[论文解读] Finite countermodels for safety verification of parameterized tree systems

Alexei Lisitsa|arXiv (Cornell University)|Jul 26, 2011

Formal Methods in Verification参考文献 19被引用 4

一句话总结

本文提出了一种有限反例模型（FCM）方法，用于在参数化树形系统中验证安全属性，通过将验证问题归约为一阶逻辑，并使用通用有限模型查找器来证伪不安全状态的可达性。该方法在表达能力上至少与常规树模型检查（RTMC）和单调抽象方法相当，实证结果表明其在基准协议上的效率更优。

ABSTRACT

In this paper we deal with verification of safety properties of parameterized systems with a tree topology. The verification problem is translated to a purely logical problem of finding a finite countermodel for a first-order formula, which further resolved by a generic finite model finding procedure. A finite countermodel method is shown is at least as powerful as regular tree model checking and as the methods based on monotonic abstraction and backwards symbolic reachability. The practical efficiency of the method is illustrated on a set of examples taken from the literature.

研究动机与目标

• 为解决在无限状态、参数化树形系统中验证安全属性的挑战，其中一般验证问题是不可判定的。
• 开发一种将安全验证问题归约为寻找一阶公式的有限反例模型的问题的方法。
• 证明有限反例模型方法相对于已建立技术（如常规树模型检查和单调抽象）的相对完备性。
• 在标准参数化树协议基准上评估该方法的实际效率。
• 为使用通用一阶推理方法实现复杂并发和分布式系统的可扩展验证奠定基础。

提出的方法

• 将参数化树系统的安全验证问题转化为一阶逻辑公式，表达不安全状态不可达的性质。
• 使用通用有限模型查找器（例如 Mace4）搜索该公式的有限反例模型，该模型可作为不安全状态不可达的证伪证据。
• 利用一阶逻辑中有限模型查找过程的完备性，确保若反例模型存在，必能被找到。
• 将该方法应用于 RTMC 风格协议以及通过单调抽象验证的协议，使用一致的一阶编码。
• 使用一阶逻辑中的谓词对系统状态、转移关系和安全属性进行编码，包括初始状态、可达性以及不安全状态的谓词。
• 将安全公式否定后的有限模型存在性作为安全性的证明，从而有效证伪不安全配置的可达性。

实验结果

研究问题

• RQ1 有限反例模型方法能否有效应用于参数化树形系统？
• RQ2 有限反例模型方法在表达能力上与常规树模型检查（RTMC）和单调抽象方法相比如何？
• RQ3 有限反例模型方法在标准参数化树协议基准上的实际效率如何？
• RQ4 该方法能否作为现有验证技术在该类系统中的完整或相对完整替代方案？
• RQ5 该方法在 CPU 时间方面的可扩展性和性能与其它先进方法相比如何？

主要发现

• 有限反例模型方法在验证参数化树系统的安全属性方面，至少与常规树模型检查和单调抽象方法具有同等表达能力。
• 对于 Token 协议和 Two-way Token 协议，该方法分别在 0.02 秒和 0.03 秒内找到反例模型，优于 RTMC（0.06 秒和 0.09 秒）和单调抽象（各 1 秒）。
• 在 Tree-arbiter 协议上，该方法耗时 0.02 秒，而单调抽象需 37 秒，显示出显著的性能优势。
• 对于 IEEE 1394 协议，该方法在 0.04 秒内完成安全验证，而单调抽象耗时超过一小时（1 小时 15 分 25 秒），凸显其可扩展性优势。
• 该方法在毫秒级内成功验证了所有基准协议，展现出强大的实际效率。
• 有限模型查找器 Mace4 在示例系统中于 0.05 秒内生成了安全公式的反例模型，证实了不安全状态不可达。