[论文解读] RVHyper: A Runtime Verification Tool for Temporal Hyperproperties

Bernd Finkbeiner, Christopher Hahn+2 more|arXiv (Cornell University)|May 31, 2019

Distributed systems and fault tolerance参考文献 7被引用 6

一句话总结

RVHyper 是一种用于监控 HyperLTL 中指定的时序超属性的运行时验证工具，可在无需系统模型的情况下检测系统轨迹中的违规行为。它通过轨迹和规范分析优化，高效追踪多条轨迹并减少冗余检查，成功识别出硬件设计中的虚假依赖和安全关键系统中的信息流泄漏。

ABSTRACT

We present RVHyper, a runtime verification tool for hyperproperties. Hyperproperties, such as non-interference and observational determinism, relate multiple computation traces with each other. Specifications are given as formulas in the temporal logic HyperLTL, which extends linear-time temporal logic (LTL) with trace quantifiers and trace variables. RVHyper processes execution traces sequentially until a violation of the specification is detected. In this case, a counter example, in the form of a set of traces, is returned. As an example application, we show how RVHyper can be used to detect spurious dependencies in hardware designs.

研究动机与目标

• 为解决在源代码不可用的系统中缺乏实用的超属性运行时验证工具的问题。
• 实现在可观测执行轨迹上对时序超属性（如非干扰性和观测确定性）的监控。
• 开发一种可扩展的解决方案，实现实时检测 HyperLTL 规范的违规行为，特别是在安全和硬件验证场景中。
• 通过识别冗余轨迹和规范中的对称性，优化轨迹存储和监视器实例化。

提出的方法

• RVHyper 顺序处理系统执行轨迹，仅存储最小且必要的轨迹子集，以支持未来的比较。
• 它应用轨迹分析检测并跳过无法导致违规的冗余轨迹，从而减少内存和计算开销。
• 规范分析识别 HyperLTL 公式中的对称性和结构特性，以减少监视器实例化的数量。
• 该工具使用 HyperLTL 的有限轨迹语义，通过轨迹赋值和子序列操作在多条轨迹上评估公式。
• 通过观察输入-输出行为作为黑盒轨迹，与基于 Verilog 的硬件设计集成，实现在无需访问内部电路结构的情况下进行验证。
• 监控算法检查所有轨迹对是否满足 HyperLTL 公式，一旦检测到违规即返回反例轨迹集合。

实验结果

研究问题

• RQ1 尽管比较多条轨迹的复杂度很高，如何使时序超属性的运行时验证实现可扩展性？
• RQ2 在运行时验证过程中，可应用哪些优化来减少存储的轨迹数和监视器实例化数？
• RQ3 RVHyper 是否能通过可观测轨迹分析有效检测硬件设计中的虚假依赖？
• RQ4 在实际应用中，该工具在观测确定性和信息流策略等真实规范上的表现如何？

主要发现

• RVHyper 在硬件设计中成功检测到非干扰性和虚假依赖的违规，包括在二进制计数器中，增量和减量信号均影响溢出输出的情况。
• 对于异或电路，该工具正确验证了输入 i1 不会导致输出 o0 的结果，处理 1000 条轨迹耗时 16.9 秒。
• 在计数器示例中，RVHyper 识别出增量信号不应导致溢出的属性违规，检测过程耗时 28.7 秒，共使用 1636 条轨迹。
• 对于 mux2 电路，仅用 82 条轨迹和 140ms 即快速发现违规，表明对检测语义依赖具有高度敏感性。
• 在属性满足的情况下（如异或和多路复用器），RVHyper 在分别运行 499,500 次后均未报告任何违规，证明其正确性。
• 该工具可扩展至超过 160 万次监视器实例化，并在单次运行中处理最多 160 万条轨迹，尽管存在理论复杂度，仍展现出实际可行性。