JP7309099B2 - 等価性検査システムおよび等価性検査プログラム - Google Patents

Description

本開示は、ソフトウェア動作の差分解析に関するものである。

制御装置に搭載される制御ソフトウェアでは、多機能化と付加価値向上とに応えるために制御機能が電子化される。これにより、制御ソフトウェアの大規模化および複雑化が急速に進んでいる。
また、機種の派生または仕向け地の違いによる制御ソフトウェアのバリエーションが今後急増していくことが見込まれる。
このような状況下で収益力の維持および強化を図るためには、制御ソフトウェアの開発において生産性の向上に取り組む必要がある。

具体的な施策としては、ソフトウェアの実行環境の導入による差分開発および派生開発が考えられる。ソフトウェアの実行環境は、通信処理、タイマ処理、スケジューラ、オペレーティングシステム（ＯＳ）およびミドルウェアなどである。
また、品質の確保および開発の効率化を実現するための手法およびツールをソフトウェアの開発に適用する、という施策が考えられる。

このような施策を実施する際には、新たな実行環境への移行前に又は新たな実行環境への移行後に日々開発されるバージョン違いの２つのソフトウェアに対して、変更の影響範囲を特定する必要がある。
そのためには、変更前後の２つのソースコードに対してテキストの見た目ではなく処理の内容について修正を判断することが重要である。

これに対して、処理内容が修正された箇所を形式手法を活用して判別する等価性検査という技術がある。

等価性検査とは、変更前後の２つのソースコードを対象に、プログラミング言語の関数単位で処理内容を修正したかどうかを正確に判別する技術である。
具体的には、変更前後で対応が付く２つの関数に同じ入力値を与えたときに常に同じ出力値が得られる場合、処理内容が論理的に同一（すなわち等価）であると判定する。そうでない場合、処理内容が論理的に異なる（すなわち不等価）であると判定する。

また、関数は複数の状態変数を持つことがあり、状態変数が取る値（状態値）が前のステップから次のステップへ引き継がれて変化していく。ここで、ステップは関数が呼び出されたときに実行される１回分の処理である。関数が状態変数を持つ場合、各ステップで関数が入力値を受け取るたびにそのときの状態値に依存して関数内部の実行部分が切り替わり、処理内容によって出力値と次のステップの状態値が決まる。
特許文献１は、このような状態変数を持つ２つの関数を対象に、処理内容が等価かどうか判定する技術を開示している。

国際公開第２０１８／１９３５４８号

複数の状態変数を持つ関数を対象にした等価性検査では、各状態変数が初期状態から始まって再び初期状態に戻るまで、すべてのステップについて処理内容が解析される。
また、状態変数が取る値の数すなわち状態数に依存して、解析に必要な計算機リソースの量が決まる。状態数が非常に多い状態変数が１つでもある場合、１回で解析されるステップの数が非常に多くなることがあり、必要な計算機リソースの量が非常に多くなることがある。そのため、状態数が少ない状態変数と状態数が非常に多い状態変数がソースコードに混在する場合、すべての状態変数が初期状態に戻るまでのステップ数について処理内容を解析することは困難である。

本開示は、計算機リソースの量を抑えて等価性検査を行えるようにすることを目的とする。

本開示の等価性検査システムは、
変更前ソースコードと変更後ソースコードとのそれぞれから、繰り返し呼び出される対象関数の出力値に影響を与える状態変数である影響状態変数を抽出する影響状態変数抽出部と、
前記変更前ソースコードにおいて前記対象関数が繰り返し呼び出され前記影響状態変数の値が初期値に戻り、且つ、前記変更後ソースコードにおいて前記対象関数が繰り返し呼び出され前記影響状態変数の値が初期値に戻る、という条件を満たす前記対象関数の呼び出し回数を判定ステップ数として算出する判定ステップ数算出部と、
前記変更前ソースコードの前記対象関数と前記変更後ソースコードの前記対象関数とのそれぞれを前記判定ステップ数と同じ回数繰り返し呼び出して、前記変更前ソースコードの前記対象関数と前記変更後ソースコードの前記対象関数が等価であるか判定する等価判定部と、を備える。

本開示によれば、影響状態変数に絞って等価性検査を行うことができる。そのため、計算機リソースの量を抑えて等価性検査を行うことが可能となる。

実施の形態１における等価性検査システム１００の構成図。 実施の形態１における等価性検査システム１００の機能構成図。 実施の形態１における関数についての用語を示す図。 実施の形態１における変更前ソースコード２０１の例を示す図。 実施の形態１における変更後ソースコード２０２の例を示す図。 実施の形態１における等価性検査方法のフローチャート。 実施の形態１における影響状態変数抽出処理（Ｓ１１０）のフローチャート。 実施の形態１における影響部分２０３を示す図。 実施の形態１における影響部分２０４を示す図。 実施の形態１における判定ステップ数算出処理（Ｓ１２０）のフローチャート。 実施の形態１における戻りステップ数を算出するためのフローチャート。 実施の形態１における算出コード２２１を示す図。 実施の形態１における算出コード２２２を示す図。 実施の形態１における解析結果２２３を示す図。 実施の形態１における解析結果２２４を示す図。 実施の形態１における算出コード２２５を示す図。 実施の形態１における解析結果２２６を示す図。 実施の形態１における影響状態変数の値が初期値に戻るまでの様子を示す図。 実施の形態１における判定コード生成処理（Ｓ１３０）のフローチャート。 実施の形態１における変更前ソースコード２３１の例を示す図。 実施の形態１における変更後ソースコード２３２の例を示す図。 実施の形態１における判定ヘッダ２３３の例を示す図。 実施の形態１における判定ラッパー２３４の例を示す図。 実施の形態１における等価判定処理（Ｓ１４０）のフローチャート。 実施の形態１における解析結果２４１の例を示す図。 実施の形態１における解析結果２４２の例を示す図。 実施の形態１における等価性検査システム１００のハードウェア構成図。

