CN105955883A - 一种高性能单机多核并行模型检测方法 - Google Patents

Abstract

本发明公开了一种高性能单机多核并行模型检测方法。本方法为：1)创建待检测系统模型与待测属性的组合状态空间中的初始节点；2)状态空间生成器将该初始节点映射成Ligra计算图中的一个顶点，然后逐步生成该初始节点的后继节点，初始节点及已生成的后继节点构成一状态空间；其中，该初始节点为第1级节点，第i级节点包含N层第i+1级后继节点，每一层后继节点包含多个节点，每次属于同一级节点的后继节点全部生成之后，将当前状态空间映射成一Ligra计算图，然后调用可接收环检测器检测该Ligra计算图中是否有可接收环，如果有则停止模型检测。该方法具有性能高、可扩展性好等特点。

Description

一种高性能单机多核并行模型检测方法

技术领域

本发明属于软件工程、形式化方法与并行计算领域，具体涉及一种在单机多核环境下高性能并行线性时序逻辑模型检测方法。

背景技术

模型检测(Model Checking)是一种很重要的自动验证技术。它最早由Clarke和Emerson在1981年分别提出的，主要通过显式状态搜索或隐式不动点计算来验证有穷状态并发系统的模态/命题性质。模型检测近年来被用于很多安全关键系统、通信协议、控制系统、安全认证协议等方面的分析与验证中。模型检测器用来对硬件、软件系统的安全性与活性进行全面检测，保证系统在任何情况下都满足设计中的安全特性。

线性时序(时态)逻辑是一种能够表达原子命题的时态特性的逻辑公式，于1977年被提出，并广泛用于有限状态系统的行为描述。由于针对线性时序逻辑的模型检测技术一般需要穷举系统中的所有状态(有限状态)，所以模型检测的关键问题是解决状态空间的组合爆炸问题。通常一个软硬件系统由多个功能模块所组成，不同模块有不同的操作行为，他们以同步或异步的方式运行。假设系统有n个模块，每个模块有m个状态，那么检测该系统，就需要对其mⁿ个状态进行检测。所以即使一个很小的系统，都可能拥有超出计算机能够处理的状态空间。目前的模型检测系统主要受组合爆炸问题的制约，只能用于小型或者中型的系统(状态空间一般小于10²⁰)。

目前国内外所构建的针对线性时序逻辑的模型检测系统可以分为如下三类：利用符号描述与高层抽象等优化方法在单CPU机上构建的模型检测系统；利用分布式计算集群环境和分布式内存模型检测系统；利用单机多核并行处理来缓解组合爆炸问题。第一类方法一般需要提出比较复杂的高层抽象方法与数学推导公式，实现与应用起来需要很多复杂的背景知识，后两者的共性都是并行处理来提升算法的速度与可扩展性。利用分布式计算集群的分布式模型检测的算法与工具，能够充分利用多台计算机内存和计算资源将大规模的模型检测问题压缩到几个小时或者是几天之内处理完，但是分布式模型检测工具中机器之间的通信开销很大，成为分布式模型检测工具性能提升的瓶颈。近来硬件性能越来越强，单机内存能够达到TB级别，因此基于单机多核共享内存的模型检测工具，由于很低的通信开销而变得更快，性能更高。尽管基于共享内存的单机多核计算能够提升计算效率，但是利用现存的单机多核并行线性时序逻辑模型检测器，例如Divine等，需要多线程来处理整个状态空间，为了减少线程之间的竞争，通常需要将整个状态空间切分给各个线程，这样减少了竞争但引入的切分开销很大，从而导致性能不高。

Ligra(具体请参阅Shun J,Blelloch G E.Ligra:A Lightweight GraphProcessing Framework for Shared Memory.Acm Sigplan Notices,2013,48(8):135-146.)是一种基于共享内存的轻量级图计算框架，他的特点是利用已封装好底层计算细节的高层编程接口实现对大规模图进行高效、高可扩展计算。基于Ligra能够实现按照遍历过程中产生到状态子集的稠密稀疏特性来动态的选择遍历方式，也能够对每轮遍历产生的顶点子集动态均衡的分配给线程处理，从而使线程的并行度更高。本发明是利用Ligra计算框架设计的。

