[논문 리뷰] Proving or Disproving likely Invariants with Constraint Reasoning

Tristan Denmat, Arnaud Gotlieb외 1명|ArXiv.org|2005. 08. 24.

Formal Methods in Verification참고 문헌 17인용 수 5

한 줄 요약

이 논문은 프로그램 실행 중 일부에서만 성립하는 가능성이 있는 인variant(불변량)을 자동으로 검증하기 위한 제약 기반 접근법을 제시한다. 이는 인variant이 참임을 증명하거나 반례를 통해 거짓임을 입증함으로써 이루어진다. 방법은 명령형 프로그램을 CLP(FD)를 사용하여 제약 시스템으로 변환하고, 가능성이 있는 인variant를 제약 조건으로 표현하며, 제약 시스템과 인variant의 부정을 결합한 시스템의 만족 가능성을 검사한다. 만약 만족 가능하지 않다면, 인variant는 항상 참이다.

ABSTRACT

A program invariant is a property that holds for every execution of the program. Recent work suggest to infer likely-only invariants, via dynamic analysis. A likely invariant is a property that holds for some executions but is not guaranteed to hold for all executions. In this paper, we present work in progress addressing the challenging problem of automatically verifying that likely invariants are actual invariants. We propose a constraint-based reasoning approach that is able, unlike other approaches, to both prove or disprove likely invariants. In the latter case, our approach provides counter-examples. We illustrate the approach on a motivating example where automatically generated likely invariants are verified.

연구 동기 및 목표

• 동적 분석을 통해 유추되지만 모든 실행에서 성립하지는 않는 가능성이 있는 인variant를 검증하는 데 도전하는 것.
• 이전 방법들이 한 방향만 지원하는 것과는 달리, 참인 인variant를 증명하고 거짓인 인variant를 반증할 수 있는 방법을 개발하는 것.
• 정적 분석의 정밀도를 향상시키기 위해 동적 유추를 활용하면서도 제약 기반 검증을 통해 타당성을 확보하는 것.
• 가능성이 있는 인variant가 잘못되었을 경우 반례를 제공하여 디버깅과 프로그램 성질의 개선을 가능하게 하는 것.
• ESC-Java와 Daikon과 같은 기존 도구들이 잘못된 인variant를 반증하지 못하거나 증명을 위해 암시적 진술이 필요로 하는 한계를 극복하는 것.

제안 방법

• 제어 흐름과 데이터 의존성을 포괄하는 공식적인 운영 의미 모델에 기반하여, 명령형 프로그램을 CLP(FD)를 사용해 제약 시스템으로 변환한다.
• Daikon과 같은 동적 분석 도구에서 유도된 가능성이 있는 인variant를 프로그램 변수에 대한 논리적 제약 조건으로 표현한다.
• 프로그램 의미와 가능성이 있는 인variant의 부정을 결합한 제약 시스템 CS ∧ ¬I를 구성한다.
• 제약 솔버를 사용해 이 결합된 시스템의 만족 가능성을 검사한다: 만족 가능하면 반례가 존재하고, 만족 가능하지 않다면 인variant는 항상 참이다.
• 검색 공간을 줄이고 전체 조합 검색보다 효율성을 높이기 위해 제약 전파를 활용한다.
• 조건문과 반복문 구조를 정확하게 모델링하기 위해 *ite* 및 *w*와 같은 연산자를 통한 가로막힌 제약 조건을 적용하여 제약 논리 내에서 프로그램 동작을 정밀하게 모델링한다.

실험 결과

연구 질문

• RQ1 제약 기반 방법이 단방향에 국한되지 않고, 가능성이 있는 인variant를 동시에 증명하고 반증할 수 있는가?
• RQ2 가능성이 있는 인variant를 검증할 때 제약 전파가 검색 공간을 얼마나 효과적으로 줄이는가?
• RQ3 특히 복잡한 반복 구조를 포함한 프로그램에 대해, 이 방법의 종료성과 확장성에 대한 한계는 무엇인가?
• RQ4 동적 분석을 통해 유도된 잘못된 인variant를 탐지하고 반례를 제공할 수 있는가?
• RQ5 실제로 정적 분석이나 순수한 생성-검사 방법과 비교했을 때 이 방법의 성능는 어떠한가?

주요 결과

• 제약 시스템 CS ∧ ¬I가 만족 가능하지 않음을 입증함으로써, 한 가지 가능성이 있는 인variant가 진정으로 항상 참임을 성공적으로 증명하였다.
• 제약 솔버가 유효한 반례를 반환함으로써 두 가지 가능성이 있는 인variant가 거짓임을 반증하였으며, 이는 잘못된 양식의 인variant를 탐지할 수 있음을 보여준다.
• 이 방법은 근사치에 의존하지 않아 증명과 반증을 모두 가능하게 하며, 이는 단지 반증만 가능한 과소 근사 또는 단지 증명만 가능한 과대 근사 기법과는 다릅니다.
• 제약 전파가 수많은 경우의 수를 줄이는 데 상당히 기여하지만, 복잡하거나 비선형 제약 조건으로 인해 전파가 실패할 경우 성능이 저하된다.
• 제약 전파가 충분하지 않은 경우, 이 방법은 생성-검사 전략으로 떨어지며, 이는 큰 입력 영역에 대해서는 해결 불가능한 문제로 이어진다.
• 이 방법은 제약 논리와 의미론에 기반한 공식적인 기초를 지니며, 홀른 논리와 유사한 선언적 구조를 가지지만, 효율성을 높이기 위해 전파 기능을 강화하였다.