[論文レビュー] Structural Invariants for Parametric Verification of Systems with Almost Linear Architectures

Dorel Marius Bozga, Radu Iosif+1 more|arXiv (Cornell University)|Feb 7, 2019

Formal Methods in Verification参考文献 30被引用数 8

ひとこと要約

本稿では、相互作用論理式から直接構造的インヴァリアント（特にトラップインヴァリアント）を合成することで、未知で非有界な数のコンポonentを有する並行システムのパrametric検証手法を提示する。この手法は、弱い一階後続関数に関するモノイド第二階論理（WS1S）における正規化および双対化を活用し、固定点反復を回避して、デッドロック防止や相互排他といった安全特性を効率的に検証可能であり、ドーナツ型の哲学者や相互排他プロトコルといった教科書的例の検証に成功している。

ABSTRACT

We consider concurrent systems consisting of a finite but unknown number of components, that are replicated instances of a given set of finite state automata. The components communicate by executing interactions which are simultaneous atomic state changes of a set of components. We specify both the type of interactions (e.g.\ rendez-vous, broadcast) and the topology (i.e.\ architecture) of the system (e.g.\ pipeline, ring) via a decidable interaction logic, which is embedded in the classical weak sequential calculus of one successor (WS1S). Proving correctness of such system for safety properties, such as deadlock freedom or mutual exclusion, requires the inference of an inductive invariant that subsumes the set of reachable states and avoids the unsafe states. Our method synthesizes such invariants directly from the formula describing the interactions, without costly fixed point iterations. We applied our technique to the verification of several textbook examples, such as dining philosophers, mutual exclusion protocols and concurrent systems with preemption and priorities.

研究の動機と目的

• 非有界数のコンポonentを有する並行システムにおける安全特性の検証の課題に対処すること。
• 固定点反復のコストを回避するため、相互作用論理から直接インヴァリアントを合成する手法を開発すること。
• 等価性、未解釈述語、循環的後続関数を含むより豊富な相互作用論理へ、トラップインヴァリアントの先行研究を拡張すること。
• トラップインヴァリアントの不完全性を補完するために、アシュクロフトインヴァリアントを併用する技術を統合すること。
• WS1Sと有限オートマトンを用いた、スケーラブルでオートマトン理論的アプローチによるパラメトリックシステムの検証を提供すること。

提案手法

• 本手法は、システムアーキテクチャおよび通信パターン（例：リング、パイプライン、クリーク）を記述する相互作用論理式から、トラップインヴァリアントを合成する。
• 相互作用式を埋め込むために、弱い一階後続関数に関するモノイド第二階論理（WS1S）を用い、オートマトンベースの推論を可能にする。
• 本手法は2つの主要な論理的操作を適用する：正規化（最小モデルを保持しつつ式を弱める操作）および双対化（量化子と論理接続詞を入れ替える操作）。
• トラップインヴァリアントは、システムの動的挙動下で「捕らわれた」ローカル状態の集合として、相互作用ネットワークの構造的性質から導出される。
• 検証条件は、MONAツールを介してWS1S式から生成された有限のラビン＝スコットオートマトンと、VATAツリー・オートマトンライブラリを用いて検証される。
• トラップインヴァリアントが不十分な場合、直交的な手法により普遍的アシュクロフトインヴァリアントが計算され、証明を強化する。

実験結果

リサーチクエスチョン

• RQ1 固定点反復を伴わずに、相互作用論理式からトラップインヴァリアントを直接合成可能か？
• RQ2 リング、パイプライン、クリークアーキテクチャを統一的な論理的枠組みで扱えるか？
• RQ3 トラップインヴァリアントとアシュクロフトインヴァリアントの組み合わせが、広範なパラメトリックシステムの安全特性を証明するのに十分か？
• RQ4 WS1Sにおけるオートマトン理論的技法を用いて、本手法を効率的に実装可能か？
• RQ5 本手法は、ドーナツ型の哲学者や相互排他プロトコルといった古典的パラメトリック検証ベンチマークにおいて、スケーリング性能に優れるか？

主な発見

• 本手法は、ドーナツ型の哲学者や相互排他プロトコルを含む、すべてのテスト済み教科書的例について、固定点反復を一切用いずにデッドロック防止を成功裏に検証した。
• Szymanskiプロトコルのような一部の相互排他例では、トラップインヴァリアント単体では不十分であり、悪い状態との共通部分が空でないことが示され、追加のインヴァリアントの必要性が確認された。
• 共有グローバルフォークを有するドーナツ型の哲学者（Dining Philosophers III）は、トラップインヴァリアントのみで検証に成功し、複雑な構成でもその有効性が示された。
• 実行時間は0.004秒から21.640秒の範囲にあり、最も複雑な例（Dining Philosophers III）で4GB RAMの仮想マシン上でも22秒未塔であった。
• ツリー型アーキテクチャへの拡張はツリー・オートマトンを用いて行われ、Dijkstra-Scholtenの終了検出アルゴリズムの線形および完全2分木バージョンの両方で成功裏に検証された。
• アシュクロフトインヴァリアントの統合により、トラップインヴァリアントが失敗したケースが解消され、組み合わせたアプローチが困難なシナリオにおいても安全特性を証明できる強力な手法であることが示された。