谓词抽象技术中循环反例的解决方法研究

计算机工程与设计ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇ　ａｎｄＤｅｓｉｇｎ　２０１０，３１（２４）　５２６９　・软件与算法・　谓词抽象技术中循环反例的解决方法研究　

梁加宾，　张来顺　（解放军信息工程大学电子技术学院，河南郑州４５０００４）　摘要：为了解决谓词抽象技术面临的程序中循环体的每次迭代都至少需要一个谓词来实现的难题，提出了一个两阶段的　不完全判定过程，用来对一个包含循环的反例进行可行性模拟。通过给出的循环探测算法来从抽象模型中提取出包含循环　的反例，并用循环迭代的数量作为参数来确定模拟实例。实验结果表明，该方法在典型的缓冲溢出实例中的表现优于传统　的抽象求精方法　关键词：模型检测；谓词抽象；求精；反例；循环　中图法分类号：ＴＰ３９１　文献标识码：Ａ　文章编号：１０００—７０２４（２０１０）２４—５２６９—０４　

Ｒｅｓｅａｒｃｈ　ｏｆ　ｓｏｌｖｉｎｇ　ｃｏｕｎｔｅｒｅｘａｍｐｌｅｓ　ｗｉｔｈ　ｌｏｏｐｓ　ｉｎ　ｐｒｅｄｉｃａｔｅ　ａｂｓｔｒａｃｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｙ　ＬＩＡＮＧ　Ｊｉａ—ｂｉｎ．　ＺＨＡＮＧ　Ｌａｉ—ｓｈｕｎ　（Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｅｌｅｃｔｒｏｎｉｃ　Ｔｅｃｈｎｏｌｏｇｙ，ＰＬＡ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｅｎｇｉｎｅｅｒｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ，Ｚｈｅｎｇｚｈｏｕ　４５０００４，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｐｒｅｄｉｃａｔｅ　ａｂｓｔｒａｃｔｉｏｎ　ｔｅｃｈｎｉｑｕｅ　ｓｕｆｆｅｒｓ　ｆｒｏｍ　ｔｈｅ　ｆａｃｔ　ｔｈａｔ　ｉｔ　ｒｅｑｕｉｒｅｓ　ａｔ　ｌｅａｓｔ　ｏｎｅ　ｐｒｅｄｉｃａｔｅ　ｆｏｒ　ｅａｃｈ　ｉｔｅｒａｔｉｏｎ　ｏｆ　ａ　ｌｏｏｐ　ｃｏｎｓｔｒｕｃｔ　ｉｎ　ｔｈｅ　ｐｒｏｇｒａｍ．Ａ　ｎｅｗ　ｔｗｏ—ｐｈａｓｅ　ｓｉｍｕｌａｔｉｏｎ　ｓｅｍｉ—ｄｅｃｉｓｉｏｎ　ｐｒｏｃｅｄｕｒｅ　ｆｏｒ　ｆｅａｓｉｂｉｌｉｔｙ　ｏｆａ　ｃｏｕｎｔｅｒｅｘａｍｐｌｅ　ｗｉｔｈ　ｌｏｏｐｓ　ｉｓ　ｐｒｏｐｏｓｅｄ，ｗｈｉｃｈ　ｃａｎ　ｅｘｔｒａｃｔ　ｌｏｏｐｉｎｇ　ｃｏｕｎｔｅｒｅｘａｍｐｌｅｓ　ｆｒｏｍ　ｔｈｅ　ａｂｓｔｒａｃｔ　ｍｏｄｅｌ　ｗｉｔｈ　ｐｒｏｐｏｓｅｄ　ｌｏｏｐ　ｄｅｔｅｃｔｉｏｎ　ａｌｇｏｒｉｔｈｍ，ａｎｄ　ｔｏ　ｐａｒａｍｅｔｅｒｉｚｅ　ｔｈｅ　ｓｉｍｕｌａｔｉｏｎ　ｉｎｓｔａｎｃｅ　ｉｎ　ｔｈｅ　ｎｕｍｂｅｒ　ｏｆｌｏｏｐ　ｉｔｅｒａｔｉｏｎｓ．Ｔｈｅ　ｅｘｐｅｒｉｍｅｎｔａｌ　ｒｅｓｕｌｔｓ　ｓｈｏｗ　ｔｈａｔ　ｔｈｅ　ｐｒｏｐｏｓｅｄ　ｍｅｔｈｏｄ　ｉｓ　ｂｅｔｔｅｒ　ｔｈａｎ　ｔｈｅ　ｔｒａｄｉｔｉｏｎａｌ　ａｂｓｔｒａｃｔｉｏｎ—　ｒｅｆｉｎｅｍｅｎｔ　ｍｅｔｈｏｄ　ｏｎ　ｖｅｒｉｆｉｃａｔｉｏｎ　ｏｆ　ｔｙｐｉｃａｌ　ｂｕｆｆｅｒ　ｏｖｅｒｆｌｏｗ　ｅｘａｍｐｌｅｓ．　Ｋｅｙ　ｗｏｒｄｓ：ｍｏｄｅｌ　ｃｈｅｃｋｉｎｇ；ｐｒｅｄｉｃａｔｅ　ａｂｓｔｒａｃｔｉｏｎ；ｒｅｆｉｎｅｍｅｎｔ；ｃｏｕｎｔｅｒｅｘａｍｐｌｅ；ｌｏｏｐ　

