[论文解读] Bug Hunting By Computing Range Reduction

Eugene Goldberg, Panagiotis Manolios|arXiv (Cornell University)|Aug 29, 2014

Formal Methods in Verification参考文献 3被引用 4

一句话总结

本文提出计算范围约减（CRR），一种新颖的模型检测方法，通过部分量化消除（PQE）计算范围约减公式，高效定位长反例。与传统的基于SAT或IC3的方法不同，CRR避免计算完整的可达状态集合，转而聚焦于仅通过特定初始状态可达的状态，从而更高效地发现长反例，并表明在某些场景下，基于PQE的方法可优于SAT求解器。

ABSTRACT

We describe a method of model checking called Computing Range Reduction (CRR). The CRR method is based on derivation of clauses that reduce the set of traces of reachable states in such a way that at least one counterexample remains (if any). These clauses are derived by a technique called Partial Quantifier Elimination (PQE). Given a number n, the CRR method finds a counterexample of length less or equal to n or proves that such a counterexample does not exist. We show experimentally that a PQE-solver we developed earlier can be efficiently applied to derivation of constraining clauses for transition relations of realistic benchmarks. One of the most appealing features of the CRR method is that it can potentially find long counterexamples. This is the area where it can beat model checkers computing reachable states (or their approximations as in IC3) or SAT-based methods of bounded model checking. PQE cannot be efficiently simulated by a SAT-solver. This is important because the current research in model checking is dominated by SAT-based algorithms. The CRR method is a reminder that one should not put all eggs in one basket.

研究动机与目标

• 为解决在传统方法（如IC3或有界模型检测）变得不可行时，高效发现长反例的挑战。
• 克服基于SAT的方法和IC3的局限性，这些方法在长反例的可扩展性和完备性方面常表现不佳。
• 开发一种利用部分量化消除（PQE）计算约束子句的方法，以将搜索空间缩减为仅通过特定初始状态可达的状态。
• 证明基于PQE的推理在某些模型检测场景中可优于SAT求解器，特别是针对长反例发现。
• 为基于CRR的完整、无界模型检测方法奠定基础，并未来扩展以处理任意长度属性。

提出的方法

• CRR 计算范围约减公式 $ H_i $，表示仅从特定初始状态 $ s_0 $ 出发在 $ i $ 步内可达的状态，通过使用子句 $ C $ 排除所有其他初始状态。
• 该方法使用部分量化消除（PQE）从 $ i $ 个转移关系 $ N $ 的复合中推导 $ H_i $，并仅考虑从 $ s_0 $ 开始的轨迹。
• 在每一步 $ i $，检查 $ \overline{H_i} \rightarrow P $ 是否成立；若不成立，则从 $ s_0 $ 可达一个坏状态，表明存在长度 $ \leq n $ 的反例。
• 该方法避免计算完整的可达集合 $ A_i $，转而聚焦于仅从 $ s_0 $ 可达的状态集合 $ A_i \setminus B_i $，其规模可能显著更小。
• 使用噪声PQE求解器计算近似 $ H^*_i $，并通过逻辑蕴含 $ H^*_i \rightarrow H_i $ 保证正确性，确保保真性。
• 该方法扩展用于证明子句 $ C $ 的 $ P^n $-等价性，通过在 $ H^*_i $ 上进行归纳推理，确保若未排除任何坏状态，则 $ C $ 对 $ n $ 步是安全的。

实验结果

研究问题

• RQ1 能否通过PQE实现范围约减，在不计算完整可达状态集合的前提下，高效定位模型检测中的长反例？
• RQ2 CRR方法在性能和可扩展性方面与基于SAT的有界模型检测和IC3风格算法相比，在长反例发现中表现如何？
• RQ3 在保留反例检测正确性保证的前提下，噪声PQE求解器在多大程度上可用于计算近似范围约减公式？
• RQ4 在何种条件下可使用CRR框架证明子句 $ C $ 的 $ P^n $-等价性，且这与未被排除的坏状态的缺失有何关联？
• RQ5 CRR方法能否扩展为一种完整无界模型检测算法，以证明任意数量转换步长的属性？

主要发现

• CRR方法通过仅关注从特定初始状态可达的状态，高效定位长反例，避免了完整状态空间探索的指数级膨胀。
• 实验表明，PQE求解器可高效应用于实际基准，推导出约束子句，证明了其实际可行性。
• PQE无法被SAT求解器高效模拟，表明CRR提供了一种与现有基于SAT的模型检测根本不同且潜在更具可扩展性的方法。
• 该方法具有保真性：若 $ \overline{H_i} \rightarrow P $ 失败，则存在长度 $ \leq i $ 的反例，且 $ H_i $ 正确识别了相关状态集合。
• 当使用噪声PQE求解器时，$ H^*_i \rightarrow H_i $ 成立，确保由 $ H^*_i $ 排除的任何坏状态也被真实 $ H_i $ 排除，从而保持正确性。
• 若 $ H^*_i $ 排除的所有坏状态均不可达，且任意 $ H^*_j $ 均未排除任何可达坏状态，则子句 $ C $ 对任意 $ n > 0 $ 均为 $ P^n $-等价，证明对所有长度均安全。