[논문 리뷰] On Verifying Timed Hyperproperties

Hsi-Ming Ho, Ruoyu Zhou외 1명|arXiv (Cornell University)|2018. 12. 25.

Formal Methods in Verification참고 문헌 39인용 수 4

한 줄 요약

이 논문은 시간적 초성질을 시간 자동기로 모델링된 시스템에서 특정하고 검증하기 위해 시간적 확장된 HyperLTL인 HyperMTL를 제안한다. 모델 체킹이 양자화자 교환을 포함할 경우, 심지어 제한된 시간 제약 조건 하에서도 결정 가능하지 않음을 입증하지만, 동기적 의미론이나 유한한 시간 도메인 하에서는 결정 가능해지며, 이는 기존의 LTL 및 온톨로지 도구를 통한 실용적 검증을 가능하게 한다.

ABSTRACT

We study the satisfiability and model-checking problems for timed hyperproperties specified with HyperMTL, a timed extension of HyperLTL. Depending on whether interleaving of events in different traces is allowed, two possible semantics can be defined for timed hyperproperties: asynchronous and synchronous. While the satisfiability problem can be decided similarly to HyperLTL regardless of the choice of semantics, we show that the model-checking problem, unless the specification is alternation-free, is undecidable even when very restricted timing constraints are allowed. On the positive side, we show that model checking HyperMTL with quantifier alternations is possible under certain conditions in the synchronous semantics, or when there is a fixed bound on the length of the time domain.

연구 동기 및 목표

• 반응형 시스템에서 시간에 의존하는 보안 정책, 예를 들어 시간 측면 채널 유출과 같은 공식적 검증의 필요성 해결.
• 시간 트레이스 간의 관계를 표현할 수 있는 형식적 체계로 HyperLTL를 시간적 시스템으로 확장하여 HyperMTL 도입.
• 다양한 의미론과 제약 조건 하에서 HyperMTL의 만족 가능성 및 모델 체킹의 결정 가능성을 분석.
• 일般적으로 결정 불가능성을 유도하는 양자화자 교환 존재하에서도 HyperMTL 모델 체킹이 여전히 결정 가능한 조건 규명.
• QPTL 및 비시간 자동기로의 환원을 통해 기존 도구와 연계하여 실용적 검증 가능화.

제안 방법

• 시간적 추적 간의 관계를 기술할 수 있도록 추적 양자화자를 도입한 메트릭 시간 논리(MTL)를 확장하여 HyperMTL 정의.
• 이벤트가 추적 간에 시간적으로 겹치는지 여부에 따라 동기적 및 이방적 두 가지 점별 의미론 도입.
• 유한한 시간 도메인을 가진 HyperMTL 공식을 등가의 QPTL 공식으로 변환하기 위해 스택킹 구축법 사용; 모델 체킹 문제를 QPTL의 만족 가능성 문제로 환원.
• 시간 자동기와 그 트레이스를 표현하기 위해 MSO[<, +1] 논리를 사용하여 자동기로의 변환 가능하게 하여 모델 체킹에 활용.
• 동기적 의미론 또는 유한한 시간 도메인 하에서 HyperMTL 모델 체킹을 QPTL의 만족 가능성 문제로 환원하여 결정 가능성을 증명.
• 비시간 자동기 및 LTL 기반 도구(예: SPOT, GOAL, Owl)로의 환원을 통해 HyperMTL 공식의 실용적 검증 가능화.

실험 결과

연구 질문

• RQ1 사양에 양자화자 교환이 포함된 경우 HyperMTL의 모델 체킹 문제가 결정 가능한가?
• RQ2 동기적 의미론과 이방적 의미론의 선택이 HyperMTL 모델 체킹의 결정 가능성에 어떤 영향을 미치는가?
• RQ3 HyperMTL 모델 체킹은 시간 논리나 자동기 이론의 알려진 결정 가능한 문제로 환원될 수 있는가?
• RQ4 시스템 또는 사양에 어떤 제약 조건이 가해지면, 양자화자 교환 존재하에서도 HyperMTL 모델 체킹이 여전히 결정 가능한가?
• RQ5 유한한 시간 도메인은 전체 HyperMTL에 대해 결정 가능성을 복원할 수 있는가? 만약 그렇다면, 이를 기존 검증 도구와 어떻게 통합할 수 있는가?

주요 결과

• 사양에 최소한 하나의 양자화자 교환이 포함된 경우, 심지어 매우 제한된 시간 제약 조건 하에서도 HyperMTL 모델 체킹은 결정 불가능하다.
• 이벤트가 추적 간에 시간적으로 겹치는 것을 금지하는 동기적 의미론 하에서는 결정 가능성이 회복된다.
• 시간 도메인이 사전에 [0, N) (일부 양의 정수 N)로 유한하게 제한될 경우, 모델 체킹은 결정 가능해진다.
• 유한한 시간 도메인 하에서는 HyperMTL 모델 체킹이 QPTL의 만족 가능성 문제로 환원되며, 이는 최적화된 오프더쇼프 도구의 사용을 가능하게 한다.
• ∃∗∀∗ 조각에 대해서조차도 기존의 LTL 및 자동기 기반 검증 백엔드를 통해 효율적으로 HyperMTL 모델 체킹을 수행할 수 있다.
• 동기적 의미론은 증명을 단순화하고 스터디팅 구축의 필요성을 제거하여 직접 MSO[<, +1] 추론이 가능하게 한다.