[논문 리뷰] Symbolic Reachability Analysis of B through ProB and LTSmin

Jens Bendisposto, Philipp Koerner외 5명|arXiv (Cornell University)|2016. 03. 14.

Formal Methods in Verification참고 문헌 32인용 수 6

한 줄 요약

이 논문은 P ins 인터페이스와 ØMQ 기반 C 브리지로 ProB와 LTSmin을 통합하여 B 및 Event-B 사양에 대한 기호적 도달 가능성 분석 프레임워크를 제안한다. 이 방법은 특히 CAN_BUS 및 ABZ 착륙기어와 같은 대규모 산업 모델에서 명시적 상태 모델 체크링 대비 수개의 주기수준에서의 성능 향상을 이룩하며, 기호적 상태 표현과 고성능 알고리즘을 통해 확장 가능한 검증을 가능하게 한다.

ABSTRACT

We present a symbolic reachability analysis approach for B that can provide a significant speedup over traditional explicit state model checking. The symbolic analysis is implemented by linking ProB to LTSmin, a high-performance language independent model checker. The link is achieved via LTSmin's PINS interface, allowing ProB to benefit from LTSmin's analysis algorithms, while only writing a few hundred lines of glue-code, along with a bridge between ProB and C using ZeroMQ. ProB supports model checking of several formal specification languages such as B, Event-B, Z and TLA. Our experiments are based on a wide variety of B-Method and Event-B models to demonstrate the efficiency of the new link. Among the tested categories are state space generation and deadlock detection; but action detection and invariant checking are also feasible in principle. In many cases we observe speedups of several orders of magnitude. We also compare the results with other approaches for improving model checking, such as partial order reduction or symmetry reduction. We thus provide a new scalable, symbolic analysis algorithm for the B-Method and Event-B, along with a platform to integrate other model checking improvements via LTSmin in the future.

연구 동기 및 목표

• B 및 Event-B 사양의 명시적 상태 모델 체크링에서 발생하는 확장성 한계를 해결하기 위해, 특히 대규모 산업 시스템에서의 적용을 목적으로 한다.
• LTSmin의 고성능 알고리즘을 활용하여 B-Method 및 Event-B에 대한 기호적 도달 가능성 분석을 가능하게 하기 위해.
• 향후 향후 기능 확장(예: 불변성 검사, 부분 순서 감소)을 지원하는 안정적이고 확장 가능한 ProB와 LTSmin 간의 통합 플랫폼을 구축하기 위해.
• 기호적 분석의 성능을 명시적 상태 모델 체크링 및 기존 최적화 기법(예: 대칭성 감소, 부분 순서 감소)과 비교하여 평가하기 위해.
• LTSmin의 기호적 백엔드를 활용하면서도 ProB의 고수준 사양 지원 기능을 유지하는 확장 가능한 언어 독립적 검증 플랫폼을 제공하기 위해.

제안 방법

• 통합은 LTSmin의 P ins 인터페이스를 사용하여 ProB의 상태 표현 및 후속 함수를 LTSmin의 기호적 모델 체크링 백엔드에 노출시킨다.
• ØMQ를 사용하여 구현된 경량 C 브리지가 ProB와 LTSmin 간의 통신을 가능하게 하며, ProB의 내부 상태 및 연산 표현을 LTSmin 호환 형식으로 변환한다.
• 기호적 도달 가능성은 LTSmin의 기호적 백엔드를 사용하여 수행되며, 이는 변수 재정렬, 전이 그룹화, BDD 기반 상태공간 탐색을 포함한다.
• 이 방법은 B 및 Event-B 모델의 기호적 분석을 지원하며, 상태공간 생성, 死록 탐지, 인코딩된 연산을 통한 불변성 검사 등이 포함된다.
• ProB의 제약 조건 해결기(Constraint solver)를 사용하여 초기 상태와 전이 가드를 계산하고, 이를 LTSmin로 전달하여 기호적 탐색을 수행한다.
• 향후 확장은 운영 수준의 세밀한 정보(예: 가드, 읽기/쓰기 세트)를 전송하여 가드 기반 부분 순서 감소와 같은 고급 최적화를 가능하게 할 것이다.

실험 결과

연구 질문

• RQ1 LTSmin의 기호적 백엔드를 통해 ProB에서 B 및 Event-B 사양에 대한 기호적 도달 가능성 분석이 명시적 상태 모델 체크링보다 크게 빠른가?
• RQ2 ProB와 LTSmin의 기호적 백엔드 통합은 다양한 B 및 Event-B 모델, 특히 산업 사례 연구 모델에서 어떻게 확장 가능한가?
• RQ3 기존 최적화 기법(예: 대칭성 감소, 부분 순서 감소)과 비교할 때, 어떤 성능 향상이 달성 가능한가?
• RQ4 ProB-LTSmin 통합은 LTL 모델 체크링 및 불변성 분석과 같은 고급 검증 작업을 얼마나 잘 지원할 수 있는가?
• RQ5 이 통합은 향후 LTSmin에서 개선된 모델 체크링 기술을 ProB에 통합하기 위한 재사용 가능한 플랫폼으로 기능할 수 있는가?

주요 결과

• ProB-LTSmin 통합은 CAN_BUS 및 ABZ 착륙기어와 같은 대규모 산업 모델에서 명시적 상태 체크링 대비 수개의 주기수준에서 성능 향상을 이룩하였다.
• CAN_BUS 모델의 경우, LTSmin 기반 기호적 도달 가능성 분석이 ProB의 명시적 상태 모델 체커 대비 거의 두 개의 주기수준에서 성능 향상을 달성하였다.
• nota 모델의 경우, LTSmin 기반 기호적 도달 가능성 분석은 불변성 검사를 0.5초 내에 완료하였고, ProB의 부분 순서 감소 기법은 134초가 소요되었다.
• 복잡한 제약 조건이나 높은 상태공간 폭발을 보이는 모델에서 대부분의 벤치마크에서 기호적 접근이 Tlc(명시적 상태) 및 대칭성 감소보다 뛰어난 성능을 보였다.
• ProB의 부분 순서 감소는 일부 경우에서 성능 저하를 보였으며, 특히 불변성 검사 시에 두드러졌다. 반면 기호적 접근은 효율성을 유지하였다.
• 불변성을 연산으로 인코딩하여 불변성 검사를 성공적으로 지원함으로써, 안전성 성질 검증의 실현 가능성을 입증하였다.