[논문 리뷰] Formalizing the Soundness of the Encoding Methods of SAT-based Model Checking

Daisuke Ishii, Saito Fujii|arXiv (Cornell University)|2020. 06. 24.

Formal Methods in Verification참고 문헌 17인용 수 2

한 줄 요약

이 논문은 Coq 증명 보조 도구를 사용하여 SAT 기반 모델 체킹(SMC) 인코딩 방법—k-인덕션과 IC3/PDR—의 타당성에 대해 공식적으로 검증한다. 모듈러이고 얕은 임베딩 방식으로 SMC 방법을 정의하고, 상태 시퀀스와 경로에 대한 공식화된 보조 정리들을 통해 그 정당성을 증명함으로써 신뢰할 수 있는 SMC 도구를 위한 검증된 기반을 확립한다.

ABSTRACT

One of the effective model checking methods is to utilize the efficient decision procedure of SAT (or SMT) solvers. In a SAT-based model checking, a system and its property are encoded into a set of logic formulas and the safety is checked based on the satisfiability of the formulas. As the encoding methods are improved and crafted (e.g., k-induction and IC3/PDR), verifying their correctness becomes more important. This research aims at a formal verification of the SMC methods using the Coq proof assistant. Our contributions are twofold: (1) We specify the basic encoding methods, k-induction and (a simplified version of) IC3/PDR in Coq as a set of simple and modular encoding predicates. (2) We provide a formal proof of the soundness of the encoding methods based on our formalized lemmas on state sequences and paths.

연구 동기 및 목표

• 기존의 구현에서 인코딩 방법에 오류가 존재할 수 있으므로, 공식적으로 검증된 SMC 도구에 대한 필수적인 필요성을 해결하기 위해.
• 핵심 SMC 인코딩 기법의 타당성에 대해 기계로 검증 가능한 공식적 증명을 제공하여, 인코딩된 공식이 시스템의 안전성을 정확히 반영함을 보장하기 위해.
• 검증과 프로토타이핑을 모두 지원하는 재사용 가능한 모듈러 Coq 사양을 개발하기 위해.
• 시스템 행동에 대한 추론에 필수적인 상태 시퀀스와 경로의 기본 성질—예: 경로 분할, 이동, 루프 탐지—를 공식화하기 위해.
• 고전적 논리가 최소한으로 필요하다는 것을 밝혀내며, 배제 법칙이 필수적인 두 가지 증명 구성 요소만을 특정하기 위해.

제안 방법

• Coq 내에서 얕은 임베딩을 통해 SMC 방법을 정의하고, k-인덕션과 단순화된 IC3/PDR을 매개변수화된 인코딩 술어로 모델링하기 위해.
• 초기 조건 I와 전이 관계 T를 사용하여 상태 전이 시스템을 정의하고, 공식적인 경로 표현 s[0..i]와 경로 술어 pathT를 정의하기 위해.
• 안전성은 ∀i, ∀s[0..i], I(s₀) → pathT(s[0..i]) → P(sᵢ)로 정의하고, 이를 E•(I,T,P,k)를 통해 명제 공식으로 인코딩하기 위해.
• 경로 분할, 길이 조작, 루프 없는 조건과 같은 레퍼런스를 포함한 상태 시퀀스와 경로의 이론을 개발하여 타당성 증명을 지원하기 위해.
• 경로 길이와 인코딩 구조에 대해 귀납적 증명을 수행하고, 서브목표를 해소하기 위해 재작성과 경로 분해를 사용하기 위해.
• 고전적 논리의 의존도를 최소화하기 위해, 이를 오직 두 가지 구성 요소로 제한하기 위해: (1) 프론트엔드 공식 변환과 (2) 보조정리 1에서의 모순에 의한 증명.

실험 결과

연구 질문

• RQ1 k-인덕션과 IC3/PDR 인코딩 방법은 Coq 내에서 모듈러하고 재사용 가능한 방식으로 공식화될 수 있는가?
• RQ2 이러한 인코딩 방법의 타당성은 고전적 논리의 최소한의 사용으로도 구조적 추론만을 사용하여 증명될 수 있는가?
• RQ3 SMC 알고리즘을 공식적으로 검증하기 위해 필요한 상태 시퀀스와 경로에 대한 기본 보조정리는 무엇인가?
• RQ4 공식화된 사양은 실용적 타당성을 입증하는 데 사용할 수 있는 작동 가능한 프로토타입 SMC 도구로 기능할 수 있는가?
• RQ5 SMC 인코딩의 타당성 증명을 위해 필요한 최소한의 논리적 가정(예: 배제 법칙)은 무엇인가?

주요 결과

• 저자들은 k-인덕션과 단순화된 IC3/PDR을 Coq 내에서 모듈러한 인코딩 술어로 성공적으로 공식화하여, 사양 정의와 프로토타입 SMC 도구로서의 실행 모두를 가능하게 하였다.
• 전체 네 가지 방법—정방향, 역방향, k-인덕션, IC3/PDR—에 대해 통합된 상태 시퀀스와 경로 이론을 기반으로 타당성 증명을 수립하였다.
• 공식화 과정에서 고전적 논리에 의존하는 것은 오직 두 가지 구성 요소뿐이었다: 프론트엔드 공식 변환과 보조정리 1에서의 모순에 의한 증명.
• 개발된 경로 이론에는 경로 분할, skipn에 의한 이동, 루프 없는 조건과 같은 보조정리가 포함되어 있었으며, 이는 복잡한 경로 추론을 위한 증명에서 필수적이었다.
• IC3/PDR에 대한 증명은 암시적 경로 처리 덕분에 비교적 간결했지만, k-인덕션은 더 많은 명시적 경로 조작과 경우 분석이 필요로 하였다.
• 전체 사양과 타당성 증명은 https://github.com/dsksh/coq-smc/ 에 공개되어 있어 재사용과 확장이 가능하다.