[论文解读] Symbolic Reachability Analysis of B through ProB and LTSmin

Jens Bendisposto, Philipp Koerner+5 more|arXiv (Cornell University)|Mar 14, 2016

Formal Methods in Verification参考文献 32被引用 6

一句话总结

本文提出了一种通过使用 P ins 接口和基于 ØMQ 的 C 桥，将 ProB 与 LTSmin 集成的符号可达性分析框架，用于 B 和 Event-B 规范。该方法在显式状态模型检查之上实现了数个数量级的速度提升，尤其适用于 CAN_BUS 和 ABZ 起落架等大型工业模型，实现了基于符号状态表示和高性能算法的可扩展验证。

ABSTRACT

We present a symbolic reachability analysis approach for B that can provide a significant speedup over traditional explicit state model checking. The symbolic analysis is implemented by linking ProB to LTSmin, a high-performance language independent model checker. The link is achieved via LTSmin's PINS interface, allowing ProB to benefit from LTSmin's analysis algorithms, while only writing a few hundred lines of glue-code, along with a bridge between ProB and C using ZeroMQ. ProB supports model checking of several formal specification languages such as B, Event-B, Z and TLA. Our experiments are based on a wide variety of B-Method and Event-B models to demonstrate the efficiency of the new link. Among the tested categories are state space generation and deadlock detection; but action detection and invariant checking are also feasible in principle. In many cases we observe speedups of several orders of magnitude. We also compare the results with other approaches for improving model checking, such as partial order reduction or symmetry reduction. We thus provide a new scalable, symbolic analysis algorithm for the B-Method and Event-B, along with a platform to integrate other model checking improvements via LTSmin in the future.

研究动机与目标

• 为解决 B 和 Event-B 规范在显式状态模型检查中的可扩展性限制，特别是针对大型工业系统。
• 利用 LTSmin 的高性能算法，为 B-Method 和 Event-B 实现符号可达性分析。
• 创建一个稳定且可扩展的 ProB 与 LTSmin 集成平台，支持未来功能扩展，如不变量检查和部分顺序约简。
• 评估符号分析相对于显式状态模型检查以及现有优化技术（如对称性约简和部分顺序约简）的性能表现。
• 提供一个可扩展的、语言无关的验证平台，利用 LTSmin 的符号后端，同时保留 ProB 对高级规格说明的支持。

提出的方法

• 该集成使用 LTSmin 的 P ins 接口，将 ProB 的状态表示和后继函数暴露给 LTSmin 的符号模型检查后端。
• 通过使用 ØMQ 实现的轻量级 C 桥，实现 ProB 与 LTSmin 之间的通信，将 ProB 的内部状态和操作表示转换为 LTSmin 兼容的格式。
• 使用 LTSmin 的符号后端执行符号可达性分析，该后端采用变量重排、转移分组和基于 BDD 的状态空间探索技术。
• 该方法支持对 B 和 Event-B 模型的符号分析，包括状态空间生成、死锁检测以及通过编码操作实现的不变量检查。
• 使用 ProB 的约束求解器计算初始状态和转移守卫，随后将其传递给 LTSmin 以进行符号探索。
• 未来扩展将包括传输细粒度的操作级信息（如守卫、读写集），以支持高级优化技术，如基于守卫的部分顺序约简。

实验结果

研究问题

• RQ1 通过 LTSmin 实现的符号可达性分析是否能在 B 和 Event-B 规范中显著优于 ProB 的显式状态模型检查？
• RQ2 ProB 与 LTSmin 符号后端的集成在多种 B 和 Event-B 模型（包括工业案例研究）上的可扩展性如何？
• RQ3 与现有的优化技术（如对称性约简和部分顺序约简）相比，可实现多大的性能提升？
• RQ4 ProB-LTSmin 集成在多大程度上可扩展以支持高级验证任务，如 LTL 模型检查和不变量分析？
• RQ5 该集成能否作为可重用平台，将 LTSmin 未来的新模型检查改进无缝集成到 ProB 中？

主要发现

• 与显式状态检查相比，ProB-LTSmin 集成在大型工业模型（如 CAN_BUS 和 ABZ 起落架）上实现了数个数量级的速度提升。
• 在 CAN_BUS 模型中，通过 LTSmin 实现的符号可达性分析相比 ProB 的显式状态模型检查器，实现了接近两个数量级的速度提升。
• 在 nota 模型中，使用 LTSmin 的符号可达性分析在 0.5 秒内完成不变量检查，而 ProB 的部分顺序约简则耗时 134 秒。
• 符号方法在大多数基准测试中优于 Tlc（显式状态）和对称性约简，尤其在具有复杂约束或状态空间爆炸的模型中表现更优。
• 在某些情况下，ProB 中的部分顺序约简导致性能下降，特别是在不变量检查期间，而符号方法始终保持高效。
• 通过将不变量编码为操作，该集成成功支持了不变量检查，证明了其在安全属性验证中的可行性。