[论文解读] Property Checking Without Inductive Invariants

Eugene Goldberg|arXiv (Cornell University)|Feb 18, 2016

Software Testing and Debugging Techniques参考文献 15被引用 4

一句话总结

本文提出了一种基于深度优先搜索的完整方法，用于使用部分量化消除（PQE）进行硬件验证中的安全属性检查，无需生成归纳不变式即可证明属性。该方法高效计算可达性直径，并通过探索达到该直径的轨迹来证明属性；其变体（$\\)mathit{ProveProp^*}$）通过扩展初始状态集以包含满足属性的状态，加速收敛过程。

ABSTRACT

We introduce a procedure for proving safety properties. This procedure is based on a technique called Partial Quantifier Elimination (PQE). In contrast to complete quantifier elimination, in PQE, only a part of the formula is taken out of the scope of quantifiers. So, PQE can be dramatically more efficient than complete quantifier elimination. The appeal of our procedure is twofold. First, it can prove a property without generating an inductive invariant. Second, it employs depth-first search and so can be used to find deep bugs.

研究动机与目标

• 为解决硬件验证中归纳不变式生成的局限性，特别是当不变式过大或难以找到时。
• 开发一种完整的属性检查过程，避免构造归纳不变式。
• 使深度优先搜索可用于检测转换系统中的深层错误。
• 在不枚举所有可达状态的情况下，计算可达性直径。
• 通过将满足属性的状态加入初始状态集，加速属性检查的收敛速度。

提出的方法

• 该方法使用部分量化消除（PQE）从公式中选择性地消除量化符，仅关注相关部分，而非进行完整的量化消除。
• 将安全问题形式化为两个子问题：计算可达性直径，以及在该直径范围内检查是否存在坏状态。
• 核心过程 $\//$mathit{ProveProp}$ 在可达性直径范围内的轨迹上执行深度优先搜索，使用PQE引导搜索过程。
• 其变体 $\//$mathit{ProveProp^*}$ 将初始状态集 $I$ 扩展为 $I^{\ ext{exp}}$，使得 $I \rightarrow I^{\ ext{exp}}$ 且 $I^{\ ext{exp}} \rightarrow P$，通过排除虚假反例状态来改善收敛性。
• 通过构造可 falsify 反例的子句，对反例进行分析，一次性排除多个虚假初始状态，利用冗余性推理提高效率。
• 该方法利用基于冗余性推理构建的现有PQE求解器，确保可扩展性和完备性。

实验结果

研究问题

• RQ1 能否在不生成归纳不变式的情况下证明安全属性？
• RQ2 能否在不枚举所有可达状态的情况下高效计算可达性直径？
• RQ3 能否使用PQE使属性检查的深度优先搜索过程变得完备？
• RQ4 能否通过将满足属性的状态加入初始状态集来加速收敛？
• RQ5 基于PQE的属性检查是否比完整量化消除在安全验证中更高效？

主要发现

• $\//$mathit{ProveProp}$ 过程是完备的，并执行深度优先搜索，因此在检测硬件设计中的深层错误方面非常有效。
• 该方法在不显式构造所有可达状态集合的情况下计算可达性直径，从而降低了内存开销。
• $\//$mathit{ProveProp^*}$ 变体通过将满足属性的状态加入初始状态集，加速了收敛，减少了所需迭代次数。
• 反例分析允许通过构造可 falsify 反例的子句，一次性排除多个虚假初始状态，从而提高效率。
• PQE的使用在完整量化消除的基础上实现了显著的性能提升，尤其在状态空间大或复杂的系统中表现更优。
• 该方法避免了寻找紧凑归纳不变式的需要，而这些不变式可能不存在，或在计算上难以生成。