[论文解读] Combining k-Induction with Continuously-Refined Invariants

Dirk Beyer, Matthias Dangl+1 more|arXiv (Cornell University)|Jan 31, 2015

Software Testing and Debugging Techniques参考文献 30被引用 9

一句话总结

本文提出了一种稳健且高效的软件验证方法，结合 k-归纳法与持续精炼的不变量，其中不变量在分析过程中逐步强化，以提高证明成功率。该方法在验证覆盖率和效率方面优于现有 k-归纳法工具，尤其减少了所需的循环展开次数（k 值），并在 CPAchecker 中实现，公开了结果。

ABSTRACT

Bounded model checking (BMC) is a well-known and successful technique for finding bugs in software. k-induction is an approach to extend BMC-based approaches from falsification to verification. Automatically generated auxiliary invariants can be used to strengthen the induction hypothesis. We improve this approach and further increase effectiveness and efficiency in the following way: we start with light-weight invariants and refine these invariants continuously during the analysis. We present and evaluate an implementation of our approach in the open-source verification-framework CPAchecker. Our experiments show that combining k-induction with continuously-refined invariants significantly increases effectiveness and efficiency, and outperforms all existing implementations of k-induction-based software verification in terms of successful verification results.

研究动机与目标

• 为解决 k-归纳法在验证复杂程序时因不变量过弱或不足而导致的局限性。
• 通过在分析过程中动态精炼不变量，提升基于 k-归纳法的软件验证的有效性与效率。
• 为通用软件验证提供一种稳健、可扩展且具有竞争力的 k-归纳法替代方案。
• 将该方法集成到成熟的验证框架 CPAchecker 中，以实现实际部署与评估。

提出的方法

• 该方法采用可配置的程序分析技术，结合精度精炼机制，生成初始较弱但可在验证过程中逐步强化的不变量。
• k-归纳法以递增的 k 值迭代应用，每次证明尝试均结合当前可用的不变量集，以增强归纳假设。
• 不变量生成与 k-归纳法并行执行，使简单程序能早期成功，复杂程序则可进行更深层次探索。
• 该框架采用稳健的迭代加深策略，基于失败的证明尝试对不变量进行精炼，避免了先前工具中使用的不 sound 启发式方法。
• 实现集成于 CPAchecker，利用其 SMT 求解器和形式化验证基础设施。
• 该方法避免依赖可能导致错误证明的不 sound 启发式方法（例如保留初始状态值），从而确保了 sound 性。

实验结果

研究问题

• RQ1 持续精炼的不变量是否能显著提升 k-归纳法在软件验证中的成功概率？
• RQ2 动态强化的不变量如何影响 k-归纳法中的 k 值（循环展开深度）？
• RQ3 结合不变量精炼的 sound k-归纳法是否能优于使用启发式或不 sound 技术的现有 k-归纳法工具？
• RQ4 与最先进的工具 Esbmc 相比，该方法在多大程度上减少了所需的循环展开次数？
• RQ5 与 CPAchecker 中成熟的谓词抽象技术相比，该方法的性能如何？

主要发现

• 在 2015 年软件验证竞赛基准测试中，该方法在成功验证结果方面优于所有现有的基于 k-归纳法的实现。
• CPAchecker 搭配持续精炼的不变量，成功验证了全部 845 个仅需一次循环展开（k=1）的程序，而 Esbmc 对其中许多程序需要更多展开。
• 对于需要更高 k 值的程序，CPAchecker 对除四个程序外的所有程序均满足 k ≤ 32，而 Esbmc 对 71 个程序需要 k=100。
• 该方法显著减少了所需的循环展开次数，仅四个程序需要 k > 32，而 Esbmc 中有 71 个程序需要 k > 100。
• 尽管是较新的技术，该方法在与 CPAchecker 中的谓词抽象技术对比时表现具有竞争力，并通过针对性的不变量精炼展现出进一步改进的强潜力。
• 通过使用 sound 不变量精炼，该方法避免了 Esbmc 在 example-unsafe 程序上产生的错误证明，证明了其正确性与可靠性。