[论文解读] Hypernode Automata

Ezio Bartocci, Thomas A. Henzinger+2 more|arXiv (Cornell University)|Jan 1, 2023

Formal Methods in Verification被引用 3

一句话总结

本文提出超节点自动机（hypernode automata），一种新颖的形式化方法，通过在状态上使用超节点逻辑公式、在动作标记的转移上实现轨迹同步，结合异步超性质。该文提出了一种在动作标记的Kripke结构上对超节点自动机进行可判定模型检测的算法，支持对并发系统中异步超性质（如观测确定性与动态去分类）的验证。

ABSTRACT

We introduce hypernode automata as a new specification formalism for hyperproperties of concurrent systems. They are finite automata with nodes labeled with hypernode logic formulas and transitions labeled with actions. A hypernode logic formula specifies relations between sequences of variable values in different system executions. Unlike HyperLTL, hypernode logic takes an asynchronous view on execution traces by constraining the values and the order of value changes of each variable without correlating the timing of the changes. Different execution traces are synchronized solely through the transitions of hypernode automata. Hypernode automata naturally combine asynchronicity at the node level with synchronicity at the transition level. We show that the model-checking problem for hypernode automata is decidable over action-labeled Kripke structures, whose actions induce transitions of the specification automata. For this reason, hypernode automaton is a suitable formalism for specifying and verifying asynchronous hyperproperties, such as declassifying observational determinism in multi-threaded programs.

研究动机与目标

• 为解决同步超逻辑（如HyperLTL）在表达轨迹进展时间不同的超性质时的局限性。
• 提出一种新形式化方法，将异步性（在超节点内部）与同步性（在转移处）分离，从而自然地表达动态、与模式相关的安全策略。
• 为超节点自动机开发可判定的模型检测过程，支持在并发系统中验证异步超性质。
• 通过在多线程程序中指定观测确定性与信息去分类，展示其表达能力。

提出的方法

• 超节点自动机是有限自动机，其中节点用超节点逻辑公式标记，转移用动作标记，以同步不同执行轨迹。
• 超节点逻辑使用一种去除了停顿的前缀关系 ≾，用于比较有限轨迹段，允许轨迹间独立的变量进展，同时支持有序的值变化比较。
• 模型检测算法采用一种新颖的无停顿自动机构造，该构造用于过滤与自复合技术，以验证超节点逻辑公式。
• 该方法利用自动机理论方法，将验证问题归约为标准自动机操作，从而在动作标记的Kripke结构上确保可判定性。
• 该方法支持安全的超节点自动机以处理无限执行，并通过存在量化的轨迹表达非安全性超性质。
• 该框架允许通过超节点之间的转移实现超性质的动态变化，从而建模程序中的模式切换。

实验结果

研究问题

• RQ1 能否设计一种形式化方法，同时支持轨迹比较中的异步性与轨迹协调中的同步性，以表达超性质？
• RQ2 对于通过逻辑公式标记状态的自动机构造的异步超性质，其模型检测问题是否可判定？
• RQ3 超节点自动机能否表达如去分类等动态信息流策略，其中观测确定性随程序模式而变化？
• RQ4 与现有异步超逻辑（如HyperLTLS、HyperLTLC、A-HyperLTL和HyperATL*）相比，超节点自动机的表达能力如何？
• RQ5 无停顿自动机能否作为可判定且模块化地验证异步超性质的基础构造？

主要发现

• 在动作标记的Kripke结构上，超节点自动机的模型检测问题是可判定的，为自动验证异步超性质提供了基础。
• 超节点逻辑支持一种新颖的去除了停顿的前缀关系 ≾，可实现灵活的、异步的有限轨迹段比较，无需同步时间要求。
• 该形式化方法可表达文献中发现的多种观测确定性变体，包括动态和与模式相关的形式。
• 超节点自动机可通过超节点间的转移指定信息去分类，从而建模上下文相关的安全策略。
• 该方法与近期异步超逻辑（如HyperLTLS、HyperLTLC、A-HyperLTL和HyperATL*）相比，表达能力不可比较，因其可表达Hµ及其扩展无法表达的性质。
• 使用无停顿自动机支持了一种新的、技术上新颖的验证技术，可在异步超性质的背景下支持过滤与自复合。