[論文レビュー] Proving or Disproving likely Invariants with Constraint Reasoning

Tristan Denmat, Arnaud Gotlieb+1 more|ArXiv.org|Aug 24, 2005

Formal Methods in Verification参考文献 17被引用数 5

ひとこと要約

この論文は、制約に基づくアプローチを提示し、一部の実行では成り立つがすべての実行で成り立つとは限らない可能性のある不変条件（おそらく成り立つ不変条件）を自動的に検証する。この方法では、命令型プログラムをCLP(FD)を用いて制約系に変換し、おそらく成り立つ不変条件を制約としてエンコードし、その不変条件の否定と組み合わせた制約系の充足可能性をチェックする。充足可能性が満たされない場合、不変条件は普遍的に成り立つ。

ABSTRACT

A program invariant is a property that holds for every execution of the program. Recent work suggest to infer likely-only invariants, via dynamic analysis. A likely invariant is a property that holds for some executions but is not guaranteed to hold for all executions. In this paper, we present work in progress addressing the challenging problem of automatically verifying that likely invariants are actual invariants. We propose a constraint-based reasoning approach that is able, unlike other approaches, to both prove or disprove likely invariants. In the latter case, our approach provides counter-examples. We illustrate the approach on a motivating example where automatically generated likely invariants are verified.

研究の動機と目的

• 動的に推定されるが、すべての実行で成り立つとは保証されない、おそらく成り立つ不変条件の検証という課題に対処すること。
• 従来の手法が一方的な方向性（たとえば、誤りの検出のみ）に限られるのとは異なり、真の不変条件を証明し、偽の不変条件を反証できる手法を開発すること。
• 静的解析の精度を向上させるために動的推定を活用しつつ、制約に基づく検証によって整合性を保証すること。
• おそらく成り立つ不変条件が無効である場合に反例を提供することで、プログラムの性質のデバッグと精練を可能にすること。
• ESC-Java や Daikon のような既存のツールの限界を克服すること。これらは誤った不変条件を反証できないか、証明にアサーションを必要とする。

提案手法

• 制御フローとデータ依存関係を捉える形式的実行意味論モデルに基づき、命令型プログラムをCLP(FD)を用いて制約系に変換する。
• Daikon のような動的解析ツールによって生成されたおそらく成り立つ不変条件を、プログラム変数上の論理的制約として表現する。
• プログラムの意味論とおそらく成り立つ不変条件の否定を組み合わせた制約系 CS ∧ ¬I を構築する。
• 制約ソルバーを用いてこの組み合わせられた制約系の充足可能性をチェックする。充足可能であれば反例が存在し、充足不可能であれば不変条件は普遍的に成り立つ。
• 制約伝播を活用して探索空間を削減し、単純な生成・テスト手法よりも効率を向上させる。
• 条件分岐やループ構文を正確にモデル化できるように、ゲート付き制約（*ite* や *w* 演算子を用いて）を導入し、制約論理におけるプログラム動作の精密なモデル化を可能にする。

実験結果

リサーチクエスチョン

• RQ1 制約ベースの手法は、一方的な方向性に制限されず、おそらく成り立つ不変条件を両方（証明と反証）に対応できるか？
• RQ2 おそらく成り立つ不変条件の検証において、制約伝播が探索空間をどれほど削減できるか？
• RQ3 特に複雑なループを含むプログラムに対して、終了性やスケーラビリティの観点でこのアプローチにどのような限界があるか？
• RQ4 動的解析によって推定された誤った不変条件を検出し、反例を提供できるか？
• RQ5 実際の性能において、このアプローチは静的解析や純粋な生成・テスト手法と比べてどうか？

主な発見

• 制約系 CS ∧ ¬I が充足不可能であることを示すことで、あるおそらく成り立つ不変条件が真の不変条件であることが正当に証明された。
• 2つのおそらく成り立つ不変条件が、妥当な反例を返す制約ソルバーによって反証され、誤った正例（false positive）を検出できる能力が裏付けられた。
• 近似に依存しないため、証明と反証の両方を可能にし、下界近似（反証のみ）や上界近似（証明のみ）の手法とは異なり、より包括的な検証が可能である。
• 制約伝播により、列挙すべきケースの数が顕著に削減されるが、複雑または非線形な制約が原因で伝播が失敗すると性能が劣化する。
• 制約伝播が不十分な場合、この手法は生成・テスト戦略に劣化するが、これは大きな入力ドメインでは非現実的になる。
• このアプローチは制約論理と意味論に基づいて形式的に裏付けられており、ホーン論理に類似した宣言的構造を持つが、効率性を高めるために伝播機能が拡張されている。