実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。

実施の形態１．
等価性検査システム１００について、図１から図２７に基づいて説明する。
等価性検査システム１００は、変更前後のソフトウェア動作についての差分解析システムとして利用される。

＊＊＊構成の説明＊＊＊
図１に基づいて、等価性検査システム１００の構成を説明する。
等価性検査システム１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４と入出力インタフェース１０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ１０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ１０１はＣＰＵである。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。

メモリ１０２は揮発性または不揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭである。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。

補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。

通信装置１０４はレシーバ及びトランスミッタである。例えば、通信装置１０４は通信チップまたはＮＩＣである。等価性検査システム１００の通信は通信装置１０４を用いて行われる。
ＮＩＣは、Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略称である。

入出力インタフェース１０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース１０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。等価性検査システム１００の入出力は入出力インタフェース１０５を用いて行われる。
ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。

等価性検査システム１００は、影響状態変数抽出部１１０と判定ステップ数算出部１２０と判定コード生成部１３０と等価判定部１４０といった要素を備える。これらの要素はソフトウェアで実現される。

補助記憶装置１０３には、影響状態変数抽出部１１０と判定ステップ数算出部１２０と判定コード生成部１３０と等価判定部１４０としてコンピュータを機能させるための等価性検査プログラムが記憶されている。等価性検査プログラムは、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
補助記憶装置１０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
プロセッサ１０１は、ＯＳを実行しながら、等価性検査プログラムを実行する。
ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略称である。

等価性検査プログラムの入出力データは記憶部１９０に記憶される。
メモリ１０２は記憶部１９０として機能する。但し、補助記憶装置１０３、プロセッサ１０１内のレジスタおよびプロセッサ１０１内のキャッシュメモリなどの記憶装置が、メモリ１０２の代わりに、又は、メモリ１０２と共に、記憶部１９０として機能してもよい。

等価性検査システム１００は、プロセッサ１０１を代替する複数のプロセッサを備えてもよい。

等価性検査プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。

図２に、等価性検査システム１００の機能構成を示す。
図２において、矢印は主なデータの流れを示している。
各データの内容については後述する。

＊＊＊動作の説明＊＊＊
等価性検査システム１００の動作の手順は等価性検査方法に相当する。また、等価性検査システム１００の動作の手順は等価性検査プログラムによる処理の手順に相当する。
以下に、等価性検査方法について説明する。

図３に基づいて、関数についての用語を説明する。
関数が呼び出されたときに実行される１回分の処理を「ステップ」と称する。
関数が呼び出される回数を「ステップ数」と称する。つまり、ステップ数は関数が実行される回数に相当する。図３において、ステップ数はＮである。
関数の入力となる変数を「入力変数」と称する。具体的には、入力変数は、関数の処理に必要な引数または大域変数である。
入力変数の値を「入力値」と称する。ｉｎ＿１からｉｎ＿Ｎのそれぞれは、各ステップにおける入力変数ｉｎの値を表す。
関数の出力となる変数を「出力変数」と称する。具体的には、出力変数は、関数の処理の結果を表す戻り値または大域変数である。
出力変数の値を「出力値」と称する。ｏｕｔ＿１からｏｕｔ＿Ｎのそれぞれは、各ステップにおける出力変数ｏｕｔの値を表す。
ソフトウェアの状態を表す変数を「状態変数」と称する。
状態変数の値を「状態値」と称する。ｓｔ＿１からｓｔ＿Ｎのそれぞれは、各ステップの終了時における状態変数ｓｔａｔｅの値を表す。

状態値は、前のステップから次のステップに引き継がれる。例えば、第１ステップの終了時の状態値ｓｔ＿１が第２ステップで使用され、第２ステップの終了時の状態値ｓｔ＿２が第３ステップで使用される。
一方、入力値および出力値は、前のステップから次のステップに引き継がれない。

図４に、変更前ソースコード２０１の例を示す。変更前ソースコード２０１は元のソースコードである。図３において、変更前ソースコード２０１はＣ言語で記述されている。
図５に、変更後ソースコード２０２の例を示す。変更後ソースコード２０２は変更済みのソースコードである。図４において、変更後ソースコード２０２はＣ言語で記述されている。
変更前ソースコード２０１と変更後ソースコード２０２の間で異なる部分、つまり変更された部分に下線を付している。

変更前ソースコード２０１と変更後ソースコード２０２とのそれぞれは、ｍａｉｎ関数とｆｕｎｃ１関数とｆｕｎｃ２関数とを含んでいる。
ｆｕｎｃ１関数とｆｕｎｃ２関数は、等価性検査の対象となる関数である。等価性検査の対象となる関数を「対象関数」と称する。

対象関数は、変更前ソースコード２０１と変更後ソースコード２０２に含まれ、状態変数を持ち、繰り返し呼び出され実行される。
ｆｕｎｃ１関数とｆｕｎｃ２関数は、ｍａｉｎ関数の中で特定の条件が満たされる間、繰り返し実行される。

