[논문 리뷰] A Theoretical Framework for Symbolic Quick Error Detection

Florian Lonsing, Subhasish Mitra외 1명|arXiv (Cornell University)|2020. 01. 01.

Radiation Effects in Electronics참고 문헌 33인용 수 3

한 줄 요약

이 논문은 프로세서 검증을 위한 사전 실리콘 검증 기법인 기호적 빠른 오류 탐지(SQED)에 대한 형식적 이론적 기반을 제시한다. SQED는 동일한 입력에서 지정된 명령어 시퀀스를 두 번 실행했을 때 동일한 출력을 내야 한다는 자기일관성 검사를 통해 버그를 탐지한다. 저자들은 SQED가 타당하다는 것을 증명한다—즉, 보고된 반례는 항상 실제 버그이며, 조건부 완전성도 확보한다. 이는 광범위한 버그 클래스를 탐지할 수 있음을 의미하며, 상태 리셋 명령어를 위한 하드웨어 지원이 있으면 완전한 완전성도 달성된다.

ABSTRACT

Symbolic quick error detection (SQED) is a formal pre-silicon verification technique targeted at processor designs. It leverages bounded model checking (BMC) to check a design for counterexamples to a self-consistency property: given the instruction set architecture (ISA) of the design, executing an instruction sequence twice on the same inputs must always produce the same outputs. Self-consistency is a universal, implementation-independent property. Consequently, in contrast to traditional verification approaches that use implementation-specific assertions (often generated manually), SQED does not require a full formal design specification or manually-written properties. Case studies have shown that SQED is effective for commercial designs and that SQED substantially improves design productivity. However, until now there has been no formal characterization of its bug-finding capabilities. We aim to close this gap by laying a formal foundation for SQED. We use a transition-system processor model and define the notion of a bug using an abstract specification relation. We prove the soundness of SQED, i.e., that any bug reported by SQED is in fact a real bug in the processor. Importantly, this result holds regardless of what the actual specification relation is. We next describe conditions under which SQED is complete, that is, what kinds of bugs it is guaranteed to find. We show that for a large class of bugs, SQED can always find a trace exhibiting the bug. Ultimately, we prove full completeness of a variant of SQED that uses specialized state reset instructions. Our results enable a rigorous understanding of SQED and its bug-finding capabilities and give insights on how to optimize implementations of SQED in practice.

연구 동기 및 목표

• 프로세서 검증에서 SQED의 버그 탐지 능력에 대한 형식적 이론적 이해 부족을 해결한다.
• SQED의 자기일관성 검사와 실제 설계 버그 사이의 엄밀한 연결 고리를 확립한다.
• SQED가 가짜 반례(허위 반례)를 생성하지 않는다는 형식적 보장을 제공한다.
• SQED가 프로세서 설계의 모든 버그를 탐지할 수 있는 조건을 규명한다.
• 하드웨어 지원 상태 리셋 메커니즘을 통해 완전한 완전성을 달성할 수 있는 SQED의 확장 방안을 탐색한다.

제안 방법

• 구현 세부 사항을 추상화하면서도 기능적 동작를 유지하는 전이 시스템으로 프로세서를 모델링한다.
• 정의된 추상 사양 관계를 통해 명령어 실행의 정확성을 정의한다. 이는 기대되는 동작—정확한 출력 기록, 의도하지 않은 부작용 없음—을 포괄한다.
• SQED의 자기일관성 성질을 보편적이고 구현에 종속되지 않는 검사로 형식화한다: 동일한 입력 시퀀스를 두 번 실행했을 때 동일한 출력이 나와야 한다.
• 타당성을 증명하기 위해, SQED가 보고하는 자기일관성 위반 반례가 반드시 추상 사양 위반—즉, 실제 버그—를 의미함을 보여준다.
• 약간의 가정 하에 자기일관성 위반이 발생하는 추적을 통해 광범위한 버그 클래스를 탐지할 수 있음을 규명함으로써 조건부 완전성을 확립한다.
• 특수 상태 리셋 명령어를 통합한 SQED의 변형을 도입하고 형식화하며, 이 변형이 완전한(무조건적) 완전성을 달성함을 증명한다.

실험 결과

연구 질문

• RQ1 SQED는 타당한가? 즉, SQED가 보고하는 자기일관성 위반 반례는 항상 실제 설계 버그에 해당하는가?
• RQ2 SQED는 어떤 조건에서 완전한가? 프로세서 설계의 모든 가능한 버그를 탐지할 수 있는가?
• RQ3 버그의 성격에 대한 가정 없이 SQED를 완전하게 만들 수 있는가?
• RQ4 하드웨어 지원 상태 리셋 명령어는 SQED의 완전성 보장에 어떤 역할을 하는가?
• RQ5 추상 사양 관계와 자기일관성 성질 사이의 관계는 무엇이며, 이 관계를 형식적으로 확립할 수 있는가?

주요 결과

• SQED는 타당하다: SQED가 보고하는 자기일관성 위반 반례는 프로세서 설계의 실제 버그에 반드시 대응된다.
• SQED는 조건부 완전하다: 광범위한 버그 클래스에 대해, 버그의 구조에 대한 약간의 가정 하에 자기일관성 위반 추적을 탐지할 수 있다.
• 특수 상태 리셋 명령어를 통합한 SQED의 변형은 완전한(무조건적) 완전성을 달성한다. 즉, 추상 사양을 위반하는 모든 버그를 탐지할 수 있다.
• 이론적 프레임워크는 SQED의 효과성이 특정 구현에 종속된 암시 조건이나 형식적 사양에 의존하지 않음을 보여주며, 이는 광범위한 적용 가능성을 의미한다.
• 결과는 SQED의 구현 최적화를 위한 형식적 기반을 제공한다. 이는 기호적 초기 상태 사용과 표준 QED 테스트 및 리셋 기반 QED 테스트를 조합한 하이브리드 테스트 전략의 활용을 포함한다.
• 이 프레임워크는 향후 확장에도 지원되며, 데드락 탐지 및 승수기 또는 가속기 검증을 위한 형식적 방법 통합 등이 가능하다.