[论文解读] Structural Invariants for Parametric Verification of Systems with Almost Linear Architectures

Dorel Marius Bozga, Radu Iosif+1 more|arXiv (Cornell University)|Feb 7, 2019

Formal Methods in Verification参考文献 30被引用 8

一句话总结

本文提出了一种针对具有未知且无界数量组件的并发系统进行参数化验证的方法，通过直接从交互逻辑公式合成结构不变量——特别是陷阱不变量——实现。该方法利用弱一元后继的 monadic 第二阶逻辑（WS1S）中的正化与对偶化，无需固定点迭代即可高效验证安全性质，如死锁自由和互斥，成功验证了教科书中的经典例子，包括哲学家进餐问题和互斥协议。

ABSTRACT

We consider concurrent systems consisting of a finite but unknown number of components, that are replicated instances of a given set of finite state automata. The components communicate by executing interactions which are simultaneous atomic state changes of a set of components. We specify both the type of interactions (e.g.\ rendez-vous, broadcast) and the topology (i.e.\ architecture) of the system (e.g.\ pipeline, ring) via a decidable interaction logic, which is embedded in the classical weak sequential calculus of one successor (WS1S). Proving correctness of such system for safety properties, such as deadlock freedom or mutual exclusion, requires the inference of an inductive invariant that subsumes the set of reachable states and avoids the unsafe states. Our method synthesizes such invariants directly from the formula describing the interactions, without costly fixed point iterations. We applied our technique to the verification of several textbook examples, such as dining philosophers, mutual exclusion protocols and concurrent systems with preemption and priorities.

研究动机与目标

• 解决在具有无界数量组件的并发系统中验证安全性质的挑战。
• 开发一种方法，通过直接从交互逻辑合成不变量来避免昂贵的固定点迭代。
• 将先前关于陷阱不变量的工作扩展到包含等式、未解释谓词和循环后继函数的更丰富的交互逻辑。
• 将 Ashcroft 不变量作为补充技术，以克服陷阱不变量的不完备性。
• 提供一种可扩展的、基于自动机的参数化系统验证方法，使用 WS1S 和有限自动机。

提出的方法

• 该方法从描述系统架构和通信模式（例如环形、流水线、完全图）的交互逻辑公式中合成陷阱不变量。
• 使用弱一元后继的 monadic 第二阶逻辑（WS1S）嵌入交互公式，支持基于自动机的推理。
• 该方法应用两种关键的逻辑操作：正化（在保持最小模型的前提下弱化公式）和对偶化（交换量词和连接词）。
• 陷阱不变量源自交互网络的结构特性，具体来自在系统动态下被‘困住’的局部状态集合。
• 通过 MONA 工具从 WS1S 公式生成有限的 Rabin-Scott 自动机来检查验证条件，并使用 VATA 树自动机库进行验证。
• 当陷阱不变量不足以满足需求时，通过正交方法计算通用的 Ashcroft 不变量以增强证明。

实验结果

研究问题

• RQ1 是否能够直接从交互逻辑公式中合成陷阱不变量，而无需固定点迭代？
• RQ2 该方法是否能使用统一的逻辑框架处理具有环形、流水线和完全图架构的系统？
• RQ3 陷阱不变量与 Ashcroft 不变量的组合是否足以证明一大类参数化系统的安全性？
• RQ4 该方法是否能通过 WS1S 中的自动机理论技术高效实现？
• RQ5 该方法在经典参数化验证基准（如哲学家进餐问题和互斥协议）上的可扩展性如何？

主要发现

• 该方法仅使用陷阱不变量即成功验证了所有测试的教科书示例的死锁自由性质，包括哲学家进餐问题和互斥协议。
• 在某些互斥示例中，如 Szymanski 协议，仅靠陷阱不变量不足以满足要求，因为其与坏状态的交集非空，表明需要额外的不变量。
• 使用共享全局筷子的哲学家进餐问题变体（Dining Philosophers III）仅通过陷阱不变量即成功验证，展示了其在复杂配置下的有效性。
• 运行时间范围为 0.004 秒至 21.640 秒，最复杂的示例（Dining Philosophers III）在 4GB 内存的虚拟机上耗时不足 22 秒。
• 该方法通过树自动机扩展至树状架构，成功验证了 Dijkstra-Scholten 终止检测算法在链式和完全二叉树变体中的正确性。
• Ashcroft 不变量的集成解决了陷阱不变量失效的情况，表明组合方法在具有挑战性的场景中也足够强大，能够证明安全性。