[논문 리뷰] Control Explicit---Data Symbolic Model Checking: An Introduction

Jǐŕı Barnat, Petr Bauch|arXiv (Cornell University)|2013. 03. 29.

Formal Methods in Verification참고 문헌 19인용 수 4

한 줄 요약

이 논문은 제어를 명시적 방식으로, 데이터를 기호적 방식으로 표현하는 하이브리드 접근법인 제어 명시적-데이터 기호적 모델 체킹을 소개한다. 이는 개방형 변수를 가진 동시 시스템의 확장 가능한 검증을 가능하게 한다. 입력 변수의 범위를 기호적으로 인코딩함으로써, 순수하게 명시적 방법 대비 상당한 확장성 향상을 달성한다—기존 방법이 140까지 처리할 수 있었던 반면 이 방법은 10,000까지 처리할 수 있다. 이는 피터슨 프로토콜과 같은 프로토콜의 시간적 성질 검증에서 뚜렷한 효율성 향상을 보여준다.

ABSTRACT

A comprehensive verification of parallel software imposes three crucial requirements on the procedure that implements it. Apart from accepting real code as program input and temporal formulae as specification input, the verification should be exhaustive, with respect to both control and data flows. This paper is concerned with the third requirement, proposing to combine explicit model checking to handle the control with symbolic set representations to handle the data. The combination of explicit and symbolic approaches is first investigated theoretically and we report the requirements on the symbolic representation and the changes to the model checking process the combination entails. The feasibility and efficiency of the combination is demonstrated on a case study using the DVE modelling language and we report a marked improvement in scalability compared to previous solutions. The results described in this paper show the potential to meet all three requirements for automatic verification in a single procedure combining explicit model checking with symbolic set representations.

연구 동기 및 목표

• 순수하게 명시적 모델 체킹이 개방형 입력 변수를 가진 동시 시스템을 검증할 때 겪는 확장성 한계를 해결하기 위해.
• 병렬 소프트웨어의 제어 및 데이터 플로우를 철저히 검증하여 산업적 검증 요구를 충족시키기 위해.
• 기호 실행이 개방형 시스템을 다룰 수 있는 능력과 모델 체킹이 시간적 성질를 검증할 수 있는 능력을 통합하기 위해.
• 제어는 명시적으로 유지하면서 데이터에 기호 표현을 적용할 경우 순수하게 명시적 접근보다 확장성이 크게 향상될 수 있음을 보여주기 위해.

제안 방법

• 제어 플로우는 명시적 상태 표현을 유지하면서, 데이터 상태는 기본 집합 기반 기호 표현을 사용해 기호적으로 표현한다.
• 모델 체킹 과정을 수정하여, 모든 가능한 입력 변수 조합에 대해 단일 연산으로 기호 표현을 평가함으로써 후속 상태를 생성한다.
• 기본 검증 엔진에 최소한의 변경으로 기존의 명시적 모델 체커(DiVinE)에 기호적 데이터 처리 기능을 통합한다.
• 표현식 평가 중에 정의되지 않은 모든 변수 조합을 기호적 맥락에 로드하는 맥락 인식 평가 메커니즘을 사용한다.
• 기존의 병렬 사이클 탐지 알고리즘(예: OWCTY)을 수정 없이 하이브리드 상태 공간에 적용하여 성능 최적화를 유지한다.
• 기호 가드를 검사하고, 가드가 만족 가능할 경우에만 새로운 기호적 다중 상태를 생성하는 후속 상태 생성 메커니즘을 구현한다.

실험 결과

연구 질문

• RQ1 기본적으로 명시적 모델 체킹의 확장성 한계를 극복하기 위해 데이터 변수의 기호 표현 방식이 유용한가?
• RQ2 명시적 제어 플로우와 기호적 데이터 플로우를 조합할 경우, 모델 체킹의 성능과 메모리 사용에 어떤 영향을 미치는가?
• RQ3 하이브리드 모델 체킹에서 시간적 성질 검증을 지원하기 위해 기호 표현에 어떤 조건이 필요한가?
• RQ4 실제 동시 프로토콜에 대해 순수하게 명시적 모델 체킹 대비 이 하이브리드 접근법이 얼마나 확장 가능한가?
• RQ5 이 방법은 유한하지만 큰 입력 도메인을 가진 시스템에서 정밀한 생존성 및 안전성 성질 검증을 지원할 수 있는가?

주요 결과

• 하이브리드 접근법은 입력 범위를 최대 10,000까지 확장할 수 있었고, 순수하게 명시적 방법은 동일한 하드웨어에서 최대 140까지 처리할 수 있었다.
• 32개의 병렬 스레드를 사용할 경우, 명시적 방법은 단일 변수의 범위 0–140를 검증하는 데 거의 100초가 소요되었지만, 기호적 방법은 유사한 공간 복잡도로 훨씬 큰 범위를 처리할 수 있었다.
• 기호적 접근법은 실질적으로 데이터 변수에 대해 로그 형태의 복잡도를 확보하여, 처리 가능한 입력 범위를 수십만 배 수준으로 증가시켰다.
• 기존의 병렬 검증 알고리즘과 DiVinE의 데이터 구조와의 호환성을 유지하여, 코드 변경을 최소화할 수 있었다.
• 기호적 데이터 표현을 통해 데이터 변수에 대한 상태 공간 폭발 문제를 지수적 성장에서 다룰 수 있는 기호적 형태로 전환함으로써, 더 큰 시스템의 검증이 가능해졌다.
• 기본 기호 표현을 사용하더라도, 이 하이브리드 방법은 피터슨 프로토콜의 생존성 검증에서 순수하게 명시적 모델 체킹보다 시간 및 공간 효율성 측면에서 뛰어난 성능을 보였다.