[논문 리뷰] Shield Synthesis: Runtime Enforcement for Reactive Systems

Roderick Bloem, Bettina Koenighofer외 2명|arXiv (Cornell University)|2015. 01. 12.

Security and Verification in Computing참고 문헌 8인용 수 26

한 줄 요약

이 논문은 복잡한 반응형 하드웨어 시스템에서 중요한 안전성 성질을 보장하기 위해 모델 체킹이나 반응형 합성의 확장 가능한 대안으로 실시간 실행 보호장치 합성(Shield Synthesis)을 제안한다. 필요할 때만 최소한의 수정을 통해 출력을 보정하는 런타임 실행 보호장치를 합성함으로써, 비핵심 동작을 유지하면서도 정확성을 보장한다. 실험 결과, 하드웨어 벤치마크와 LTL 패턴을 대상으로 k-안정성 메커니즘을 사용하여 효율적인 합성 결과를 도출하였다.

ABSTRACT

Scalability issues may prevent users from verifying critical properties of a complex hardware design. In this situation, we propose to synthesize a "safety shield" that is attached to the design to enforce the properties at run time. Shield synthesis can succeed where model checking and reactive synthesis fail, because it only considers a small set of critical properties, as opposed to the complex design, or the complete specification in the case of reactive synthesis. The shield continuously monitors the input/output of the design and corrects its erroneous output only if necessary, and as little as possible, so other non-critical properties are likely to be retained. Although runtime enforcement has been studied in other domains such as action systems, reactive systems pose unique challenges where the shield must act without delay. We thus present the first shield synthesis solution for reactive hardware systems and report our experimental results. This is an extended version of [5], featuring an additional appendix.

연구 동기 및 목표

• 모델 체킹이나 반응형 합성의 복잡성으로 인해 실패하는 복잡한 하드웨어 설계의 형식적 검증에서의 확장성 한계를 해결하기 위해.
• IP 코어와 같은 검증되지 않은 또는 제3자 컴포넌트를 포함한 설계에서 중요한 안전성 성질을 실현하기 위한 실용적 해결책을 제공하기 위해.
• 비핵심 동작에 대한 간섭을 최소화하기 위해, 보호장치가 필요할 때만 출력을 수정하고 제한된 복구 단계 내에서만 작동하도록 보장하기 위해.
• 전체 시스템 사양이 아닌 소수의 핵심 성질에 집중함으로써 확장 가능하고 사용 가능한 합성 방법을 개발하기 위해.
• 전체 복잡한 설계를 검증하는 대신 보호장치만 검증함으로써 안전성 중심 시스템의 인증을 가능하게 하기 위해.

제안 방법

• k-안정성 메커니즘을 도입하여, 성질 위반이 피할 수 없는 경우 설계 출력에서 최대 k개의 연속 단계 동안 벗어날 수 있도록 허용한다.
• 실행 보호장치 합성 문제를 안전성 게임으로 축소함으로써, 기존의 게임 이론적 합성 알고리즘을 사용해 정확하고 최소한의 보호장치를 계산할 수 있도록 한다.
• 보호장치는 설계의 입력과 출력을 실시간으로 모니터링하고, 안전성 성질 위반이 예상되거나 발생할 경우에만 간섭한다.
• 설계가 성질을 위반하더라도, 보호장치와 설계의 조합 시스템(Shield ∘ Design)에서 모든 지정된 안전성 성질이 만족됨을 보장함으로써 정확성을 확보한다.
• 합성 절차는 LTL 안전성 성질을 입력으로 받아, 레지스터와 AIG 게이트로 구성된 유한 상태 기계 형태의 보호장치를 생성하는 개념 증명 도구로 구현되었다.
• 반응 시간 제한을 도입함으로써 유한 생존성 성질을 지원하며, 이를 합성에 적합한 안전성 성질로 변환한다.

실험 결과

연구 질문

• RQ1 형식적 검증이 불가능한 반응형 하드웨어 시스템에서 핵심 안전성 성질을 보장하기 위해 자동으로 실행 보호장치를 합성할 수 있는가?
• RQ2 모든 가능한 입력 시퀀스에서 정확성을 보장하면서도 비핵심 동작에 대한 간섭을 최소화할 수 있는가?
• RQ3 보상 시간이 제한된 상태에서 피할 수 없는 위반을 처리할 수 있는 형식적 메커니즘은 무엇인가? 이는 정확성과 실용성 모두를 보장한다.
• RQ4 실행 보호장치 합성 문제를 알려진 게임 이론 문제로 축소할 수 있는가? 이를 통해 효율적이고 정확한 합성 가능성을 확보할 수 있는가?
• RQ5 안전성 성질과 시스템 상태 공간의 복잡성이 증가함에 따라 합성 성능 및 보호장치 크기는 어떻게 변화하는가?

주요 결과

• ARM AMBA 버스 어드레서 벤치마크에 대해 보호장치 합성 방법은 정확하고 최소한의 보호장치를 성공적으로 생성하였으며, 대부분의 성질 집합에서 합성 시간이 10초 이내였다.
• LTL 사양 패턴에 대해 대부분의 성질에서 합성 시간이 1초 이내였고, 보호장치 크기(Latches 및 AIG 게이트)는 작고 관리 가능했다.
• 복잡한 생존성에서 안전성으로의 변환을 포함한 성질 10번의 경우, 큰 범위의 경계에서 합성 시간이 크게 증가(최대 377초)하여 복잡한 패턴에 대한 확장성 문제를 드러냈다.
• 상태 수와 입력/출력 신호 수가 크게 증가할 경우에만 타임아웃이 발생했으며, 이는 소수의 핵심 성질을 가진 시스템에서는 메서드가 여전히 실용적임을 시사한다.
• 유한 생존성 성질(예: 성질 6 및 8)에 대해서도 큰 반응 시간 경계에서도 보호장치 크기와 합성 시간이 낮게 유지되어 일반적인 패턴에 대해 뛰어난 내구성을 보였다.
• 실험 결과는 보호장치 합성이 전체 사양 또는 검증이 불가능한 경우 모델 체킹과 반응형 합성의 실용적인 대안임을 확인했다.