図４の変更前ソースコード２０１について説明する。
対象関数は、各ステップで入力値を受け取るたびに、関数内部で実行される部分を状態値に応じて切り替える。そして、次のステップの状態値が対象関数の実行結果によって決まる。
ｆｕｎｃ１関数は、２つの状態変数（ｓｔａｔｅ、ｃｏｕｎｔｅｒ）を持つ。そして、これらの状態値は、ｆｕｎｃ１関数が実行されるたびに変わる。
初期状態では、状態変数ｓｔａｔｅと状態変数ｃｏｕｎｔｅｒとのそれぞれの値が０である。
状態変数ｓｔａｔｅの値が０である場合にｆｕｎｃ１関数が実行されると、状態変数ｓｔａｔｅと状態変数ｃｏｕｎｔｅｒとのそれぞれの値が１に変わる。
状態変数ｓｔａｔｅの値が１である場合にｆｕｎｃ１関数が実行されると、状態変数ｓｔａｔｅと状態変数ｃｏｕｎｔｅｒとのそれぞれの値が２に変わる。
状態変数ｓｔａｔｅの値が２である場合にｆｕｎｃ１関数が実行されると、状態変数ｓｔａｔｅの値が０に変わり、状態変数ｃｏｕｎｔｅｒの値が３に変わる。
状態変数ｃｏｕｎｔｅｒは、ｆｕｎｃ１関数の呼び出し回数という統計情報を記録するための変数である。ｆｕｎｃ１関数が呼び出されるたびに、状態変数ｃｏｕｎｔｅｒの値に１が加算される。

ｆｕｎｃ２関数は、状態変数ｎｕｍを持つ。そして、この状態値は、ｆｕｎｃ２関数が実行されるたびに変わる。
初期状態では、状態変数ｎｕｍの値が１である。
ｆｕｎｃ２関数が実行されるたびに、状態変数ｎｕｍの値に１が加算される。但し、状態変数ｎｕｍの値が１０００００００００である場合にｆｕｎｃ１関数が実行されると、状態変数ｎｕｍの値が１に戻る。

対象関数は、状態値に対応する処理の内容によって出力値を決める。
ｆｕｎｃ１関数は、状態変数ｓｔａｔｅの値に対応する処理の内容によって出力値を決める。
状態変数ｓｔａｔｅの値が０である場合、ｆｕｎｃ１関数の入力値ｉｎに対して出力値はｉｎ＋１で表される。
状態変数ｓｔａｔｅの値が１である場合、ｆｕｎｃ１関数の入力値ｉｎに対して出力値はｉｎ＋２で表される。
状態変数ｓｔａｔｅの値が２である場合、ｆｕｎｃ１関数の入力値ｉｎに対して出力値はｉｎ＋３で表される。

ｆｕｎｃ２関数は、状態変数ｎｕｍの値に対応する処理の内容によって出力値を決める。
状態変数ｎｕｍの値が１０００００００００である場合、ｆｕｎｃ２関数の入力値ｉｎに対して出力値はｉｎ＋１で表される。
状態変数ｎｕｍの値が１０００００００００でない場合、ｆｕｎｃ２関数の入力値ｉｎに対して出力値はｉｎ＋ｎｕｍで表される。

図５の変更後ソースコード２０２について説明する。
変更後ソースコード２０２では、変更前ソースコード２０１に対して、ｆｕｎｃ１関数とｆｕｎｃ２関数とのそれぞれの出力値が変更されている。
ｆｕｎｃ１関数において、状態変数ｓｔａｔｅの値が２である場合、ｆｕｎｃ１関数の入力値ｉｎに対して出力値はｉｎ＋５で表される。
ｆｕｎｃ２関数において、状態変数ｎｕｍの値が１０００００００００である場合、ｆｕｎｃ２関数の入力値ｉｎに対して出力値はｉｎ＋２で表される。

図６に基づいて、等価性検査方法を説明する。
ステップＳ１１０からステップＳ１４０は、対象関数ごとに実行される。

ステップＳ１１０において、影響状態変数抽出部１１０は、変更前ソースコード２０１と変更後ソースコード２０２とのそれぞれから、対象関数に対する影響状態変数を抽出する。
変更前ソースコード２０１から抽出される影響状態変数を変更前影響状態変数２１１と称する。
変更後ソースコード２０２から抽出される影響状態変数を変更後影響状態変数２１２と称する。
影響状態変数は、対象関数の出力値に影響を与える状態変数である。

図７に基づいて、影響状態変数抽出処理（Ｓ１１０）の手順を説明する。
ステップＳ１１１からステップＳ１１４は、変更前ソースコード２０１を解析して実行される。
ステップＳ１１５からステップＳ１１８は、変更後ソースコード２０２を解析して実行される。

ステップＳ１１１において、影響状態変数抽出部１１０は、変更前ソースコード２０１の対象関数から入力変数を抽出する。
具体的には、対象関数が変数から値を読み込む場合、影響状態変数抽出部１１０は、その変数を入力変数として抽出する。
例えば、影響状態変数抽出部１１０は、対象関数の引数を入力変数として抽出する。また、影響状態変数抽出部１１０は、代入演算子「＝」の右側にある大域変数を入力変数として抽出する。

さらに、影響状態変数抽出部１１０は、変更前ソースコード２０１の対象関数から出力変数を抽出する。
具体的には、対象関数が変数に値を書き込む場合、影響状態変数抽出部１１０は、その変数を出力変数として抽出する。
例えば、影響状態変数抽出部１１０は、対象関数の戻り値を出力変数として抽出する。また、影響状態変数抽出部１１０は、代入演算子「＝」の左側にある大域変数を出力変数として抽出する。

ステップＳ１１２において、影響状態変数抽出部１１０は、変更前ソースコード２０１から、対象関数の出力変数に対する影響部分を抽出する。
影響部分は、対象関数の出力変数の値に影響を与える部分である。
例えば、影響状態変数抽出部１１０は、プログラムスライシングを用いて、変更前ソースコード２０１から影響部分を抽出する。

ステップＳ１１３において、影響状態変数抽出部１１０は、変更前ソースコード２０１の影響部分から、関数外スコープ変数を抽出する。
関数外スコープ変数は、対象関数の関数外スコープを有する変数であり、対象関数の外から参照することが可能である。例えば、大域変数は関数外スコープ変数である。

