[论文解读] Compositional Safety Verification with Max-SMT

Marc Brockschmidt, Daniel Larraz+3 more|RECERCAT (Consorci de Serveis Universitaris de Catalunya)|Jul 14, 2015

Formal Methods in Verification参考文献 22被引用 6

一句话总结

该论文提出了一种基于Max-SMT的组合式安全验证框架，通过合成条件归纳不变量作为确保程序安全的先决条件。通过使用一种新颖的缩小技术对失败的证明进行迭代精炼，并自底向上传播先决条件，该方法实现了对顺序程序的可扩展、精确且可分布的验证，在数值基准测试中表现优于现有工具，速度更快，证明覆盖率更高。

ABSTRACT

We present an automated compositional program verification technique for safety properties based on conditional inductive invariants. For a given program part (e.g., a single loop) and a postcondition $φ$, we show how to, using a Max-SMT solver, an inductive invariant together with a precondition can be synthesized so that the precondition ensures the validity of the invariant and that the invariant implies $φ$. From this, we build a bottom-up program verification framework that propagates preconditions of small program parts as postconditions for preceding program parts. The method recovers from failures to prove the validity of a precondition, using the obtained intermediate results to restrict the search space for further proof attempts. As only small program parts need to be handled at a time, our method is scalable and distributable. The derived conditions can be viewed as implicit contracts between different parts of the program, and thus enable an incremental program analysis.

研究动机与目标

• 解决大规模软件系统中自动化程序验证面临的可扩展性与精确性挑战。
• 通过合成既可靠又实用的中间断言（条件不变量），实现组合式推理。
• 通过利用中间结果引导精炼，从失败的证明尝试中恢复，从而缩小搜索空间并提高收敛速度。
• 通过将先决条件作为后置条件在程序组件间传播，支持增量式与可分布的分析。
• 开发一种实用、可扩展的验证框架，在数值与顺序程序上优于现有工具。

提出的方法

• 使用Max-SMT求解器同时处理合成条件归纳不变量过程中的硬约束（可靠性）与软约束（有用性）。
• 应用一种新颖的缩小变换，当先决条件不成立时聚焦于缺失的证明组件，引导迭代精炼。
• 采用自底向上的分析策略，将程序部分的后置条件视为其前驱的先决条件，实现增量式验证。
• 引入失败证明尝试的缓存机制，避免冗余搜索，加速迭代精炼过程。
• 通过将不变量合成任务分发到程序组件上，支持并行执行，在多核系统上观察到性能提升。
• 对过程调用使用内联处理，并计划通过基于模板的预/后置条件合成方式扩展对递归函数的支持。

实验结果

研究问题

• RQ1 如何自动合成精确、组合式的不变量，使其在证明安全属性时既可靠又实用？
• RQ2 如何以缩小搜索空间并加速收敛的方式从失败的证明尝试中恢复？
• RQ3 Max-SMT求解能否有效平衡顺序程序不变量合成中的可靠性与有用性？
• RQ4 与现有工具相比，该组合式、自底向上的验证框架在真实基准测试中的可扩展性与性能表现如何？
• RQ5 并行化与缓存机制对验证过程的性能与完备性有何影响？

主要发现

• 在HOLA-BENCHS基准集上，VeryMax-Par成功验证了45个安全属性，优于CPAchecker（33个）、SeaHorn（32个）和HOLA（43个），总运行时间为151.21秒。
• 在包含6,452个数值安全问题的NR-BENCHS大型数据集上，VeryMax-Par验证了6,106个断言，证明覆盖率超过所有对比工具。
• 在四核处理器上，VeryMax的并行版本相比串行版本运行速度提升约两倍，证明了并行化效果显著。
• VeryMax的串行版本平均每道问题需2.8次递归或缩小的证明尝试，最多达16次，表明迭代开销适中。
• 约三分之一的案例应用了失败证明尝试的缓存机制，表明中间结果的有效重用显著减少了冗余计算。
• 在NR-BENCHS上，VeryMax-Par总运行时间为23,668.15秒，远快于CPAchecker的735,336.82秒，且解决了更多问题。