- Theorie der uninterpretierten

Transkript

1 Theorie der uninterpretierten Funktionen Entscheidungsverfahren mit Anwendungen in der Softwareverifikation STEPHAN FALKE INSTITUT FÜR THEORETISCHE INFORMATIK (ITI) 0 KIT 13. Universität Mai 2013 des S. Landes Falke Baden-Württemberg - Theorie der uninterpretierten und Funktionen ITI nationales Forschungszentrum in der Helmholtz-Gemeinschaft

2 Inhalt 1. Wieso uninterpretierte Funktionen? 2. Entscheidungsverfahren für uninterpretierte Funktionen 3. Gleichheitslogik 4. Von uninterpretierten Funktionen zu Gleichheitslogik 5. Entscheidungsverfahren für Gleichheitslogik Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

3 Theorie der uninterpretierten Funktionen Theorie (UF) Σ = {=, a, b, c,..., f, g, h,...} Axiome Ax: 1. x. x = x (Reflexivität) 2. x, y. x = y y = x (Symmetrie) 3. x, y, z. x = y y = z x = z (Transitivität) 4. für jedes n-stellige Funktionssymbol f Σ mit n > 0: x 1,..., x n, y 1,..., y n. n i=1 x i = y i f (x 1,..., x n ) = f (y 1,..., y n ) (Kongruenz) (Kongruenz) ist ein Axiomschema Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

4 Benutzung von uninterpretierten Funktionen Uninterpretierte Funktionen abstrahieren die Semantik von Funktionen Wenn eine Formel UF-unerfüllbar ist so ist sie auch T -unerfüllbar für jede Theorie T die UF erweitert ϕ ist UF-unerfüllbar Ax UF {ϕ} ist unerfüllbar = Ax T {ϕ} ist unerfüllbar ϕ ist T -unerfüllbar Vorteil: UF-Solver können sehr effizient implementiert werden, T -Solver können hohe Komplexität haben Insbesondere auch interessant wenn T unentscheidbar ist Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

5 Äquivalenz von Programmen Beispiel Sind die folgenden Funktionen äquivalent? uint fma1(uint x, uint y, uint z) { } return x + (y * z); uint fma2(uint x, uint y, uint z) { uint p = y * z; uint s = x + p; return s; Ist die folgende Formel gültig in Peano Arithmetik? (p = y z) (s = x + p) (s = x + (y z)) Ist die folgende Formel unerfüllbar in Peano Arithmetik? (p = y z) (s = x + p) (s = x + (y z)) Ist die folgende Formel UF-unerfüllbar? (p = mul(y, z)) (s = add(x, p)) (s = add(x, mul(y, z))) } Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

6 Äquivalenz- und Kongruenzrelationen Eine binäre Relation auf einer Menge M ist eine Äquivalenzrelation falls reflexiv, transitiv und symmetrisch ist Der Äquivalenzabschluß einer binären Relation R auf einer Menge M ist die kleinste Äquivalenzrelation auf M die R enthält Eine Äquivalenzrelation auf einer Menge M definiert eine Partition M/ bestehend aus Äquivalenzklassen [s] := {t M t s} Eine Äquivalenzrelation auf einer Menge M ist eine Kongruenzrelation falls ni=1 x i y i f (x 1,..., x n ) M f (y 1,..., y m ) M f (x 1,..., x n ) f (y 1,..., y n ) für alle n-stelligen Funktionssymbole f mit n > 0 gilt Der Kongruenzabschluß einer binären Relation R auf einer Menge M ist die kleinste Kongruenzrelation auf M die R enthält Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

7 Kongruenzabschluß als T -Solver für UF Sei ϕ eine Konjunktion von UF-Literalen (s = t oder (s = t)) Die Teiltermmenge S ϕ von ϕ enthält alle Teilterme die in ϕ auftreten Satz ϕ ist UF-erfüllbar gdw. es eine Kongruenzrelation auf S ϕ gibt s.d. s t für alle UF-Literale s = t in ϕ s t für alle UF-Literale (s = t) in ϕ Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

8 Beweis Satz ϕ ist UF-erfüllbar gdw. es eine Kongruenzrelation auf S ϕ gibt s.d. s t für alle UF-Literale s = t in ϕ s t für alle UF-Literale (s = t) in ϕ Betrachte die Struktur M: Universum S ϕ / = M := f M ([s 1 ],..., [s n ] ) := { [f (s1,..., s n )] falls f (s 1,..., s n ) S ϕ beliebig Dann ist M ein UF-Modell von ϕ Hausaufgabe falls f (s 1,..., s n ) S ϕ Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

