[論文レビュー] Symbolic Reachability Analysis of B through ProB and LTSmin

Jens Bendisposto, Philipp Koerner+5 more|arXiv (Cornell University)|Mar 14, 2016

Formal Methods in Verification参考文献 32被引用数 6

ひとこと要約

本稿では、P insインタフェースおよびØMQベースのCブリッジを介してProBとLTSminを統合することにより、BおよびEvent-B仕様に対する記号的到達可能性解析フレームワークを提示する。この手法は、特にCAN_BUSやABZのランディングギアといった大規模な産業用モデルにおいて、明示的状態モデル検査よりも数個のオーダーの速度向上を達成し、記号的状態表現と高性能アルゴリズムを用いたスケーラブルな検証を可能にする。

ABSTRACT

We present a symbolic reachability analysis approach for B that can provide a significant speedup over traditional explicit state model checking. The symbolic analysis is implemented by linking ProB to LTSmin, a high-performance language independent model checker. The link is achieved via LTSmin's PINS interface, allowing ProB to benefit from LTSmin's analysis algorithms, while only writing a few hundred lines of glue-code, along with a bridge between ProB and C using ZeroMQ. ProB supports model checking of several formal specification languages such as B, Event-B, Z and TLA. Our experiments are based on a wide variety of B-Method and Event-B models to demonstrate the efficiency of the new link. Among the tested categories are state space generation and deadlock detection; but action detection and invariant checking are also feasible in principle. In many cases we observe speedups of several orders of magnitude. We also compare the results with other approaches for improving model checking, such as partial order reduction or symmetry reduction. We thus provide a new scalable, symbolic analysis algorithm for the B-Method and Event-B, along with a platform to integrate other model checking improvements via LTSmin in the future.

研究の動機と目的

• BおよびEvent-B仕様の明示的状態モデル検査におけるスケーラビリティの制限を克服すること。特に大規模な産業システムにおいて。
• LTSminの高性能アルゴリズムを活用し、BメソッドおよびEvent-Bにおける記号的到達可能性解析を可能にすること。
• 将来の拡張機能（不変式の検査や部分順序削減など）をサポートする安定的かつ拡張可能なProBとLTSmin間の統合プラットフォームを構築すること。
• 明示的状態モデル検査および既存の最適化技術（対称性削減や部分順序削減など）と比較して、記号的解析の性能を評価すること。
• LTSminの記号的バックエンドを活用しつつ、ProBの高水準な仕様サポートを維持する、スケーラブルで言語に依存しない検証プラットフォームを提供すること。

提案手法

• 統合は、LTSminのP insインタフェースを用い、ProBの状態表現および後続関数をLTSminの記号的モデル検査バックエンドに公開する。
• ØMQを用いて実装された軽量なCブリッジにより、ProBとLTSmin間の通信が可能となり、ProBの内部状態および操作表現がLTSmin互換形式に変換される。
• 記号的到達可能性は、LTSminの記号的バックエンドを用いて実行され、変数の再順序付け、遷移のグループ化、BDDを用いた状態空間探索が行われる。
• 本手法は、状態空間生成、デッドロック検出、および符号化された操作を介した不変式検査を含む、BおよびEvent-Bモデルの記号的解析をサポートする。
• ProBの制約ソルバーを用いて初期状態および遷移ガードを計算し、それらをLTSminに渡して記号的探索が行われる。
• 今後の拡張では、ガードや読み書き集合などの細粒度の操作レベル情報の送信を可能とし、ガードに基づく部分順序削減などの高度な最適化を実現する予定である。

実験結果

リサーチクエスチョン

• RQ1 LTSminの記号的バックエンドを介した記号的到達可能性解析は、BおよびEvent-B仕様において、ProBの明示的状態モデル検査を著しく上回る性能を達成できるか？
• RQ2 ProBとLTSminの記号的バックエンドの統合は、多様なBおよびEvent-Bモデル、特に産業事例において、どのようにスケーリングするか？
• RQ3 既存の最適化技術（対称性削減や部分順序削減など）と比較して、どの程度の性能向上が達成可能か？
• RQ4 ProB-LTSmin統合は、LTLモデル検査や不変式解析といった高度な検証タスクをどの程度まで拡張可能か？
• RQ5 この統合は、将来のLTSminのモデル検査改善をProBに組み込むための再利用可能なプラットフォームとして機能できるか？

主な発見

• ProB-LTSmin統合は、CAN_BUSやABZのランディングギアといった大規模な産業用モデルにおいて、明示的状態検査と比較して数個のオーダーの速度向上を達成した。
• CAN_BUSモデルでは、LTSminによる記号的到達可能性解析が、ProBの明示的状態モデルチェッカーと比較してほぼ2桁の速度向上を達成した。
• notaモデルでは、LTSminを用いた記号的到達可能性解析が不変式検査を0.5秒で完了したのに対し、ProBの部分順序削減では134秒を要した。
• 記号的アプローチは、Tlc（明示的状態）および対称性削減と比較して、複雑な制約や高い状態空間爆発を示すモデルにおいて大多数のベンチマークで優れた性能を示した。
• ProBの部分順序削減は一部のケースで性能劣化を示したが、特に不変式検査においては、記号的アプローチは効率的であった。
• 不変式を操作として符号化することで、不変式検査が成功した。これは、安全特性の検証の実現可能性を示している。