[论文解读] Partial Orders for Efficient BMC of Concurrent Software

Jade Alglave, Daniel Kroening+1 more|arXiv (Cornell University)|Jan 8, 2013

Formal Methods in Verification参考文献 50被引用 3

一句话总结

本文提出了一种基于偏序的有界模型检查（BMC）技术，用于并发软件，该技术可推广至 x86 和 Power 等弱内存模型，避免了交错执行带来的组合爆炸问题。通过将并发执行建模为偏序而非完全交错，该方法实现了对多种内存模型下真实世界并发 C 程序的可扩展、正确且完备的验证，首次实现了对 Apache、PostgreSQL 和 Linux 内核 RCU 等非平凡系统代码的首次形式化验证。

ABSTRACT

The vast number of interleavings that a concurrent program can have is typically identified as the root cause of the difficulty of automatic analysis of concurrent software. Weak memory is generally believed to make this problem even harder. We address both issues by modelling programs' executions with partial orders rather than the interleaving semantics (SC). We implemented a software analysis tool based on these ideas. It scales to programs of sufficient size to achieve first-time formal verification of non-trivial concurrent systems code over a wide range of models, including SC, Intel x86 and IBM Power.

研究动机与目标

• 为解决在顺序一致性（SC）模型下因线程交错数量呈指数级增长而导致的并发软件验证可扩展性问题。
• 克服基于交错的验证在 Intel x86 和 IBM Power 等弱内存模型中的局限性，这些模型允许比 SC 更多的行为。
• 实现在多种内存模型下对真实并发系统代码（如 Apache、PostgreSQL、Linux 内核）的实用化、正确且完备的验证。
• 支持对复杂并发模式（包括 Power 和 ARM 上的存储原子性松弛）的高效验证，这些模式常被现有工具所忽略。

提出的方法

• 使用偏序而非完全交错来建模程序执行，显式捕获 happens-before 关系和程序顺序关系。
• 将每个并发程序编码为一个逻辑公式，包含两部分：每条线程的控制流/数据流信息，以及通过偏序表示的并发执行约束。
• 使用符号决策过程来回答该公式上的可达性查询，确保对有界循环的正确性和完备性。
• 通过在公式中编码其公理规范，支持多种内存模型（SC、x86、Power）。
• 实现一个工具，将 C 程序转换为该逻辑表示，并使用偏序约简进行有界模型检查。
• 利用 Lamport 的 happens-before 模型中的时钟来定义偏序，无需传递闭包，从而避免冗余约束。

实验结果

研究问题

• RQ1 能否使用偏序语义在弱内存模型下扩展并发 C 程序的有界模型检查？
• RQ2 与基于交错的方法相比，通过偏序建模并发执行是否能减少状态空间爆炸问题？
• RQ3 是否能够通过单一验证框架在不牺牲正确性或完备性的前提下，处理包括 SC、x86 和 Power 在内的多种内存模型？
• RQ4 是否能够使用该方法对复杂的真实世界并发系统代码（如 Apache、PostgreSQL、Linux 内核）进行形式化验证？
• RQ5 该方法能否检测到现有工具常遗漏的细微并发错误，例如 Power 上的存储原子性松弛问题？

主要发现

• 该工具在平均 0.22 秒内验证了所有模型下 4,500 个用于检测弱内存特性的测试用例（如重排序、存储缓冲、非原子存储），性能优于所有其他工具。
• 该工具在 x86 上耗时 2.45 秒、在 Power 上耗时 2.8 秒，成功验证了 Apache HTTP 服务器的 fdqueue 模块（28,864 行代码），确保了工作进程交接期间的数据一致性。
• 该工具确认了 PostgreSQL 在 Power 架构上工作线程同步机制中一个此前未被发现的错误，该错误通过添加两条 fence 指令被修复。
• 该工具在不到 1 秒内验证了 Linux 内核的 RCU 机制（x86 和 Power 上为 5,824–5,834 行代码），证明了数据一致性，并显示移除 lwsync fence 会破坏不变性。
• 该工具在相同时间预算内，对斐波那契示例的循环展开次数超过 300 次，是 ESBMC 的 30 倍，展示了卓越的可扩展性。
• 该方法是首个处理 Power 和 ARM 上细微存储原子性松弛问题的技术，这些特性在真实硬件中至关重要，但常被形式化验证工具所忽略。