9 Kongruenzabschluß als T -Solver für UF Algorithmus Eingabe: ϕ : s 1 = t 1... s n = t n (s 1 = t 1 )... (s m = t m) Ausgabe: UF-konsistent oder UF-inkonsistent Schritte: 1. Berechne den Kongruenzabschluß von {s 1 = t 1,..., s n = t n } auf der Teiltermmenge S ϕ 2. Falls s i t i für ein i, gib UF-inkonsistent aus 3. Andernfalls, gib UF-konsistent aus Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

10 Berechnung des Kongruenzabschluß Der Kongruenzabschluß von {s 1 = t 1,..., s n = t n } auf der Teiltermmenge S ϕ kann wie folgt berechnet werden: 1. Sei L = {{s i, t i } 1 i n} {{s} s S ϕ \ {s 1,..., s n, t 1,..., t n }} 2. Vereinige alle Mengen M 1, M 2 L mit M 1 M 2 = 3. Sei K = L {{f (s 1,..., s n ), f (t 1,..., t n )} ex. M i L mit s i, t i M i f (s 1,..., s n ) S ϕ f (t 1,..., t n ) S ϕ } 4. Vereinige alle Mengen M 1, M 2 K mit M 1 M 2 = 5. Falls K = L so setze L = K und gehe zu 3., sonst höre auf Konstruktion terminiert da S ϕ endlich ist Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

11 Beispiel ϕ : f (a, b) = a (f (f (a, b), b) = a) S ϕ = {a, b, f (a, b), f (f (a, b), b)} Berechnung des Kongruenzabschluß von auf der Teiltermmenge S ϕ : {f (a, b) = a} 1. { {a, f (a, b)}, {b}, {f (f (a, b), b)} } 2. { {a, f (a, b)}, {b}, {f (f (a, b), b)} } { {f (a, b), f (f (a, b), b)} } 3. { {a, f (a, b), f (f (a, b), b)}, {b}, {f (f (a, b), b)} } 4. { {a, f (a, b), f (f (a, b), b)}, {b} } Kongruenzabschluß ϕ ist UF-inkonsistent da f (f (a, b), b) a Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

12 Abstrakter Kongruenzabschluß Ersetzungssystem: Menge R von Regeln l r s R t gdw. s = C[l] und t = C[r] für einen Kontext C Ziel: Konstruktion eines Ersetzungssystems R welches den Kongruenzabschluß beschreibt R ist terminierend und konfluent s t gdw. s R = t R Gilt für beliebige s, t (nicht eingeschränkt auf die Teiltermmenge!) Zusätzlich zu Σ: disjunkte Menge U von Konstanten, geordnet durch C-Regel: c d für c, d U D-Regel: f (c 1,..., c n ) c für f Σ und c 1,..., c k, c U R wird durch ein Inferenzsystem aus {s 1 = t 1,..., s n = t n } erzeugt Zustände: (K, E, R) K U E Menge von Gleichheiten R Menge von Regeln Startzustand: (, {s 1 = t 1,..., s n = t n }, ) Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

13 Inferenzregeln 1 Extension (K, E[t], R) (K {c}, E[c], R {t c}) t c ist eine D-Regel und c U \ K Simplification (K, E[t], R {t c}) (K, E[c], R {t c}) Orientation (K {c}, E {t = c}, R) (K {c}, E, R {t c}) t U und t c oder t c ist eine D-Regel Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

14 Inferenzregeln 2 Deletion (K, E {t = t}, R) (K, E, R) Deduction (K, E, R {t c, t d}) (K, E {c = d}, R {t d}) Collapse (K, E, R {C[c] c, c d}) (K, E, R {C[d] c, c d}) C = Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

15 Beispiel Berechnung des abstrakten Kongruenzabschluß von Anwendung der Inferenzregeln: {a = b, f (f (a)) = f (b)} K E R Regel {a = b, f (f (a)) = f (b)} Extension {c 0 } {c 0 = b, f (f (a)) = f (b)} {a c 0 } Orientation {c 0 } {f (f (a)) = f (b)} {a c 0, b c 0 } Simplification 2 {c 0 } {f (f (c 0 )) = f (c 0 )} {a c 0, b c 0 } Extension {c 0, c 1 } {f (c 1 ) = f (c 0 )} {a c 0, b c 0, f (c 0 ) c 1 } Simplification {c 0, c 1 } {f (c 1 ) = c 1 } {a c 0, b c 0, f (c 0 ) c 1 } Orientation {c 0, c 1 } {a c 0, b c 0, f (c 0 ) c 1, f (c 1 ) c 1 } Gilt f (f (f (a))) f (b)? Ja, da f (f (f (a))) R = c 1 = f (b) R Gilt f (a) a? Nein, da f (a) R = c 1 = c 0 = a R Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

16 Eigenschaften Satz Alle Ableitungen (, E, ) (K 1, E 1, R 1 )... sind endlich Satz Sei (, E, ) (K 1, E 1, R 1 )... (K n, E n, R n ) eine maximale Ableitung E n = R n beschreibt den Kongruenzabschluß von E Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

