[논문 리뷰] Regular Model Checking Upside-Down: An Invariant-Based Approach

Javier Esparza, Mikhail Raskin외 1명|arXiv (Cornell University)|2022. 01. 01.

Formal Methods in Verification인용 수 1

한 줄 요약

이 논문은 도달 가능한 구성 상태로 수렴하는 상향식 정규 불변량 기반의 정규 모델 체킹 방법을 제안한다. b-불변량은 최대 b개의 절을 가진 CNF 공식으로 정의되며, 그 교차는 정규이면서 EXPSPACE에서 결정 가능하다( b=1일 경우 PSPACE-완전). 이는 59개의 안전성 성질 중 46개를 증명하는 IndInv1과 함께 벤치마크에서 효과를 입증한다.

ABSTRACT

Regular model checking is a technique for the verification of infinite-state systems whose configurations can be represented as finite words over a suitable alphabet. It applies to systems whose set of initial configurations is regular, and whose transition relation is captured by a length-preserving transducer. To verify safety properties, regular model checking iteratively computes automata recognizing increasingly larger regular sets of reachable configurations, and checks if they contain unsafe configurations. Since this procedure often does not terminate, acceleration, abstraction, and widening techniques have been developed to compute a regular superset of the reachable configurations. In this paper we develop a complementary procedure. Instead of approaching the set of reachable configurations from below, we start with the set of all configurations and approach it from above. We use that the set of reachable configurations is equal to the intersection of all inductive invariants of the system. Since this intersection is non-regular in general, we introduce b-bounded invariants, defined as those representable by CNF-formulas with at most b clauses. We prove that, for every b ≥ 0, the intersection of all b-bounded inductive invariants is regular, and we construct an automaton recognizing it. We show that whether this automaton accepts some unsafe configuration is in EXPSPACE for every b ≥ 0, and PSPACE-complete for b = 1. Finally, we study how large must b be to prove safety properties of a number of benchmarks.

연구 동기 및 목표

• 도달 가능한 구성 상태로 접근하는 기존 하향식 방법이 아닌, 상향식 접근을 통한 새로운 정규 모델 체킹 프레임워크를 개발한다.
• 절의 수가 제한된 CNF 공식에 기반한 정규 불변량 계층인 b-불변량을 정의한다.
• 모든 인도적 b-불변량의 교차가 정규이며, 임의의 b ≥ 0에 대해 EXPSPACE에서 결정 가능하다는 것을 증명한다.
• 특히 b=1일 경우에 대해 b-불변량의 실용적 효과를 평가하여, 매개변수화된 시스템의 안전성 성질 검증에 기여한다.
• 이 접근법을 CEGAR 또는 학습 기반 기법과 융합하여 확장 가능한 불변량 합성에 활용할 수 있는 잠재력을 탐색한다.

제안 방법

• b-불변량을 최대 b개의 절을 가진 CNF 공식을 만족하는 구성 상태의 집합으로 정의하며, 각 리터럴은 특정 위치의 문자를 표현한다.
• 모든 인도적 b-불변량의 교차, 즉 IndInvb가 정규이며, 이를 인식하는 결정성 유한 오토마타(DFA)를 구성함을 증명한다.
• IndInvb가 불안전한 구성 상태와 교차하는지 확인하는 데 대해 EXPSPACE 상한을 확립하며, b=1일 경우 PSPACE-완전성을 입증한다.
• 유한 전이기계와 정규 언어를 사용하여, 언어를 전이기계에 의해 이미지로 생성함으로써 불변량을 생성한다.
• MONA 및 자동 불변량 합성 도구를 활용하여, 특히 b=1과 b=2에 대해 IndInvb를 계산한다.
• 자동 도구가 b>1일 경우 실패하는 경우에 대해 수동 추론 및 기존 불변량 생성 기법을 적용한다.

실험 결과

연구 질문

• RQ1 상향식으로 불변량을 구성하는 정규 모델 체킹 접근법이 기존 하향식 방법보다 더 나은 수렴성과 결정 가능성을 달성할 수 있는가?
• RQ2 모든 인도적 b-불변량의 교차는 정규인가? 그리고 임의의 b ≥ 0에 대해 효과적으로 계산할 수 있는가?
• RQ3 IndInvb가 어떤 불안전한 구성 상태를 포함하는지 확인하는 데 필요한 계산 복잡도는 무엇이며, b에 따라 변하는가?
• RQ4 실제로 매개변수화된 시스템의 안전성 성질 검증에서 b-불변량, 특히 b=1은 얼마나 효과적인가?
• RQ5 b-불변량 계층은 RMC에서 CEGAR 기반 정밀화 또는 학습 기반 불변량 합성에 활용될 수 있는가?

주요 결과

• 모든 b ≥ 0에 대해, 모든 인도적 b-불변량의 교차인 IndInvb는 정규이며, 입력 오토마타와 전이기계의 크기에 대해 이중지수적 크기의 DFA로 인식 가능하다.
• IndInvb가 불안전한 구성 상태와 교차하는지 확인하는 것은 EXPSPACE에 속하며, b=1일 경우 PSPACE-완전하다.
• IndInv1은 다양한 벤치마크에서 상호 배제 및 死록 상태 방지와 같은 59개의 안전성 성질 중 46개를 성공적으로 증명하였다.
• 무상태 포크를 가진 철학자들의 식사 문제에서, IndInv3는 사전 조건으로 충분하며, 도달 가능한 구성 상태 집합과 정확히 일치한다.
• IndInv2는 IndInv1이 검증에 실패한 버클리 및 드래곤 캐시 일관성 프로토콜에서 누락된 일관성 진술을 복구하는 데 충분하며, 이를 통해 실용적 유용성을 입증한다.
• 이 접근법은 가속화나 넓힘 기법이 필요 없이 구성공간 전체에서 시작하므로, 기존 RMC의 반대 방향을 제공한다.