[论文解读] PAGAI: a path sensitive static analyzer

Julien Henry, David Monniaux+1 more|arXiv (Cornell University)|Jul 17, 2012

Formal Methods in Verification参考文献 13被引用 8

一句话总结

PAGAI 是一个基于 LLVM 基础设施构建的路径敏感静态分析器，通过结合抽象解释与 SMT 求解，计算数值变量的归纳不变式。它通过聚焦循环头部并使用路径敏感分析与决策过程，提高了精度，在 8.29%–9.86% 的控制点上优于经典方法，尤其在处理析取不变式和凸多面体域时表现更优。

ABSTRACT

We describe the design and the implementation of PAGAI, a new static analyzer working over the LLVM compiler infrastructure, which computes inductive invariants on the numerical variables of the analyzed program. PAGAI implements various state-of-the-art algorithms combining abstract interpretation and decision procedures (SMT-solving), focusing on distinction of paths inside the control flow graph while avoiding systematic exponential enumerations. It is parametric in the abstract domain in use, the iteration algorithm, and the decision procedure. We compared the time and precision of various combinations of analysis algorithms and abstract domains, with extensive experiments both on personal benchmarks and widely available GNU programs.

研究动机与目标

• 开发一个全自动的静态分析器，用于计算 C/C++ 程序中数值变量的精确归纳不变式。
• 克服传统抽象解释在控制流合并处因凸包操作导致的精度损失问题。
• 通过使用按需 SMT 查询，实现在不显式枚举所有路径的情况下高效进行路径敏感分析。
• 支持对不同抽象域、迭代策略和决策过程的模块化实验。
• 评估各种分析技术组合在真实程序中的精度与性能权衡。

提出的方法

• PAGAI 在 LLVM 位码上运行，使用用户可选的抽象域进行抽象解释分析。
• 仅在关键控制节点（特别是循环头部或反馈顶点集节点）上计算不变式，避免对整个控制流图进行传播。
• 通过按需 SMT 求解实现路径敏感分析：仅在必要时探索每条路径，由可满足性查询触发。
• 通过可配置的迭代策略，同时支持合取不变式（如凸多面体、八边形）和析取不变式（抽象元素的并集）。
• 与 SMT 求解器集成以处理复杂算术约束，尽管非线性算术可能导致结果为“未知”，需采用变通方法。
• 该系统具有参数化设计：用户可独立选择抽象域、迭代算法和决策过程，以支持实验比较。

实验结果

研究问题

• RQ1 使用按需 SMT 求解的路径敏感分析是否能在不引发指数级路径枚举的情况下，提高归纳不变式计算的精度？
• RQ2 在使用相同分析技术时，不同抽象域（如凸多面体、八边形、区间）在精度和性能上的表现如何比较？
• RQ3 使用析取不变式在多大程度上提升了精度，其相关的性能开销如何？
• RQ4 Bagnara 等人提出的改进宽化算子与经典宽化相比，在减少过度近似方面效果如何？
• RQ5 当前 SMT 求解器在处理真实 C/C++ 程序中的非线性算术时存在哪些局限性，以及它们如何影响分析的完备性？

主要发现

• 与使用多面体和路径聚焦的经典前向分析相比，PAGAI 在 8.29% 至 9.86% 的控制点上实现了更高的精度。
• 与 G+PF 技术相比，使用析取不变式使基准测试集中 14.46% 的控制点精度得到提升，尽管计算成本更高。
• 在 97.98% 的情况下，八边形域优于区间，尤其得益于其能够表达循环索引的非恒定边界。
• Bagnara 等人提出的改进宽化算子在 3.70% 的控制点上产生的不变式比经典宽化更精确。
• Lapack/Blas 基准测试显示，由于非线性浮点算术，SMT 求解器失败率很高（1602 个函数中有 798 个被跳过），表明当前 SMT 支持存在关键局限。
• 由于在更少的控制点上对抽象值进行计算，路径聚焦有时在执行时间上优于经典算法。