported memory models (e.g., Power) contain recursive definitions. We compute the required least fixed point semantics for recursion (a problem that was left open in [47]) efficiently in SMT. Finally we present the first experimental analysis of portability from TSO to Power.

研究の動機と目的

• 異なるメモリモデルを持つアーキテクチャ間での移行において、パフォーマンスが求められるコードにおけるポート移行バグを検出する課題に対処すること。
• すべてのターゲットアーキテクチャでの実行が、元のアーキテクチャのメモリモデルのもとでも有効であることを保証する、スケーラブルで自動化された手法を提供すること。
• 2つの主要な技術的課題を解決すること：ポート性チェックにおける量記号の入れ替えの符号化、および再帰的メモリモデル定義における最小不動点の効率的計算。
• アーキテクチャ固有のコンパイルに起因する低レベルのコード差異にもかかわらず、高レベルのプログラムのポート性を検証可能にすること。

提案手法

• porthos は、ポート性解析問題を、論理的充足可能性論理（SMT）に還元し、ターゲットでの整合性とソースでの不整合性の入れ替えを1つの存在的クエリで符号化する。
• 再帰的メモリモデル定義（例：Powerモデル）における最小不動点のための、独創的なSMT符号化を導入し、高価なアンロールを避けるために整数差分論理を用いる。
• 低レベルの実行を高レベルのプログラムイベントに戻す関数 hlinst を用いて、コンパイル済みコードと元のコード間の意味的対応を保証する。
• 実行の投影（execproj）を、イベントマッピング、関係の保存（rf, co）、および完全性を保証する制約の論理積として定式化する。
• サイクル検出を充足可能性問題に還元するために、補助変数を導入し、循環性の充足不可能性チェックを回避する。
• ユーザー定義のメモリモデルをCAT言語で記述可能とし、x86（TSO）やPowerなど、多様なアーキテクチャ間での解析を可能にする。

実験結果

リサーチクエスチョン

• RQ1 1つのツールが、ターゲットでの実行がすべてソースでも有効であることを検証することで、異なる弱いメモリモデル間でのポート移行バグを検出できるか？
• RQ2 ポート性チェックにおける量記号の入れ替え（ターゲットで整合的、ソースで不整合的）を、SMTで効率的に符号化する方法は何か？
• RQ3 再帰的メモリモデル定義（例：Powerメモリモデル）における最小不動点を効率的に計算するSMT符号化は何か？
• RQ4 低レベルのコンパイル差異がポート性に与える影響はどの程度か？ また、高レベルの意味論を解析で保てるか？

主な発見

• porthos は、ターゲットメモリモデル（例：Power）で有効なが、ソースモデル（例：TSO）では無効な実行を特定することで、ポート移行バグを効果的に検出する。
• 再帰的メモリモデルにおける最小不動点のSMT符号化は、単純なアンロールよりも著しく効率的であり、スケーラブルな検証を可能にする。
• このアプローチにより、ポート性チェックが1つの存在的SMTクエリに簡略化され、ネストされた量記号の解消や充足不可能性チェックの必要がなくなる。
• 実験的分析により、補助変数を用いたサイクル検出の符号化が実際の運用でも正しくかつ効率的であることが確認された。
• 状態ベースのポート性はアルゴリズム的により困難（SATを超える）であるが、提案された実行ベースの定義は、実際の結果において同等の性能を示した。