[論文レビュー] Property Checking Without Inductive Invariants

Eugene Goldberg|arXiv (Cornell University)|Feb 18, 2016

Software Testing and Debugging Techniques参考文献 15被引用数 4

ひとこと要約

この論文は、部分的量化子除去（PQE）を用いた深さ優先探索ベースの方法を提示し、帰納的不変条件を生成せずに安全特性の検証を可能にする。この手法により、帰納的不変条件を生成しないで証明が可能となり、到達可能性径路を効率的に計算し、その径路までトレースを探索することで特性を証明する。変種（$\\-mathit{ProveProp^*}$）は、初期状態を特性を満たす状態で拡張することで収束を加速する。

ABSTRACT

We introduce a procedure for proving safety properties. This procedure is based on a technique called Partial Quantifier Elimination (PQE). In contrast to complete quantifier elimination, in PQE, only a part of the formula is taken out of the scope of quantifiers. So, PQE can be dramatically more efficient than complete quantifier elimination. The appeal of our procedure is twofold. First, it can prove a property without generating an inductive invariant. Second, it employs depth-first search and so can be used to find deep bugs.

研究の動機と目的

• 帰納的不変条件の生成における制限、特に不変条件が大きすぎる、または見つけにくい場合の課題に対処すること。
• 帰納的不変条件の構築を回避する完全な特性検証手順を開発すること。
• 遷移系における深いバグの検出を可能にする深さ優先探索を可能にすること。
• すべての到達可能状態を列挙せずに到達可能性径路を計算すること。
• 特性検証の収束速度を、特性を満たす状態で初期状態集合を拡張することで向上させること。

提案手法

• この手法は、部分的量化子除去（PQE）を用い、全量化子除去ではなく、関連する部分にのみ焦点を当てて量化子を除去する。
• 安全問題を2つの部分問題に定式化する：到達可能性径路の計算と、その径路内での悪影響状態の確認。
• コア手順 $\\-mathit{ProveProp}$ は、PQEを用いて到達可能性径路までのトレースに対して深さ優先探索を実行する。
• 変種 $\\-mathit{ProveProp^*}$ は、初期状態集合 $I$ を $I^{\\-mathit{exp}}$ に拡張し、$I \rightarrow I^{\\-mathit{exp}}$ かつ $I^{\\-mathit{exp}} \rightarrow P$ を満たすようにすることで、誤った反例状態を除外し、収束を改善する。
• 反例は、それらを偽にする節を構築することで、一度に複数の誤った初期状態を除外できるように分析され、冗長性に基づく推論により効率が向上する。
• この手法は、冗長性に基づく推論に裏打ちされた既存のPQEソルバーを活用し、スケーラビリティと完全性を確保する。

実験結果

リサーチクエスチョン

• RQ1 帰納的不変条件を生成せずに安全特性を証明できるか？
• RQ2 すべての到達可能状態を列挙せずに到達可能性径路を効率的に計算できるか？
• RQ3 PQEを用いることで、特性検証における深さ優先探索を完全なものにできるか？
• RQ4 特性を満たす状態で初期状態集合を拡張することで、収束を加速できるか？
• RQ5 PQEに基づく特性検証は、安全検証において完全な量化子除去よりも効率的か？

主な発見

• $\\-mathit{ProveProp}$ 手順は完全であり、深さ優先探索を実行するため、ハードウェア設計における深いバグの検出に効果的である。
• この手法は、すべての到達可能状態の集合を明示的に構築せずに到達可能性径路を計算するため、メモリ使用量の削減が可能である。
• $\\-mathit{ProveProp^*}$ 変種は、特性を満たす状態で初期状態集合を拡張することで収束を加速し、必要な反復回数を削減する。
• 反例の分析により、それらを偽にする節を構築することで、一度に複数の誤った初期状態を除外でき、効率が向上する。
• PQEの使用により、特に大規模または複雑な状態空間を持つシステムでは、完全な量化子除去よりも顕著な性能向上が達成される。
• このアプローチは、コンactな帰納的不変条件を求める必要がなくなり、それが存在しない、または計算的に費用がかかる場合に特に有効である。