发明内容

本发明提出一种高性能单机多核并行模型检测方法，该方法具有性能高、可扩展性好等特点。

该方法的输入为模型和与待检测的属性，以纯广度优先搜索的方法检测软件的所有可达状态是否满足待检测的属性，方法具体包括：从初始节点开始生成状态空间，-把状态空间映射成计算图；然后在此计算图中利用每个节点对应的全局状态进行可接收环检测；如果存在可接收环，证明系统违反属性，否则证明了系统满足该属性；在检测的过程中，根据计算图的稠密稀疏特性来动态选择搜索方式，降低，提升系统的从而使同步开销性能。利用本发明，无须关注底层计算细节，即可实现高性能的模型检测器。

该方法利用纯广度优先搜索的方式对模型进行检测，主要特征为在检测过程中根据每轮产生的状态子集的稠密稀疏特性选择不同的更新操作，从而减小同步开销。本发明的输入为若干个由待验证系统转换成的标识迁移系统(Labeling Transition System,LTS)，表示待检测系统行为模型(M)；一个由线性时序逻辑(Linear Temporal Logic,LTL)属性取非(～)转换成的Buchi自动机。为了验证模型是否满足该输入属性，需要遍历所有可达状态，并在可达图中检测是否存在可接收环，如果存在那么模型不满足属性，否则满足。本发明首先创建待检测系统模型与待测属性的组合状态空间中的初始节点，把该初始节点映射成Ligra计算图中的一个顶点。然后逐步生成该节点的后继节点，在生成的过程中判断是否该模型违反待测属性。节点的具体行为由状态空间生成器，可接收环检测器所定义。本发明的总体框架如图1所示，首先将待验证系统和待验证属性经过①和②转换成对应的LTS和Buchi自动机，然后由状态生成器从初始节点生成后继节点，迭代生成状态空间(初始节点及已生成的后继节点构成一状态空间，该初始节点为第1级节点，第i级节点包含N层第i+1级后继节点，每一层后继节点包含多个节点)；每次属于同一级节点的后继节点全部生成之后，将当前状态空间映射成一Ligra计算图，继而调用可接收环检测器，在已生成的状态空间中检测模型是否满足当前待验证属性，若满足条件1，证明满足当前待验证属性，否则为条件2，则违反当前待验证属性。

条件1：当节点全部生成并且没有查到可接受环时，可以证明模型满足属性；

条件2：查找到可接收环时，证明模型违反属性。

①：转换成标识迁移系统；②：取非后转换成Buchi自动机。

本发明中的单机多核并行模型检测器运行方式如下，首先读入待检测系统的状态迁移系统M(LTS)模型与取非后的属性Buchi自动机，创建初始节点放入共享内存中，然后把整个计算步骤分成若干次超步(Superstep)迭代进行的，每一个超步又被分成两个子步骤：状态生成、可接收环检测，在每次超步计算完成后，要判断程序所有的处理步骤是否完成，如果完成，那么退出系统，否则，进行下一轮超步。在每个超步的计算过程中，首先调用状态生成器按广度优先的方式来按层生成状态空间，然后将此状态空间(全部层对应的状态空间，状态空间是逐步变大的)映射到图中，最后判断此图是否违反属性，如果不违反那么进行下一个超步处理，否则直接结束运行。为了实现模型检测的功能，在每个超步中需生成N(N为用户可调整的一常数)层状态空间，对于每个节点都将调用状态空间生成器创建其直接后继节点，从而依次生成状态空间(广度优先搜索方式)，并将全部的已生成的状态空间映射成Ligra计算图，然后在此图中调用可接收环检测器来检测是否有可接收环，一旦检测出可接收环，则停止状态空间生成器与可接收环检测器结束系统，否则系统将会在状态空间生成器与可接收环检测器执行完成后结束(即遍历所有可达状态)。本系统的计算框架如图2所示。

Ligra是单机多核环境下轻量级图数据处理框架，在处理图的广度优先遍历问题时能够根据遍历过程中产生的顶点子集的稠密性来动态的调整遍历方式，减小同步开销从而保证遍历的高效性。本发明使用Ligra完成图遍历的函数与结构体如下：