０　引　言　软件模型检测是一种能够自动发现大型计算程序中的缺　陷的方法…。但是，软件模型检测技术仍然应用的不多，原因　是由于状态空间爆炸问题使软件验证工具缺乏可量测性。抽　象技术通过一种能够保持期望性质的方法将原始的具体状态　集合映射到一个较小的状态集合。谓词抽象　是常用的程序　系统状态空间缩减方法之一一。该技术通过ＳＬＡＭ　工具得到　了更好的发展。在谓词抽象方法中，数据通过跟踪特定的渭　词轨迹被抽象成另外的抽象数据。在抽象程序中每个谓词用　一个布尔变量代表，原始的数据变量被消去。通过此法得到　的布尔程序是原始程序的一个上界逼近。传统的方法首先是　抽象出一　个比较粗糙的模型，如果发现模型检测工具报告的　一条错误路径是不存在的，则利用错误路径来对抽象程序进　行求精，这个过程莺复进行直到没有虚假的错误路径被发现。　实际的循环步骤按照抽象一检测一求精方法“　。抽象一检测一求精　方法的另一个重要的应用是软件模型检测工具ＢＬＡＳＴ　。　在大部分的应用中，这个技术的不足在于程序中每个循　环体的每次迭代至少需要一个谓词来实现。这导致了在模拟　和求精阶段中需要忽视程序中的循环。现有的模拟技术能够　精确地模拟抽象路径中的所有的循环迭代。大多数现有的求　精技术能够实现循环中更多的展开操作。关于循环体的信息　实际上包含在抽象模型中。然而，计算抽象模型的模型检测　工具不会输出包含循环的错误路径，这是由于它们的目的是　要得到尽可能短的反例。　

１　背景知识　１．１谓词抽象和求精　基于反例的谓词求精方法大体如图１所示。　１．１．１　抽　象　利用抽象函数ａ将具体模型Ｍ映射到抽象模型Ｍ’。抽　象函数ａ将具体状态ｓ∈Ｓ映射到抽象状态Ｓ’∈Ｓ’。用ｙ来表示　ａ～，用来将…　个抽象状态映射到对应的一个具体状态集合。存　在抽象是一个可达保持转换来保证抽象转换关系一是一个程　序中具体状态关系一的上界逼近。考虑到使用效率问题，大　多数的应用都是采用一上界逼近。　给定一个谓词集合Ｐ，一个谓词抽象函数　（　）是这些谓词　的　最强布尔组合，　对应着　。抽象状态Ｓ　ＥＳ　的变量对应在　集合Ｐ巾的谓词，并且通过　来进行计算。　

收稿日期：２０１０—０２一Ｏ１；修订日期：２０１０—０４—０３。　作者简介：梁加宾（１９８５一），男，山东日照人，硕士研究生，研究方向为信息管理系统；　张来顺（１９６３－－），男，河南郑州人，硕士，教授，研　究方向为计算机应用技术。Ｅ—ｍａｉｌ：ｔｅｎａｎｔｈｕｉ１９８５＠ｓｉｎａ．ｃｏｍ　５２７０　２０１０，３１（２４）　计算机工程与设计Ｃｏｍｐｕｔｅｒ　Ｅｎｇｉｎｅｅｒｉｎｇ　ａｎｄ　Ｄｅｓｉｇｎ　图１　两阶段模拟的反例引导的抽象求精方法　１．１．２验证抽象模型　模型检测工具搜索抽象模型Ｍ’中的状态空间来找出不　满足某个给定规范的状态。如果没有该类状态存在，则可以　证明规范表示的性质在原始模型Ｍ中满足，检测算法停止。　如果存在一个错误状态　，那么模型检测工具返回一个反例，　用一系列的状态集合　。，．”，Ｓｎ　ｒ表示。Ｓ。　是一个初始状态，对于每　

一个ｉ，１≤ｉ＜ｎ，　一　，　是一个错误状态。　１．１＿３模拟　一个抽象反例是在具体模型Ｍ中真实存在的，当且仅当，　存在一系列对应的状态序列Ｓ，，Ｓ　，…，Ｓ　，其中　∈　’，１≤ｉ≤ｎ，　ｃ　以及存在一个具体的状态迁移关系Ｓ　一　，１≤ｊ＜ｎ。由于每一　