ステップＳ１１４において、影響状態変数抽出部１１０は、変更前ソースコード２０１の関数外スコープ変数から、対象関数の入力変数と対象関数の出力変数とを除外する。
残りの関数外スコープ変数が変更前影響状態変数２１１となる。

ステップＳ１１５において、影響状態変数抽出部１１０は、変更後ソースコード２０２の対象関数から、入力変数と出力変数とを抽出する。
抽出方法は、ステップＳ１１１における方法と同じである。

ステップＳ１１６において、影響状態変数抽出部１１０は、変更後ソースコード２０２から、対象関数の出力変数に対する影響部分を抽出する。
抽出方法は、ステップＳ１１２における方法と同じである。

ステップＳ１１７において、影響状態変数抽出部１１０は、変更後ソースコード２０２の影響部分から、関数外スコープ変数を抽出する。
抽出方法は、ステップＳ１１３における方法と同じである。

ステップＳ１１８において、影響状態変数抽出部１１０は、変更後ソースコード２０２の関数外スコープ変数から、対象関数の入力変数と対象関数の出力変数とを除外する。
残りの関数外スコープ変数が変更後影響状態変数２１２となる。

図４の変更前ソースコード２０１と図５の変更後ソースコード２０２を例にして、影響状態変数抽出処理（Ｓ１１０）を説明する。
まず、影響状態変数抽出部１１０は、変更前ソースコード２０１と変更後ソースコード２０２とのそれぞれのｆｕｎｃ１関数から、引数ｉｎを入力変数として抽出し、ｒｅｔｕｒｎ文で指定された戻り値を出力変数として抽出する。
また、影響状態変数抽出部１１０は、変更前ソースコード２０１と変更後ソースコード２０２とのそれぞれのｆｕｎｃ２関数から、引数ｉｎを入力変数として抽出し、ｒｅｔｕｒｎ文で指定された戻り値を出力変数として抽出する。
次に、影響状態変数抽出部１１０は、変更前ソースコード２０１と変更後ソースコード２０２とのそれぞれから、ｆｕｎｃ１関数およびｆｕｎｃ２関数の出力変数の値に影響を与える部分（影響部分）を抽出する。
図８に、影響部分２０３を示す。影響部分２０３は、図４の変更前ソースコード２０１から抽出された影響部分である。
図９に、影響部分２０４を示す。影響部分２０４は、図５の変更後ソースコード２０２から抽出された影響部分である。
そして、影響状態変数抽出部１１０は、変更前ソースコード２０１と変更後ソースコード２０２とのそれぞれの影響部分から、ｆｕｎｃ１関数に対する影響状態変数ｓｔａｔｅと、ｆｕｎｃ２関数に対する影響状態変数ｎｕｍと、を抽出する。

影響状態変数抽出処理（Ｓ１１０）により、状態数（状態変数が取る値の数）が非常に多い状態変数が出力値の計算に影響を与えない場合に、後述する判定ステップ数２２０を必要最小限に抑えることができる。

図６に戻り、ステップＳ１２０から説明を続ける。
ステップＳ１２０において、判定ステップ数算出部１２０は、変更前ソースコード２０１と変更後ソースコード２０２とのそれぞれの対象関数に対する影響状態変数に基づいて、判定ステップ数２２０を算出する。
判定ステップ数２２０は、変更前ソースコード２０１の対象関数と変更後ソースコード２０２の対象関数が等価であるか判定するために、変更前ソースコード２０１の対象関数と変更後ソースコード２０２の対象関数とが呼び出され実行される回数である。

具体的には、条件（１）と条件（２）との両方が満たされるときの対象関数の呼び出し回数（実行回数）が判定ステップ数２２０となる。
条件（１）は、変更前ソースコード２０１において、対象関数が繰り返し呼び出され影響状態変数の値が初期値に戻る、という条件である。
条件（２）は、変更後ソースコード２０２において、対象関数が繰り返し呼び出され影響状態変数の値が初期値に戻る、という条件である。

図１０に基づいて、判定ステップ数算出処理（Ｓ１２０）の手順を説明する。
ステップＳ１２１において、判定ステップ数算出部１２０は、変更前ソースコード２０１を解析することによって、変更前ソースコード２０１の対象関数の戻りステップ数を算出する。
戻りステップ数は、対象関数が繰り返し呼び出され影響状態変数の値が初期値に戻るときの対象関数の呼び出し回数（実行回数）である。
戻りステップ数を算出する方法について後述する。

ステップＳ１２２において、判定ステップ数算出部１２０は、変更後ソースコード２０２を解析することによって、変更後ソースコード２０２の対象関数の戻りステップ数を算出する。

ステップＳ１２３において、判定ステップ数算出部１２０は、変更前ソースコード２０１の対象関数の戻りステップ数と変更後ソースコード２０２の対象関数の戻りステップ数の最小公倍数を算出する。
算出される最小公倍数が判定ステップ数２２０となる。

判定ステップ数算出処理（Ｓ１２０）により、判定ステップ数２２０を算出することができる。判定ステップ数２２０を用いることにより、状態数が非常に多い状態変数がある場合でも、変更前後の対象関数が両方とも初期状態に戻るまで等価性を判定することが可能となる。

図１１に基づいて、戻りステップ数を算出するための手順を説明する。
ステップｓ１２１において、判定ステップ数算出部１２０は、後述する算出コードの解析に使用できる計算機リソースの量に基づいて、上限ステップ数を決定する。
上限ステップ数は、計算機リソースを解放せずに対象関数を実行する回数の上限である。

ステップｓ１２２において、判定ステップ数算出部１２０は、算出コードを生成する。
算出コードは、戻りステップ数を算出するためのソースコードであり、算出ラッパーともいう。
具体的には、１回目の算出コードと２回目以降の算出コードが生成される。