1、vertexSubset结构体，表示计算过程中产生的顶点子集。为了保证动态给线程分配顶点，在计算过程中要求每轮处理一个顶点子集。

2、EDGEMAP(G:graph,U:vertexSubset,F:(vertex,vertex)->bool):vertexSubset函数，返回值为顶点子集，G表示状态空间映射之后的计算图，U表示传入的顶点子集，F为遍历过程中能够根据顶点子集的稠密度来选择按边遍历还是按顶点遍历。此处稠密度的度量方法是U的所有出边累加和D(density)，大于阈值t(hreshold＝M/α,其中M为整个图的边个数，α为给定常数)为稠密，小于阈值为稀疏。U为稠密时按照顶点遍历，如果按边来遍历U所连的顶点集将产生很多竞争，需要的同步开销大，如果按照顶点遍历则没有竞争的产生。另外U的稠密度为稀疏时，按边遍历产生竞争的概率很小，因此选择按边遍历。所以这种动态的根据顶点子集的稠密性遍历可以减少竞争，降低同步开销。另外在使用此接口时，需要实现UPDATE接口，UPDATE用来更新遍历到的顶点的状态(遍历过，未遍历过)。

本发明中的主要全局变量和全局函数设计如下：

全局变量：

1、Visit：类型为数组，用于标识可接收环检测器在检测时节点的访问状态标识。

2、isAcceptCycle:标识在检测环的过程中是否发现可接收环。

3、State：类型为数组，表示每个节点的状态。

4、G：表示当前生成的整个状态空间。

全局函数：

1、Compute():主函数，每个超步都会被调用一次。

2、GetSuccessors():通过组合LTS与Buchi自动机获取节点的直接后继。

3、AddVertex(v):在状态中增加一个新节点。

3、StateSpaceGenerator()：状态空间生成函数，每轮生成N层状态空间。

4、AcceptCycleDetector()：可接收环检测函数，在生成的状态空间查找是否有可接收环存在。

5、UDPATE():更新函数，在可接收环检测器中调用，用于完成全局变量Visit的更新。

本发明的主计算方法Compute()的具体计算步骤如下：

1、根据用户设置N(默认N＝3)状态空间生成器生成N层状态空间，如果有新状态生成进入步骤2，否则结束该超步。

2、将已经生成的状态空间转换成Ligra的计算图，使用可接收环检测器在Ligra的计算图中检测可接收环，通过标记访问状态的全局变量，判断是否已经检测出模型不满足属性，如果是，则结束运行。否则调到1继续往下执行。

本发明设计的状态空间生成器的任务是通过组合LTS与Buchi自动机生成节点的直接后继节点集合，在下个超步中，加入到计算过程中。在此过程中需要判断该节点是否存在后继，如果不存在，需要报告死锁错误，如果存在，那么判断此后继节点是否已经在状态空间里，如果在，那么当前节点和后继节点组成的边为回边(回边是边的源节点的层数大于等于目的节点的层数)，也就确定有存在可接收环的可能性，否则不可能存在可接收环(数学理论为，环的必要条件是存在至少一条回边)，然后将此回边的的初始点加入到回边集合bls中，以便在可接收环检测器发起检测。状态空间生成器(StateSpaceGenerator)的具体伪代码如下：

输入：1、初始节点集initStateSet(最开始为只有一个初始节点，N层生成结束会产生新的初始节点集)；

2、每个超步生成的层数N；

3、状态空间G；

4、当前的状态空间是否有可接收状态hasAccState(最开始为false，表示没有可接受状态)。

输出：1、状态空间G；

2、新的初始节点集initStateSet，用于下一个超步继续生成后继节点；

3、回边集合bls，供可接收环检测器发起检测；

4、当前的状态空间是否有可接收状态hasAccState。

遍历i从1到N；

新的初始节点集newInitStateSet初始化为空；

对于每一个属于初始节点集initStateSet的节点V(命名为V)做循环；

获取节点V的的后继节点集合Vsucc；

如果Vsucc为空集那么报告死锁；

否则对于每一个在后继节点集Vsucc中的后继节点s做循环；

如果s是新的节点：

将节点s添加到状态空间G中，并将s加入到newInitStateSet中；

如果s的状态为可接收状态，那么将hasAccState置true；

否则将节点s添加到回边集bls中(V与s组成的边构成回边)；

结束对Vsucc的循环；

结束循环对initStateSet的循环；

将newInitStateSet的状态赋给initStateSet；

结束循环。

返回bls、initStateSet、hasAccState和G。

本发明设计的可接收环检测器的任务是通过已生成的状态空间中是否包含可接收环。需要满足两个条件来确定路径中存在可接收环：1、该次可接收环检测会再次遍历到回边的初始节点，2，遍历到回边初始节点的路径上至少存在一个可接收状态。这里有一个优化，当状态生成器的输出hasAccState为true时表示状态空间中存在可接收状态，此时才发起可接收环检测，因为没有可接收状态就不可能存在可接收环。