个可行的具体路径都对验证有影响，因此只要求对应状态区　域相匹配就足够了。给出一个反例可行性最强后置条件的形　式化的定义。　定义１最强后置条件　一个状态的最强后置条件ＳＰ定义如Ｆ　ＳＰ（ｘ：＝Ｐ）＝　厂．　ｘ＇．ｆ［ｘ＇／ｘ］Ａ　＝ｅ［ｘ＇／ｘ］）　ＳＰ（ｅ）＝　．ｆＡｅ　式中：ｅ　卜一Ｐ中的所有ｘ的自由出现用　代替。　假设，　，，表示抽象状态Ｓ　的一部分，　表示与对应的ｔ（ｓ　９　的具体状态。状态序列　”，　的最强后置条件是ＳＰ（ａ　一，　）：＝　ＳＰ（　ｏＳＰ（￣一。ｏ…ｏＳＰ（ａ　）。最后得到的量词可以被消去。直观　地，这种方法对应于路径到单一的静态任务形式（ＳＳＡ）的转化。　公式ＳＰ（ａｌ，…，　）（乃代表所有的在路径　－－，Ｓ　执行定义的可达　状态。　定义２反例的可行性　

一个反例是可行的当且仅当．　（　对于相应的具体状态　中　序列是可满足的。如果反例有一个不可实行的前缀，那么　这个反例是虚假的。　模型检测工具ＳＡＴＡＢＳ　将最强后置条件转换成布尔表达　式，并且利用不断增加的ＳＡＴ求解器来确定路径展开过程中　产生的ＳＡＴ实例。　１．１．４求　精　如果模拟过程产生一个虚假的反例Ｐ，则通过从抽象状态　Ｍ’中删除Ｐ来对Ｍ’进行求精。这个过程使用增加一个适当的　谓词集合来完成。ＮＥＷＴＯＮ（模型检测工具ＳＬＡＭ中的一个　工具）使用启发式的方法来从ＳＰ（ｐ）中提取这种谓词。ＭｃＭｉｌｌａｎ　提出对于路径上的每个断点存在一个公式　被称为Ｃｒａｉｇ插　值）能够精确地证明从　到　．是不可行　’。这种方法被应用到　ＢＬＡＳＴ中。预处理分析能够确定一些可以分析的断点。分析　后得到的插值就可以被用作新的谓词。然而ＮＥＷＴＯＮ和　ＢＬＡＳＴ都没有关注循环，只足用相同的方法将展开的循环作　为一般的不含有反复的反例进行分析处理。　１．２含有循环的程序抽象　传统的对如图２所示包含循环的程序使用谓词抽象的抽　象求精方案比较少。对于图２所示的程序，ＳＬＡＭ、ＢＬＡＳＴ和　早期版本的ＳＡＴＡＢＳ需要至少１０００个求精步骤才能成功地通　过循环计数器增加谓词（如图３所示）来产生一个可行的反例。　本文提出了一个对抽象模型中包含的循环的探测算法和一个　新的两阶段模拟方法。　抽　象　水　皿　图２程序例子　（１）　（２）　…（９９９）迭代次数　图３在图２中程序的反复求精过程　２含有循环的抽象反例　２．１包含循环的反例　图４（ａ）是一个布尔程序：它是图２中程序以断言谓词　（ｉ＜１０００）和循环条件（ｉ≤ｌｏｏｏ）为条件抽象出来的抽象模型。对　于这个程序，用第一章中提到的模型检测工具得到反例如图　４（ｂ）所示。通过检查抽象模型Ｍ　得出，抽象模型Ｍ’包含一条　贯穿于同一个程序的具有潜在反复的路径，即一个虚假反例。　图４（ｃ）说明了反例的多种情况。被重复标记Ｉｌ：和：ｌｌ标注的　序列可能被任意次重复迭代。对应于循环右侧的状态序列表　示能够到达错误状态的路径。　ｂｏｏｌ　ｂ１：／　ｉ＜１０００　／　ＬＩ：　ｂ２　ｂｏｏ１　ｂ２：　ｉ≤１０００　／　２：６ｌ　ｂ２　Ｌ＿］　Ｌ１：６ｌ，ｂ２：＝１，１；　Ｌ１：６ｌ　ｂ２　广Ｉ　２Ｌ￣：ｂｊ　ｂ２广Ｌ　２：ｂ　ｌ　Ｌ２：　！ｂ２）ｇｏｔｏ　Ｌ７；　厶：６１　ｂ　ｌｆ　Ｌ。：６ｌ　ｆ２　厶＝Ｉｌ　，‘ＤｌＤ　——　Ｉｆ　厶。：６．ｂ　：１１ｆ厶：６—６：　Ｌ３：ａｓｓｅｒｔ（ｂ１）；　厶：６ｔ　ｂ　Ｌ　：ｓｋｉｐ；　——　厶：６．ｂ　厶：６ｌ，ｂ２：：　，　；　——　ＬＪ　Ｌ＿Ｊ厶：互ｂ　厶：６ｔ　ｂ：　Ｌ６：ｇｏｔｏＬ２：　——　厶：６．ｂ　Ｌ，：ｓｋｉｐ；　厶：　ｂ　【　（ａ）布尔程序　（ｂ）反例　（ｃ）含有循环的反例　图４含有循环的反例　图５说明了图４（ｃ）的反例组成。循环的每一次迭代都访　问相同的程序部分。由于在Ｌ　部分的非确定性分配，使最后　的迭代在另外～个与前一状态不同的状态序列上进行。图５　中的反例表示～个常规反例的无穷集合，对应于一条图２中　程序在１０００次迭代之后违反断言的可行性路径。