[论文解读] Finite Model Finding for Parameterized Verification

Alexei Lisitsa|arXiv (Cornell University)|Nov 1, 2010

Formal Methods in Verification参考文献 19被引用 5

一句话总结

该论文提出了一种有限反例模型查找（FCM）方法，用于通过将可达性编码为一阶逻辑中的逻辑可推导性，验证有限自动机线性数组的安全部性性质。该方法将验证问题转化为寻找有限反例模型，展示了其相对完备性，与单调抽象和符号后向可达性方法相当，并表明其能够解决由常规模型检查可判定的所有问题。

ABSTRACT

In this paper we investigate to which extent a very simple and natural "reachability as deducibility" approach, originated in the research in formal methods in security, is applicable to the automated verification of large classes of infinite state and parameterized systems. The approach is based on modeling the reachability between (parameterized) states as deducibility between suitable encodings of states by formulas of first-order predicate logic. The verification of a safety property is reduced to a pure logical problem of finding a countermodel for a first-order formula. The later task is delegated then to the generic automated finite model building procedures. In this paper we first establish the relative completeness of the finite countermodel finding method (FCM) for a class of parameterized linear arrays of finite automata. The method is shown to be at least as powerful as known methods based on monotonic abstraction and symbolic backward reachability. Further, we extend the relative completeness of the approach and show that it can solve all safety verification problems which can be solved by the traditional regular model checking.

研究动机与目标

• 研究一阶逻辑中‘可达性即为可推导性’方法在验证无限状态和参数化系统中的适用性与完备性。
• 建立有限反例模型查找（FCM）方法在参数化线性有限自动机数组上的相对完备性。
• 将FCM的表达能力与已确立的方法（如单调抽象和符号后向可达性）进行比较。
• 将完备性结果扩展，证明FCM能够解决所有由常规模型检查可判定的安全验证问题。
• 在一系列参数化验证任务中，展示该方法的实际可行性与效率。

提出的方法

• 将系统状态编码为一阶逻辑公式，使得可达性对应于逻辑可推导性：若 $ s \rightarrow^* s' $，则 $\varphi_s \vdash \varphi_{s'}$。
• 将安全验证问题转化为反证一个公式 $\phi \rightarrow \psi$，这等价于寻找一个有限反例模型，其中 $\phi$ 为真而 $\psi$ 为假。
• 将反例模型查找任务委托给通用的有限模型构建程序（如 Mace4），用于一阶逻辑。
• 将参数化线性有限自动机数组转换为捕捉状态转移和全局条件的一阶逻辑公式。
• 当安全属性被违反时，使用完整的有限模型查找器搜索反例模型。
• 将模型查找器与定理证明器结合，以确保验证过程的完备性与正确性。

实验结果

研究问题

• RQ1 能否证明有限反例模型查找（FCM）方法在参数化线性有限自动机数组上具有相对完备性？
• RQ2 FCM的表达能力与已确立的方法（如单调抽象和符号后向可达性）相比如何？
• RQ3 FCM能否解决所有由常规模型检查可判定的安全验证问题？
• RQ4 在可达状态与不安全状态之间存在正则语言分离的理论基础上，FCM完备性的理论依据是什么？
• RQ5 FCM在多大程度上可推广至线性数组以外的其他参数化系统类别？

主要发现

• FCM 方法在参数化线性有限自动机数组上具有相对完备性，意味着它可以验证该类别中所有可判定的安全属性。
• 对于参数化线性自动机数组类别，FCM 方法至少与单调抽象和符号后向可达性方法一样强大。
• 该方法能够解决所有由常规模型检查可判定的安全验证问题，确立了其广泛适用性。
• 关键的理论洞见是：若存在一个正则语言可将可达状态与不安全状态分离，则该方法具有完备性。
• 该方法已成功应用于验证参数化互斥协议、缓存一致性协议、哲学家进餐问题以及佩特里网可达性任务。
• 与需要向 SMT 求解器发起数百次调用的符号可达性方法相比，该方法将验证过程简化为对有限模型查找器的一次调用。