[논문 리뷰] Property Checking Without Inductive Invariants

Eugene Goldberg|arXiv (Cornell University)|2016. 02. 18.

Software Testing and Debugging Techniques참고 문헌 15인용 수 4

한 줄 요약

이 논문은 부분 기호 제거(PQE)를 사용한 완전한 깊이 우선 탐색 기반 방법을 제안하며, 인도적 불변량을 생성하지 않고도 하드웨어 검증에서 안전성 성질 검증을 수행한다. 이 방법은 유도 가능한 상태의 거리(Reachability diameter)를 효율적으로 계산하고, 이 거리 이내의 추적(trace)를 탐색함으로써 성질을 증명한다. 변형($\mathit{ProveProp^*}$)은 성질을 만족하는 상태로 초기 상태를 확장함으로써 수렴 속도를 높인다.

ABSTRACT

We introduce a procedure for proving safety properties. This procedure is based on a technique called Partial Quantifier Elimination (PQE). In contrast to complete quantifier elimination, in PQE, only a part of the formula is taken out of the scope of quantifiers. So, PQE can be dramatically more efficient than complete quantifier elimination. The appeal of our procedure is twofold. First, it can prove a property without generating an inductive invariant. Second, it employs depth-first search and so can be used to find deep bugs.

연구 동기 및 목표

• 하드웨어 검증에서 인도적 불변량 생성의 한계를 해결하기 위해, 특히 불변량이 너무 크거나 찾기 어려운 경우에 대비한다.
• 인도적 불변량을 생성하지 않고도 완전한 성질 검증 절차를 개발한다.
• 전이 시스템에서 깊은 버그를 탐지하기 위해 깊이 우선 탐색을 가능하게 한다.
• 모든 유도 가능한 상태를 나열하지 않고도 유도 가능성 거리를 계산한다.
• 성질을 만족하는 상태로 초기 상태 집합을 확장하여 성질 검증의 수렴 속도를 향상시킨다.

제안 방법

• 이 방법은 전체 기호 제거가 아니라 관련 부분에만 집중하는 부분 기호 제거(PQE)를 사용하여 공식에서 기호를 선택적으로 제거한다.
• 안전성 문제를 두 개의 하위 문제로 재구성한다: 유도 가능성 거리 계산과 그 거리 내에서 악성 상태의 존재 여부 확인.
• 핵심 절차 $\mathit{ProveProp}$는 PQE를 이용해 유도 가능성 거리 이내의 추적에 대해 깊이 우선 탐색을 수행한다.
• 변형 $\mathit{ProveProp^*}$는 초기 상태 집합 $I$를 $I^{\mathit{exp}}$로 확장하여 $I \rightarrow I^{\mathit{exp}}$ 및 $I^{\mathit{exp}} \rightarrow P$를 만족하도록 하여, 허위 반례 상태를 제거함으로써 수렴 속도를 향상시킨다.
• 반례 분석을 통해 다수의 허위 초기 상태를 동시에 제거하기 위해, 이를 위반하는 문장을 구성하며, 이는 재현성 기반 추론을 통해 효율성을 확보한다.
• 기존의 재현성 기반 추론에 기반한 PQE 솔버를 활용하여 확장성과 완전성을 보장한다.

실험 결과

연구 질문

• RQ1 인도적 불변량을 생성하지 않고도 안전성 성질을 증명할 수 있는가?
• RQ2 모든 유도 가능한 상태를 나열하지 않고도 유도 가능성 거리를 효율적으로 계산할 수 있는가?
• RQ3 PQE를 사용하여 성질 검증을 위한 깊이 우선 탐색을 완전하게 만들 수 있는가?
• RQ4 성질을 만족하는 상태로 초기 상태 집합을 확장함으로써 수렴 속도를 높일 수 있는가?
• RQ5 PQE 기반 성질 검증은 안전성 검증에서 완전 기호 제거보다 더 효율적인가?

주요 결과

• $\mathit{ProveProp}$ 절차는 완전하며 깊이 우선 탐색을 수행하므로, 하드웨어 설계에서 깊은 버그 탐지에 효과적이다.
• 이 방법은 모든 유도 가능한 상태 집합을 명시적으로 구성하지 않고도 유도 가능성 거리를 계산하므로 메모리 오버헤드를 줄인다.
• $\mathit{ProveProp^*}$ 변형은 성질을 만족하는 상태로 초기 상태 집합을 확장함으로써 수렴 속도를 높이며, 필요한 반복 수를 감소시킨다.
• 반례 분석을 통해 다수의 허위 초기 상태를 동시에 제거할 수 있으며, 이를 위반하는 문장을 구성함으로써 효율성을 향상시킨다.
• PQE의 사용으로, 특히 크거나 복잡한 상태 공간을 가진 시스템에서 완전 기호 제거에 비해 상당한 성능 향상을 달성한다.
• 이 방법은 작고 효율적인 인도적 불변량을 찾는 데 필요한 과정을 피할 수 있으며, 이러한 불변량이 존재하지 않거나 계산적으로 비용이 많이 들 수 있다.