为了在查环的过程中查可接收状态，需要为每个顶点设置一个访问状态标识Visit，Visit是一个数组它表示的是从初始顶点到当前顶点是否存在路径，以及此路径中是否存在可接收状态。Visit有三个取值-1,0,1.即如果顶点v没有被访问过，访问标志为-1；如果被访问过但是祖先顶点和自己中没有可接收状态，访问标志为0；如果自己或者祖先顶点中有可接收状态，访问标志为1。简而言之，Visit[v]为1时表示s到v的路径中存在可接收状态，为0时表示路径中不存在可接收状态，为-1时表示还没有访问到v。因此在查环的过程中，从回边的起始点出发遍历再次找到自己，并且在找到自己的路径上存在可接收状态，则找到可接收环。

本发明中可接收环检测器(AcceptCycleDetector)的具体伪代码如下：

输入：1、GL，由状态空间G映射而成的计算图；

2、bls，回边集合；

3、hasAccState，当前状态空间是否有可接收状态。

输出：是否有可接收环产生。

如果当前状态空间是否有可接收状态，那么

对回边集bls中的每条回边的初始点T循环(bls为在状态空间生成器中产生的回边，回边为可接收环的一必要条件，因此对每个回边发起可接收环探测)。

将GL中每个顶点对应的访问状态标识Visit初始化为-1(表示未访问过)。

设置T的访问状态标识Visit[T]，若T为可接收状态则为1，否则为0；

生成即将遍历的状态子集Frontier并将T放入其中。

如果Frontier的大小不为0进入下面循环(广度优先遍历)。

调用EDGEMAP根据状态子集Frontier的稠密度完成Visit的更新，在Visit的更新过程检测可接收环，并产生新的状态子集Frontier返回，同时返回是否存在可接收环。

如果发现可接收环，报告出来并结束检测。

结束广度优先遍历的循环。

结束对回边集的循环。

本发明中可接收环检测器利用EDGEMAP完成对到的访问状态标记Visit的更新，具体的更新方式(UPDATE(s,d)，s为一条边的初始点，d为目的点)如下：

说明：s在当前遍历到的状态子集的点，UPDATE完成对Visit的更新、决定d是否加入到下一个状态子集中以及判断是否有可接受环产生。

如果d未被访问过，那么将d加入到下一个状态子集。

在d未被访问的条件下，如果到达d的路径上有可接收状态或者d本身就是可接收状态将Visit[d]置1，否则置0(其意义见上文)。

如果d被访问过，判断到达d的路径上存在可接收状态并且d为最初发起广度优先遍历的点T，那么发现可接受环，退出程序。

在d被访问过的条件下，在到达s的路径上存在可接收状态并且到d上没有，那么将Visit[d]置1，同时将d加入到下一个状态子集中。

本发明设计的单机并行模型检测算法中，状态生成器、可接收环检测器均采用广度优先搜索的方式，该方式能够提升并行度，保证算法的性能。在可接收环检测时，发起广度优先搜索，根据遍历过程中的状态子集的稠密度动态选择遍历方式，很大程度上降低了同步开销，提高检测效率。另外，本发明在每个超步只生成部分状态空间，在模型不满足属性的情况下可以直接中止运行，不生成全部的状态空间，提前完成完成检测，大大提升了检测的效率。

本发明的优点和积极效果如下：

1、与现有的单机并行线性时序逻辑模型检测器相比，本方法根据遍历过程中的产生的状态子集的稠密度来选择遍历方式，很大程度上降低了同步开销，提高检测效率。并且我们对状态子集中的状态动态均衡分配给线程并行处理，提高了并行度。大幅提高了性能和可扩展性。

2、与现有的单机并行线性时序逻辑模型检测器相比，本方法的主要组成部分，状态空间生成器、可接收环检测器都是基于广度优先搜索方式的，能够最大化线程的并行度，使得构建的模型检测器拥有高扩展性，高性能。

3、与现有的单机并行线性时序逻辑模型检测器相比，本方法能够通过图计算框架的高层编程接口实现，在实现的过程中，无须考虑过多的底层实现细节，比线程如何分配任务，如何同步等等，所以通过本方法可以很容易地构建适合特定应用领域的模型检测器。

