[论文解读] Shield Synthesis: Runtime Enforcement for Reactive Systems

Roderick Bloem, Bettina Koenighofer+2 more|arXiv (Cornell University)|Jan 12, 2015

Security and Verification in Computing参考文献 8被引用 26

一句话总结

本文提出屏蔽合成（shield synthesis）作为一种可扩展的替代方法，用于在复杂反应式硬件系统中强制执行关键安全属性，替代模型检测和反应式合成。通过合成一个仅在必要时才最小化纠正输出的运行时强制组件，该方法在保持非关键行为的同时确保正确性，实验结果表明，该方法在硬件基准和LTL模式上均实现了高效的合成，采用k-稳定机制。

ABSTRACT

Scalability issues may prevent users from verifying critical properties of a complex hardware design. In this situation, we propose to synthesize a "safety shield" that is attached to the design to enforce the properties at run time. Shield synthesis can succeed where model checking and reactive synthesis fail, because it only considers a small set of critical properties, as opposed to the complex design, or the complete specification in the case of reactive synthesis. The shield continuously monitors the input/output of the design and corrects its erroneous output only if necessary, and as little as possible, so other non-critical properties are likely to be retained. Although runtime enforcement has been studied in other domains such as action systems, reactive systems pose unique challenges where the shield must act without delay. We thus present the first shield synthesis solution for reactive hardware systems and report our experimental results. This is an extended version of [5], featuring an additional appendix.

研究动机与目标

• 解决复杂硬件设计形式化验证中的可扩展性限制，当模型检查或反应式合成因复杂性而失败时。
• 为包含未经验证或第三方组件（如IP核）的设计提供强制执行关键安全属性的实际解决方案。
• 通过确保屏蔽仅在必要时且在有界恢复阶段内修改输出，最小化对非关键行为的干扰。
• 开发一种既可扩展又实用的合成方法，聚焦于少量关键属性而非完整系统规格。
• 通过仅验证屏蔽而非整个复杂设计，实现对安全关键系统的认证。

提出的方法

• 该方法引入k-稳定机制，允许屏蔽在不可避免发生属性违规时，最多偏离设计输出k个连续步骤。
• 将屏蔽合成问题简化为求解安全博弈，从而可利用现有的博弈论合成算法计算出正确且最小的屏蔽。
• 屏蔽实时监控设计的输入和输出，并仅在安全属性违规即将发生或正在发生时介入。
• 通过保证在组合系统（屏蔽 ∘ 设计）中所有指定的安全属性均被满足，确保正确性，即使设计本身违反了这些属性。
• 合成过程实现为一个概念验证工具，接收LTL安全属性并生成由锁存器和AIG门构成的有限状态机形式的屏蔽。
• 通过施加响应时间上限，支持有界线性性质，将其转换为可用于合成的安全属性。

实验结果

研究问题

• RQ1 是否可以自动合成一个运行时强制组件，以在形式化验证不可行的反应式硬件系统中强制执行关键安全属性？
• RQ2 屏蔽如何在确保所有可能输入序列下正确性的前提下，最小化对非关键行为的干扰？
• RQ3 何种形式化机制使屏蔽能够以有界恢复时间处理不可避免的违规，从而确保正确性与实用性？
• RQ4 屏蔽合成问题是否可简化为已知的博弈论问题，从而实现高效且正确的合成？
• RQ5 随着安全属性复杂性和系统状态空间的增加，合成性能与屏蔽大小如何变化？

主要发现

• 屏蔽合成方法成功为ARM AMBA总线仲裁器基准生成了正确且最小的屏蔽，大多数属性集的合成时间低于10秒。
• 对于LTL规格模式，该方法在大多数属性上实现了低于1秒的合成时间，屏蔽大小（锁存器和AIG门）保持较小且可管理。
• 对于涉及复杂线性性质到安全性质转换的属性10，合成时间显著增加（最高达377秒），表明在复杂模式下存在可扩展性挑战。
• 仅当状态数和输入/输出信号数量极大时出现超时，表明该方法在关键属性集合较小时仍具实用性。
• 即使反应时间上限较大，屏蔽大小和合成时间在有界线性性质（如属性6和8）下仍保持较低，显示出对常见模式的鲁棒性。
• 实验结果证实，屏蔽合成是模型检查和反应式合成的可行替代方案，尤其在完整规格或验证不可行时。