図１２に、算出コード２２１を示す。算出コード２２１は、ｆｕｎｃ１関数のための１回目の算出コードの例である。
図１３に、算出コード２２２の例を示す。算出コード２２２は、ｆｕｎｃ２関数のための１回目の算出コードの例である。
算出コード２２１と算出コード２２２とのそれぞれには、コード（０）からコード（３）が記述されている。上限ステップ数Ｘは１０００である。
コード（０）は、影響状態変数の初期値を保存するためのコードである。影響状態変数の初期値は、対象関数が初めて呼び出されるときの影響状態変数の値である。
コード（１）は、上限ステップ数と同じ回数、対象関数を呼び出すためのコードである。この場合、対象関数を読み出す処理が１０００ステップ分、記述される。
コード（２）は、上限ステップ数と同じ回数分、事後条件が満たされるか判定するためのコードである。影響状態変数の値が初期値と等しい、という条件が事後条件となる。この場合、事後条件の判定処理が１０００ステップ分、記述される。
コード（３）は、上限ステップ数の終了時における影響状態変数の値を記録するためのコードである。上限ステップ数のステップの終了時における影響状態変数の値を、最終ステップの状態値と称する。

図１１に戻り、ステップｓ１２３から説明を続ける。
ステップｓ１２３において、判定ステップ数算出部１２０は、１回目の算出コードの解析のために計算機リソースを確保する。

ステップｓ１２４において、判定ステップ数算出部１２０は、算出コードを解析して算出コードの処理を実行する。
例えば、判定ステップ数算出部１２０は、有界モデル検査を用いて、算出コードを解析する。
１回目のステップｓ１２４では、１回目の算出コードが使用される。
２回目以降のステップｓ１２４では、２回目以降の算出コードが使用される。

ステップｓ１２５において、判定ステップ数算出部１２０は、算出コードの解析結果に基づいて、上限ステップ数までのいずれかのステップで影響状態変数の値が初期値に戻ったか判定する。
上限ステップ数までのいずれかのステップで影響状態変数の値が初期値に戻った場合、処理はステップｓ１２８に進む。
上限ステップ数までのいずれかのステップで影響状態変数の値が初期値に戻らなかった場合、処理はステップｓ１２６に進む。

図１４に、解析結果２２３を示す。解析結果２２３は、ｆｕｎｃ１関数用の１回目の算出コード２２１の解析結果である。
ＦＡＩＬＵＲＥは、影響状態変数の値が初期値と異なることを意味する。
ＳＵＣＣＥＳＳは、影響状態変数の値が初期値と等しいことを意味する。
解析結果２２３は、ｆｕｎｃ１関数の影響状態変数の値が第３ステップで初期値に戻ることを示している。
この場合、ステップｓ１２５の後、処理はステップｓ１２９に進む。

図１５に、解析結果２２４を示す。解析結果２２４は、ｆｕｎｃ２関数用の１回目の算出コード２２２の解析結果である。
解析結果２２４は、ｆｕｎｃ２関数の影響状態変数の値が第１０００ステップまでに初期値に戻らないことを示している。
この場合、ステップｓ１２５の後、処理はステップｓ１２６に進む。

図１１に戻り、ステップｓ１２６から説明を続ける。
ステップｓ１２６において、判定ステップ数算出部１２０は、１回目の算出コード（または２回目以降の算出コード）の解析のために確保された計算機リソースを一旦解放する。
なお、最終ステップの状態値は、解放される計算機リソース以外の記憶領域に記録されている。

ステップｓ１２７において、判定ステップ数算出部１２０は、２回目以降の算出コードの解析のために計算機リソースを再び確保する。
ステップｓ１２７の後、処理はステップｓ１２４に進む。

２回目以降のステップｓ１２４では、２回目以降の算出コードが使用される。
２回目以降の算出コードには、最終ステップの状態値を引き継ぎためのコードが加えられる。

図１６に、算出コード２２５を示す。算出コード２２５は、ｆｕｎｃ２関数のための２回目以降の算出コードの例である。
図１３の算出コード２２２に対して、コード（０）が変更されており、コード（４）が追加されている。
コード（０）では、影響状態変数「ｎｕｍ」を用いずに影響状態変数の初期値「１」が保存される。
コード（４）は、最終ステップの状態値を引き継ぐためのコードである。最終ステップの状態値が影響状態変数ｎｕｍに設定される。ｓｔａｔｅ＿ｌａｓｔ＿ｓｔｅｐは、最終ステップの状態値を表す。

図１１に戻り、ステップｓ１２８を説明する。
ステップｓ１２８において、判定ステップ数算出部１２０は、影響状態変数の値が初めて初期値に戻ったときのステップ数を戻りステップ数と判定する。これにより、戻りステップ数が求まる。

図１４の解析結果２２３が得られた場合、判定ステップ数算出部１２０は、ｆｕｎｃ１関数の戻りステップ数を３と判定する。

図１７に、解析結果２２６を示す。解析結果２２６は、ｆｕｎｃ２関数のための算出コードが１００００００回解析されたときの解析結果である。
図１７の解析結果２２６が得られた場合、判定ステップ数算出部１２０は、ｆｕｎｃ２関数の戻りステップ数を１０００００００００（＝Ｘ×１００００００）と判定する。上限ステップ数Ｘは１０００である。

図１８に、算出コードが１０回解析されて影響状態変数の値が初期値に戻る様子を示す。
上限ステップ数Ｘは、算出コードの１回の解析に使用できる計算機リソースの量に基づいて決定される。
算出コードが１回解析されるごとに、対象関数はＸ回呼び出される。
算出コードが１回解析されるごとに、計算機リソースは、一旦解放され、再び確保される。
算出コードが１回解析されるごとに、最終ステップの状態値が引き継がれる。

