[论文解读] From propositional to first-order monitoring

Andreas Bauer, Jan-Christoph Küster+1 more|arXiv (Cornell University)|Mar 15, 2013

Formal Methods in Verification参考文献 10被引用 4

一句话总结

本文提出 LTL^FO，一种用于指定系统行为的一阶时序逻辑，并设计了一种基于自动机的可靠监控框架，采用生成式自动机（spawning automata）。尽管 LTL^FO 的前缀问题具有不可判定性，该方法通过预计算状态自动机，实现了对许多公式的轨迹长度无关监控，相较于基于推进的方法，运行时性能更高效。

ABSTRACT

The main purpose of this paper is to introduce a first-order temporal logic, LTLFO, and a corresponding monitor construction based on a new type of automaton, called spawning automaton. Specifically, we show that monitoring a specification in LTLFO boils down to an undecidable decision problem. The proof of this result revolves around specific ideas on what we consider a "proper" monitor. As these ideas are general, we outline them first in the setting of standard LTL, before lifting them to the setting of first-order logic and LTLFO. Although due to the above result one cannot hope to obtain a complete monitor for LTLFO, we prove the soundness of our automata-based construction and give experimental results from an implementation. These seem to substantiate our hypothesis that the automata-based construction leads to efficient runtime monitors whose size does not grow with increasing trace lengths (as is often observed in similar approaches). However, we also discuss formulae for which growth is unavoidable, irrespective of the chosen monitoring approach.

研究动机与目标

• 定义一种一阶时序逻辑 LTL^FO，能够表达涉及数据和关系的复杂系统属性。
• 设计一种对 LTL^FO 规范既可靠又高效的监控框架。
• 通过预计算自动机组件，实现轨迹长度无关的监控，降低运行时开销。
• 形式化定义何种监控器可被视为“合适”的监控器，强调单调性与轨迹长度无关性。
• 证明尽管完整监控不可判定，但通过基于自动机的构造，仍可实现实际效率。

提出的方法

• 将 LTL^FO 引入为命题 LTL 的扩展，引入一阶逻辑构造，包括谓词、函数和数据上的量词。
• 定义一种新型自动机模型——生成式自动机（Spawning Automaton, SA），支持子公式的分层、多级状态表示。
• 通过预计算子公式的基底自动机（Basic Automata, BAs），构建监控器，实现在监控过程中常数时间的查表操作。
• 采用轨迹长度无关的监控架构，其中监控器状态大小受 O(|σ|^{depth(φ)} · 2^{|cl(φ)|}) 限制，σ 为输入。
• 采用单调报告机制：一旦发出某个结论（SAT 或 UNSAT），后续新观测无法更改该结论。
• 将监控构造应用于真实世界的 Android 应用规范，验证其实际可行性与效率。

实验结果

研究问题

• RQ1 尽管存在不可判定性，能否为一阶时序逻辑构建一个可靠且高效的监控框架？
• RQ2 在一阶时序逻辑背景下，“合适”的监控器应具备何种特征？这些特性如何形式化？
• RQ3 在 LTL^FO 监控中，监控器的大小与复杂度在多大程度上可与轨迹长度解耦？
• RQ4 与公式重写或基于推进的方法相比，基于自动机的方法在性能与可扩展性方面表现如何？
• RQ5 在何种条件下，即使采用最优监控技术，轨迹长度依赖性仍不可避免？

主要发现

• LTL^FO 的前缀问题不可判定，这意味着对所有公式不存在完整的监控算法。
• 所提出的基于生成式自动机的监控器具有可靠性与单调性，确保随时间推移结论正确且一致。
• 对于轨迹长度无关的公式，监控器的大小有界，不随轨迹长度增长，真正实现轨迹长度无关性。
• 监控器的空间复杂度为 O(|σ|^{depth(φ)} · 2^{|cl(φ)|})，其中 |σ| 为当前输入，|cl(φ)| 为公式的闭包大小。
• 实验结果表明，基于自动机的方法在运行时效率与可扩展性方面优于公式重写方法。
• 某些公式（如需要记忆过去事件的公式）本质上具有轨迹长度依赖性，无论采用何种监控策略均无法避免。