附图说明

图1本方法的总体结构图。

图2本方法的计算框架图。

图3单个哲学家的行为图。

图4利用本方法构建的模型检测的时间和可扩展性分析曲线；

(a)15个哲学家在属性0上的运行时间；(b)15个哲学家在属性0上的加速比；

(c)15个哲学家在属性1上的运行时间；(d)15个哲学家在属性0上的加速比。

具体实施方式

为了使本技术领域的人员更好的理解本发明，下面给出具体实施例对本发明作进一步的详细说明。

本实例针对模型检测领域经典的验证模型，哲学家吃饭问题进行验证。哲学家吃饭问题就是一桌共有若干(模型参数)个哲学家，这些哲学家每两个人之间都放有一只筷子，他们可以拿起左右的筷子，但是只有当同时拿起两只筷子时，才可以进餐，进餐完毕后，依次放下左右的筷子。每个哲学家的行为建模成标识转移系统，如图3所示。

本实例中，将会针对若干个哲学家，验证一系列属性，具体的验证问题与属性如表1所示。经过本专利方法，通过开源软件Ligra的接口之上，即可实现高性能性线性时序逻辑模型检测器，对实例中的问题进行验证，记录在单机中，所记录得到的创建节点数，回边个数，超步数等统计结果如表2所示。此外，为了说明本专利所构建系统的性能，在不同哲学家个数下重复进行20次实验，并把平均运行时间结果进行记录，计算得到系统加速比和运行时间曲线，如图4所示，该结果说明了系统的高性能和高可扩展性。

表1

LTL属性	属性编号	是否满足
			GF(someone.eats)	0	是
GF(philosopher[0].eats)	1	否

表2

P个数	属性编号	bl数	迁移数	超步	可达状态数
						15	0	0	9207771	8	3326720
15	1	6423	3041989	3	544749
						12	1	3012	466261	3	95281

尽管为说明目的公开了本发明的具体实施例和附图，其目的在于帮助理解本发明的内容并据以实施，但是本领域的技术人员可以理解：在不脱离本发明及所附的权利要求的精神和范围内，各种替换、变化和修改都是可能的。本发明不应局限于本说明书最佳实施例和附图所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (5)

1.一种高性能单机多核并行模型检测方法，其步骤为：

1)创建待检测系统模型与待测属性的组合状态空间中的初始节点；

2)状态空间生成器将该初始节点映射成Ligra计算图中的一个顶点，然后逐步生成该初始节点的后继节点，初始节点及已生成的后继节点构成一状态空间；其中，该初始节点为第1级节点，第i级节点包含N层第i+1级后继节点，每一层后继节点包含多个节点，每次属于同一级节点的后继节点全部生成之后，将当前状态空间映射成一Ligra计算图，然后调用可接收环检测器检测该Ligra计算图中是否有可接收环，如果有则停止模型检测。

2.如权利要求1所述的方法，其特征在于，步骤1)中，首先将待检测系统模型转换成标识迁移系统，将待测属性转换成对应的Buchi自动机，然后创建该初始节点。

3.如权利要求1或2所述的方法，其特征在于，步骤2)中，该状态空间生成器首先判断待生成后继节点的节点是否存在后继，如果不存在，则停止模型检测；如果存在，则生成该节点的后继节点并判断该后继节点是否已经在当前的状态空间里，如果在，则将该节点及其后继节点构成的回边对应的初始点加入到回边集合中，然后调用可接收环检测器根据该回边集合检测当前Ligra计算图中是否有可接收环。

4.如权利要求3所述的方法，其特征在于，对Ligra计算图中的每个顶点设置一访问状态标识Visit；Visit是一个数组，表示从初始顶点到当前顶点是否存在路径以及路径中是否存在可接收状态，可接收环检测器从反向边的起始点出发遍历再次找到该起始点，并且在到达自己的路径上存在可接收状态，则判断存在可接收环。

5.如权利要求1所述的方法，其特征在于，步骤2)中，采用超步迭代的方法生成每一节点的N层后继节点；其中，对于每一超步：首先调用状态空间生成器按广度优先的方式来按层生成后继节点，然后将生成的后继节点映射到Ligra计算图中，最后判断该Ligra计算图是否违反该待测属性，如果不违反则进行下一超步处理，否则结束运行。