図６に戻り、ステップＳ１３０から説明を続ける。
ステップＳ１３０において、判定コード生成部１３０は、判定ステップ数２２０に基づいて、判定コード２３０を生成する。
判定コード２３０は、変更前ソースコード２０１の対象関数と変更後ソースコード２０２の対象関数とのそれぞれを判定ステップ数２２０と同じ回数繰り返し呼び出して、変更前ソースコード２０１の対象関数と変更後ソースコード２０２の対象関数が等価であるか判定するためのソースコードである。

図１９に基づいて、判定コード生成処理（Ｓ１３０）の手順を説明する。
ステップＳ１３１において、判定コード生成部１３０は、変更前ソースコード２０１と変更後ソースコード２０２との間で名前の衝突をなくすために、変更前ソースコード２０１と変更後ソースコード２０２とを編集する。
これにより、変更前ソースコード２３１と変更後ソースコード２３２が生成される。
変更前ソースコード２３１は、編集済みの変更前ソースコード２０１である。
変更後ソースコード２３２は、編集済みの変更後ソースコード２０２である。
具体的には、判定コード生成部１３０は、変更前ソースコード２０１と変更後ソースコード２０２との間で異なる接頭辞または接尾辞を、関数名と大域変数名とのそれぞれに付ける。

図２０に、変更前ソースコード２３１の例を示す。
図２１に、変更後ソースコード２３２の例を示す。
変更前ソースコード２３１では、関数名「ｍａｉｎ」「ｆｕｎｃ１」「ｆｕｎｃ２」と大域変数名「ｓｔａｔｅ」「ｃｏｕｎｔｅｒ」とのそれぞれに接尾辞「＿１」が付いている。
変更後ソースコード２３２では、関数名「ｍａｉｎ」「ｆｕｎｃ１」「ｆｕｎｃ２」と大域変数名「ｓｔａｔｅ」「ｃｏｕｎｔｅｒ」とのそれぞれに接尾辞「＿２」が付いている。
これにより、変更前ソースコード２３１と変更後ソースコード２３２との間で、関数名および大域変数名が区別され、名前の衝突がなくなる。

図１９に戻り、ステップＳ１３２から説明を続ける。
ステップＳ１３２において、判定コード生成部１３０は、判定ヘッダ２３３を生成する。
判定ヘッダ２３３は、変更前ソースコード２３１の対象関数と変更後ソースコード２３２の対象関数が等価であるか判定するために必要な宣言が記述されたヘッダである。
具体的には、判定コード生成部１３０は、変更前ソースコード２３１の対象関数のプロトタイプ宣言と、変更後ソースコード２３２の対象関数のプロトタイプ宣言と、を判定ヘッダ２３３に記述する。また、判定コード生成部１３０は、必要に応じて、変更前ソースコード２３１の大域変数のｅｘｔｅｒｎ宣言と変更後ソースコード２３２の大域変数のｅｘｔｅｒｎ宣言など、を判定ヘッダ２３３に記述する。

図２２に、判定ヘッダ２３３の例を示す。
判定ヘッダ２３３には、変更前ソースコード２３１の対象関数「ｆｕｎｃ１＿１」「ｆｕｎｃ２＿１」の宣言と、変更後ソースコード２３２の対象関数「ｆｕｎｃ１＿２」「ｆｕｎｃ２＿２」の宣言と、が記述されている。

図１９に戻り、ステップＳ１３３を説明する。
ステップＳ１３３において、判定コード生成部１３０は、判定ラッパー２３４を生成する。
判定ラッパー２３４は、変更前ソースコード２３１の対象関数と変更後ソースコード２３２の対象関数が等価であるか判定するために必要な処理が記述されたラッパーである。
具体的には、判定コード生成部１３０は、コード（Ａ）からコード（Ｃ）を判定ラッパー２３４に記述する。
コード（Ａ）は、前提条件を指定するためのコードである。判定ステップ数２２０分の全てのステップで変更前ソースコード２３１の対象関数の入力値と変更後ソースコード２３２の対象関数の入力値が等しい、という条件が前提条件となる。
コード（Ｂ）は、変更前ソースコード２３１の対象関数と変更後ソースコード２３２の対象関数とのそれぞれを、判定ステップ数２２０と同じ回数繰り返し呼び出すためのコードである。
コード（Ｃ）は、事後条件が満たされるか判定するためのコードである。判定ステップ数２２０分の全てのステップで変更前ソースコード２３１の対象関数の出力値と変更後ソースコード２３２の対象関数の出力値が等しい、という条件が事後条件となる。

図２３に、ｆｕｎｃ１関数のための判定ラッパー２３４の例を示す。
判定ステップ数ＳＴＥＰは３である。
コード（Ａ）では、３ステップ分の前提条件が指定されている。
コード（Ｂ）では、ｆｕｎｃ１関数（ｆｕｎｃ１＿１、ｆｕｎｃ１＿２）が３回呼び出される。
コード（Ｃ）では、３ステップ分の事後条件が判定される。

変更前ソースコード２３１と変更後ソースコード２３２と判定ヘッダ２３３と判定ラッパー２３４との組が判定コード２３０となる。

判定コード生成処理（Ｓ１３０）により、判定コード２３０を生成することができる。判定コード２３０を用いることにより、状態数が非常に多い状態変数がある場合でも、変更前後の対象関数の処理内容が等価かどうか正しく判定することが可能となる。

図６に戻り、ステップＳ１４０を説明する。
ステップＳ１４０において、等価判定部１４０は、判定コード２３０を使って、変更前ソースコード２０１の対象関数と変更後ソースコード２０２の対象関数が等価であるか判定する。

