[论文解读] Abstract Stobjs and Their Application to ISA Modeling

Shilpi Goel, Warren A. Hunt+1 more|arXiv (Cornell University)|Apr 30, 2013

Embedded Systems Design Techniques被引用 5

一句话总结

本文在ACL2中引入了抽象stobj，这是一种新功能，通过封装不变量并支持符号推理，实现了对具体stobj更简洁、更高效的逻辑接口。通过在抽象stobj与具体stobj表示之间建立对应关系，该方法支持更快的执行速度、简化的定理证明，并对建模优化具有更强的鲁棒性，如在Y86-32处理器模型中的应用所示，其保护条件验证和定理假设显著减少。

ABSTRACT

We introduce a new ACL2 feature, the abstract stobj, and show how to apply it to modeling the instruction set architecture of a microprocessor. Benefits of abstract stobjs over traditional ("concrete") stobjs can include faster execution, support for symbolic simulation, more efficient reasoning, and resilience of proof developments under modeling optimization.

研究动机与目标

• 解决具体stobj在表达多字段不变量时的局限性，这些局限性会增加保护条件验证的复杂度并使定理假设变得杂乱。
• 提供一种机制，将高效执行与清晰的逻辑推理在微处理器形式化验证中分离。
• 通过将逻辑抽象与具体实现解耦，实现对建模优化的证明鲁棒性。
• 通过将复杂的stobj状态不变量抽象为更简单的逻辑接口，支持符号仿真和更快的执行。
• 扩展ACL2在工业级验证方面的能力，以支持真实世界中的处理器建模。

提出的方法

• 通过defabsstobj事件定义抽象stobj，该事件为对应的特定stobj建立逻辑（logic）和可执行（exec）接口。
• 使用对应关系谓词正式证明抽象stobj在所有更新中与具体stobj保持同步，确保逻辑等价性。
• 通过:LOGIC和:EXEC关键字导出函数，其中:LOGIC函数定义逻辑行为，:EXEC函数则在原始Lisp结构上实现高效执行。
• 在defabsstobj求值期间生成证明义务，以验证更新是否保持对应关系谓词，这些义务必须通过证明引理来消除。
• 利用ACL2的单线程对象模型，确保在更新过程中stobj识别器不变量得以保持，从而避免保护条件验证的开销。
• 采用分层建模策略，其中具体stobj针对性能进行优化，而抽象stobj用于推理，通过对应关系保持正确性。

实验结果

研究问题

• RQ1 如何在不增加性能或证明复杂度成本的前提下，表达涉及多个字段的stobj不变量？
• RQ2 能否定义一种更简洁的stobj逻辑接口，以简化定理证明并避免假设杂乱？
• RQ3 使用抽象stobj在多大程度上提升了证明效率，并增强了对实现变更的鲁棒性？
• RQ4 在形式化验证框架中，如何同时支持符号仿真和高效执行？
• RQ5 能否在一个单一具体stobj上定义多个抽象，以服务于不同的推理目标？

主要发现

• 使用抽象stobj消除了stobj识别器保持不变的保护条件验证义务，因为系统通过对应关系维护了该不变量。
• 内存访问的读覆盖写定理变为无假设形式，从而得到更简洁、更易用的定理：(equal (memi i (!memi j v x86-32)) (if (equal i j) (or v 0) (memi i x86-32)))。
• 抽象stobj模型允许对具体stobj进行性能优化，而不会影响在抽象层面上推理的正确性。
• 对应关系证明确保了在抽象stobj上进行的推理在逻辑上与具体stobj一致，从而支持符号仿真和高效执行。
• 可在单个具体stobj上定义多个抽象stobj，以支持不同证明目标的多种抽象。
• 该方法避免了在独立的具体模型与抽象模型之间进行等价性证明，因为单个逻辑对象通过对应关系被共享。