[论文解读] A Theoretical Framework for Symbolic Quick Error Detection

Florian Lonsing, Subhasish Mitra+1 more|arXiv (Cornell University)|Jan 1, 2020

Radiation Effects in Electronics参考文献 33被引用 3

一句话总结

本文为符号快速错误检测（SQED）提供了形式化的理论基础，SQED是一种用于处理器的预硅验证技术，通过检查自洽性来检测错误：在相同输入上两次执行指令序列必须产生相同的输出。作者证明了SQED是可靠的——任何报告的反例都是真实错误——并且在特定条件下是完备的，意味着它可以检测到一大类错误；通过硬件支持状态重置指令，可实现完全完备性。

ABSTRACT

Symbolic quick error detection (SQED) is a formal pre-silicon verification technique targeted at processor designs. It leverages bounded model checking (BMC) to check a design for counterexamples to a self-consistency property: given the instruction set architecture (ISA) of the design, executing an instruction sequence twice on the same inputs must always produce the same outputs. Self-consistency is a universal, implementation-independent property. Consequently, in contrast to traditional verification approaches that use implementation-specific assertions (often generated manually), SQED does not require a full formal design specification or manually-written properties. Case studies have shown that SQED is effective for commercial designs and that SQED substantially improves design productivity. However, until now there has been no formal characterization of its bug-finding capabilities. We aim to close this gap by laying a formal foundation for SQED. We use a transition-system processor model and define the notion of a bug using an abstract specification relation. We prove the soundness of SQED, i.e., that any bug reported by SQED is in fact a real bug in the processor. Importantly, this result holds regardless of what the actual specification relation is. We next describe conditions under which SQED is complete, that is, what kinds of bugs it is guaranteed to find. We show that for a large class of bugs, SQED can always find a trace exhibiting the bug. Ultimately, we prove full completeness of a variant of SQED that uses specialized state reset instructions. Our results enable a rigorous understanding of SQED and its bug-finding capabilities and give insights on how to optimize implementations of SQED in practice.

研究动机与目标

• 解决当前对SQED在处理器验证中错误发现能力缺乏形式化理论理解的问题。
• 建立SQED的自洽性检查与实际设计错误之间的严谨联系。
• 提供形式化保证，确保SQED不会产生误报（虚假反例）。
• 描述SQED能够检测处理器设计中所有错误的条件。
• 探索扩展SQED的方法，通过硬件辅助的状态重置机制实现完全完备性。

提出的方法

• 将处理器建模为转移系统，以抽象实现细节，同时保留功能行为。
• 通过抽象规范关系定义指令执行的正确性，以捕捉预期行为：正确写出输出，无意外副作用。
• 将SQED的自洽性属性形式化为一种普遍的、与实现无关的检查：在相同输入序列上两次执行必须产生相同输出。
• 通过证明SQED报告的任何自洽性反例都对应于抽象规范的违反——即真实错误——来证明其可靠性。
• 在较弱假设下，通过识别一大类可通过自洽性违反暴露的错误，建立条件完备性。
• 引入并形式化一种增强版SQED，其包含专用状态重置指令，证明该变体可实现完全（无条件）完备性。

实验结果

研究问题

• RQ1 SQED是否可靠？即，SQED报告的任何自洽性反例是否都对应于实际设计错误？
• RQ2 在何种条件下SQED是完备的？它能否检测处理器设计中的所有可能错误？
• RQ3 是否可以不依赖对错误性质的假设，使SQED实现完全完备？
• RQ4 硬件辅助的状态重置指令在增强SQED完备性保证方面起什么作用？
• RQ5 抽象规范关系与自洽性属性之间有何关系？该关系能否被形式化建立？

主要发现

• SQED是可靠的：SQED报告的任何自洽性反例都可保证对应于处理器设计中的真实错误。
• SQED是条件完备的：对于一大类错误，在对错误结构施加较弱假设的前提下，存在SQED可检测的自洽性违反轨迹。
• 通过引入专用状态重置指令增强的SQED变体实现了完全（无条件）完备性，意味着它可以检测所有违反抽象规范的错误。
• 理论框架表明，SQED的有效性不依赖于特定实现的断言或形式化规范，因此具有广泛适用性。
• 结果为优化SQED实现提供了形式化基础，包括使用符号初始状态以及结合标准QED测试与基于重置的QED测试的混合测试策略。
• 该框架支持未来扩展，例如检测死锁，以及与用于乘法器或加速器验证的形式化方法集成。