図２４に基づいて、等価判定処理（Ｓ１４０）の手順を説明する。
ステップＳ１４１において、等価判定部１４０は、判定コード２３０を解析して判定ラッパー２３４の処理を実行する。
例えば、等価判定部１４０は、有界モデル検査を用いて、判定コード２３０を解析する。

ステップＳ１４２において、等価判定部１４０は、判定コード２３０の解析結果に基づいて、変更前ソースコード２０１の対象関数と変更後ソースコード２０２の対象関数が等価であるか判定する。
判定コード２３０の解析結果は、判定ラッパー２３４の処理結果に相当する。

ステップＳ１４３において、等価判定部１４０は、判定結果２４０を出力する。
判定結果２４０は、変更前ソースコード２０１の対象関数と変更後ソースコード２０２の対象関数が等価であるかを示す。また、判定結果２４０は、変更前ソースコード２０１の対象関数と変更後ソースコード２０２の対象関数が不等価になるステップ（不等価ステップ）を示す。

図２５に、解析結果２４１の例を示す。解析結果２４１は、ｆｕｎｃ１関数のための判定コード２３０の解析結果である。
判定ステップ数２２０は３である。ＳＵＣＣＥＳＳは、変更前後で出力値が等しいことを意味する。ＦＡＩＬＵＲＥは、変更前後で出力値が異なることを意味する。
第１ステップと第２ステップでは変更前後でｆｕｎｃ１関数の出力値が等しいが、第３ステップでは変更前後でｆｕｎｃ１関数の出力値が異なる。
そのため、変更前後のｆｕｎｃ１関数は不等価であり、不等価ステップは第３ステップである。

図２６に、解析結果２４２の例を示す。解析結果２４２は、ｆｕｎｃ２関数のための判定コード２３０の解析結果である。
判定ステップ数２２０は１０００００００００である。
第１０００００００００ステップにおいて、変更前後でｆｕｎｃ２関数の出力値が異なる。
そのため、変更前後のｆｕｎｃ２関数は不等価であり、不等価ステップは第１０００００００００ステップである。

等価判定処理（Ｓ１４０）により、状態数が非常に多い状態変数がある場合でも、変更前後の対象関数の処理内容が等価であるか正しく判定することができる。
また、利用者は、判定結果２４０を参照することにより、変更後の対象関数に対して修正の要否および修正の内容を判断することができる。

＊＊＊実施の形態１の効果＊＊＊
実施の形態１により、対象関数の出力値の計算に影響を与えない状態変数を除外して影響を与える状態変数のみに絞って処理内容を解析することができる。また、等価性検査のための解析を複数回に分割し、分割された解析の間で計算機リソースの解放および再確保を繰り返すことで、状態数が非常に多い状態変数を持つ変更前後の対象関数の処理内容が等価かどうか判定することができる。

＊＊＊実施の形態１の補足＊＊＊
図２７に基づいて、等価性検査システム１００のハードウェア構成を説明する。
等価性検査システム１００は処理回路１０９を備える。
処理回路１０９は、影響状態変数抽出部１１０と判定ステップ数算出部１２０と判定コード生成部１３０と等価判定部１４０とを実現するハードウェアである。
処理回路１０９は、専用のハードウェアであってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。

処理回路１０９が専用のハードウェアである場合、処理回路１０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＦＰＧＡは、Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略称である。

等価性検査システム１００は、処理回路１０９を代替する複数の処理回路を備えてもよい。

処理回路１０９において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。

このように、等価性検査システム１００の機能はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。

実施の形態１は、好ましい形態の例示であり、本開示の技術的範囲を制限することを意図するものではない。実施の形態１は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。

等価性検査システム１００は、２台以上の装置で実現されてもよい。
等価性検査システム１００の要素である「部」は、「処理」、「工程」、「回路」または「サーキットリ」と読み替えてもよい。

１００ 等価性検査システム、１０１ プロセッサ、１０２ メモリ、１０３ 補助記憶装置、１０４ 通信装置、１０５ 入出力インタフェース、１０９ 処理回路、１１０ 影響状態変数抽出部、１２０ 判定ステップ数算出部、１３０ 判定コード生成部、１４０ 等価判定部、１９０ 記憶部、２０１ 変更前ソースコード、２０２ 変更後ソースコード、２０３ 影響部分、２０４ 影響部分、２１１ 変更前影響状態変数、２１２ 変更後影響状態変数、２２０ 判定ステップ数、２２１ 算出コード、２２２ 算出コード、２２３ 解析結果、２２４ 解析結果、２２５ 算出コード、２２６ 解析結果、２３０ 判定コード、２３１ 変更前ソースコード、２３２ 変更後ソースコード、２３３ 判定ヘッダ、２３４ 判定ラッパー、２４０ 判定結果、２４１ 解析結果、２４２ 解析結果。

Claims (10)

1. 変更前ソースコードと変更後ソースコードとのそれぞれから、繰り返し呼び出される対象関数の出力値に影響を与える状態変数である影響状態変数を抽出する影響状態変数抽出部と、
   前記変更前ソースコードにおいて前記対象関数が繰り返し呼び出され前記影響状態変数の値が初期値に戻り、且つ、前記変更後ソースコードにおいて前記対象関数が繰り返し呼び出され前記影響状態変数の値が初期値に戻る、という条件を満たす前記対象関数の呼び出し回数を判定ステップ数として算出する判定ステップ数算出部と、
   前記変更前ソースコードの前記対象関数と前記変更後ソースコードの前記対象関数とのそれぞれを前記判定ステップ数と同じ回数繰り返し呼び出して、前記変更前ソースコードの前記対象関数と前記変更後ソースコードの前記対象関数が等価であるか判定する等価判定部と、
   を備える等価性検査システム。
2. 前記影響状態変数抽出部は、
   前記変更前ソースコードと前記変更後ソースコードとのそれぞれの前記対象関数から、入力変数と出力変数とを抽出し、
   前記変更前ソースコードと前記変更後ソースコードとのそれぞれから、前記対象関数の前記出力変数の値に影響を与える影響部分を抽出し、
   前記変更前ソースコードと前記変更後ソースコードとのそれぞれの前記影響部分から、前記対象関数の関数外スコープを有する変数を関数外スコープ変数として抽出し、
   前記変更前ソースコードと前記変更後ソースコードとのそれぞれの前記関数外スコープ変数から前記対象関数の前記入力変数と前記対象関数の前記出力変数を除外し、
   前記変更前ソースコードと前記変更後ソースコードとのそれぞれの残りの前記関数外スコープが、前記影響状態変数となる
   請求項１に記載の等価性検査システム。
3. 前記判定ステップ数算出部は、
   前記変更前ソースコードと前記変更後ソースコードとのそれぞれに対して、前記対象関数が繰り返し呼び出され前記影響状態変数の値が前記初期値に戻るときの前記対象関数の呼び出し回数を戻りステップ数として算出し、
   前記変更前ソースコードの前記対象関数の前記戻りステップ数と前記変更後ソースコードの前記対象関数の前記戻りステップ数の最小公倍数を前記判定ステップ数として算出する
   請求項１または請求項２に記載の等価性検査システム。
4. 前記判定ステップ数算出部は、前記戻りステップ数を算出するための算出コードを生成し、前記算出コードを解析して前記算出コードの処理を実行し、前記算出コードの解析結果に基づいて前記戻りステップ数を判定する
   請求項３に記載の等価性検査システム。
5. 前記算出コードは、上限ステップ数と同じ回数、前記対象関数を呼び出すための第１コードと、前記上限ステップ数と同じ回数分、前記影響状態変数の値が前記初期値と等しいという事後条件を判定するための第２コードと、を含む
   請求項４に記載の等価性検査システム。
6. 前記判定ステップ数算出部は、前記算出コードとして、１回目の算出コードと２回目以降の算出コードを生成し、
   前記１回目の前記算出コードは、前記第１コードと、前記第２コードと、前記上限ステップ数の終了時における前記影響状態変数の値を最終ステップの状態値として記録するための第３コードと、を含み、
   前記２回目以降の前記算出コードは、前記影響状態変数に前記最終ステップの前記状態値を設定するための第４コードと、前記第１コードと、前記第２コードと、前記第３コードと、を含み、
   前記判定ステップ数算出部は、前記１回目の前記算出コードを解析して前記戻りステップ数が求まらなかった場合、前記１回目の前記算出コードの解析のために確保された計算機リソースを解放し、前記２回目の前記算出コードの解析のために前記計算機リソースを確保し、前記２回目以降の前記算出コードを解析して前記戻りステップ数を求める
   請求項５に記載の等価性検査システム。
7. 前記等価性検査システムは、
   前記変更前ソースコードの前記対象関数と前記変更後ソースコードの前記対象関数とのそれぞれを前記判定ステップ数と同じ回数繰り返し呼び出すための判定コードを生成する判定コード生成部を備え、
   前記等価判定部は、前記判定コードを解析して前記判定コードの処理を実行し、前記変更前ソースコードの前記対象関数と前記変更後ソースコードの前記対象関数が等価であるか前記判定コードの解析結果に基づいて判定する
   請求項１から請求項６のいずれか１項に記載の等価性検査システム。
8. 前記判定コード生成部は、名前の衝突をなくした編集済みの前記変更前ソースコードと編集済みの前記変更後ソースコードと、編集済みの前記変更前ソースコードの前記対象関数と編集済みの前記変更後ソースコードの前記対象関数とのそれぞれの宣言が記述された判定ヘッダと、編集済みの前記変更前ソースコードの前記対象関数と編集済みの前記変更後ソースコードの前記対象関数とのそれぞれを前記判定ステップ数と同じ回数繰り返し呼び出すための判定ラッパーと、を前記判定コードとして生成する
   請求項７に記載の等価性検査システム。
9. 前記判定ラッパーは、前記判定ステップ数と同じ回数分の全てのステップで編集済みの前記変更前ソースコードの前記対象関数の入力値と編集済みの前記変更後ソースコードの前記対象関数の入力値が等しいという前提条件を指定するためのコードＡと、編集済みの前記変更前ソースコードの前記対象関数と編集済みの前記変更後ソースコードの前記対象関数とのそれぞれを前記判定ステップ数と同じ回数繰り返し呼び出すためのコードＢと、前記判定ステップ数と同じ回数分の全てのステップで編集済みの前記変更前ソースコードの前記対象関数の出力値と編集済みの前記変更後ソースコードの前記対象関数の出力値が等しいという事後条件を判定するためのコードＣと、を含む
   請求項８に記載の等価性検査システム。
10. 変更前ソースコードと変更後ソースコードとのそれぞれから、繰り返し呼び出される対象関数の出力値に影響を与える状態変数である影響状態変数を抽出する影響状態変数抽出処理と、
    前記変更前ソースコードにおいて前記対象関数が繰り返し呼び出され前記影響状態変数の値が初期値に戻り、且つ、前記変更後ソースコードにおいて前記対象関数が繰り返し呼び出され前記影響状態変数の値が初期値に戻る、という条件を満たす前記対象関数の呼び出し回数を判定ステップ数として算出する判定ステップ数算出処理と、
    前記変更前ソースコードの前記対象関数と前記変更後ソースコードの前記対象関数とのそれぞれを前記判定ステップ数と同じ回数繰り返し呼び出して、前記変更前ソースコードの前記対象関数と前記変更後ソースコードの前記対象関数が等価であるか判定する等価判定処理と、
    をコンピュータに実行させるための等価性検査プログラム。

Images