17 Gleichheitslogik Gleichheitslogik ist ein Fragment von UF Formeln enthalten nur Variablen, keine komplizierteren Terme Alternativer Ansatz: Theorie (Gleichheitslogik) Σ = {=} Axiome Ax: 1. x. x = x (Reflexivität) 2. x, y. x = y y = x (Symmetrie) 3. x, y, z. x = y y = z x = z (Transitivität) Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

18 Von UF nach Gleichheitslogik Ziel: transformiere UF-Formel ϕ UF in eine erfüllbarkeitsäquivalente Gleichheitslogik-Formel ϕ E ϕ E hat die Form flat E FC E flat E ersetzt maximale Teilterme in ϕ UF durch Variablen FC E erzwingt Kongruenz Beispiel UF-Formel ϕ UF : x = y (f (x) = f (y)) flat E : x = y (f x = f y ) f x und f y sind neue Variablen FC E : x = y f x = f y Falls x und y gleich sind so sind auch f (x) und f (y) gleich Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

19 Ackermanns Reduktion Algorithmus Eingabe: UF-Formal ϕ UF Ausgabe: Erfüllbarkeitsäquivalente Gleichheitslogik-Formel ϕ E Schritte: 1. Nummeriere Teilterme der Form f (...) 2. Sei F i der i-te Teilterm der Form f (...) und sei arg j (F i ) sein j-tes Argument 3. Generiere flat E aus ϕ UF indem alle Atome der Form F i = G j durch F i = Ĝj für neue Variablen F i, Ĝj ersetzt werden 4. Generiere FC E als Konjunktion aus Formeln der Form n j=1 arg j (F i ) = arg j (F k ) F i = F k für alle i < k wenn f die Stelligkeit n mit n > 0 hat 5. Gib flat E FC E aus Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

20 Beispiel ϕ UF : G 1 {}}{ x = y (f (f ( g(x)) }{{} F 1 ) } {{ } F 2 G 2 {}}{ = f (f ( g(y)) ) }{{} F 3 ) } {{ } F 4 flat E : x = y (f 2 = f 4 ) FC E : x = y g 1 = g 2 g 1 = f 1 f 1 = f 2 g 1 = g 2 f 1 = f 3 g 1 = f 3 f 1 = f 4 f 1 = g 2 f 2 = f 3 f 1 = f 3 f 2 = f 4 g 2 = f 3 f 3 = f Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

21 T -Solver für Gleichheitslogik Satz ϕ ist Gleichheitslogik-erfüllbar gdw. es eine Äquivalenzrelation auf V (ϕ) gibt so dass x y für alle Literale x = y in ϕ x y für alle Literale (x = y) in ϕ Algorithmus Eingabe: ϕ : x 1 = y 1... x n = y n (x 1 = y 1 )... (x m = y m) Ausgabe: konsistent oder inkonsistent Schritte: 1. Berechne den Äquivalenzabschluß von {x 1 = y 1,..., x n = y n } auf V (ϕ) 2. Falls x i y i für ein i, gib inkonsistent aus 3. Andernfalls, gib konsistent aus Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

22 Berechnung des Äquivalenzabschluß Der Äquivalenzabschluß von {x 1 = y 1,..., x n = y n } auf V (ϕ) kann wie folgt berechnet werden: 1. L = {{x i, y i } 1 i n} {{x} x V (ϕ) \ {x 1,..., x n, y 1,..., y n }} 2. Vereinige alle Mengen M 1, M 2 L mit M 1 M 2 = Konstruktion terminiert da V (ϕ) endlich ist Beispiel Der Äquivalenzabschluß von {x 1 = x 2, x 3 = x 4, x 4 = x 1 } auf den Variablen {x 1, x 2, x 3, x 4, x 5 } wird wie folgt berechnet: 1. { {x 1, x 2 }, {x 3, x 4 }, {x 4, x 1 }, {x 5 } } 2. { {x 1, x 2, x 4 }, {x 3, x 4 }, {x 5 } } 3. { {x 1, x 2, x 3, x 4 }, {x 5 } } Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

23 Union-Find Algorithmus Idee: Stelle die Äquivalenzklassen als Bäume dar Wurzel eines Baums ist Repräsentant der Äquivalenzklasse Pseudocode: function MakeSet(x) x.parent := x function Find(x) if x.parent == x return x else return Find(x.parent) function Union(x, y) xroot := Find(x) yroot := Find(y) xroot.parent := yroot x und y sind äquivalent gdw. Find(x) == Find(y) Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

24 Äquivalenzabschluß mittels Union-Find Der Äquivalenzabschluß von {x 1 = y 1,..., x n = y n } auf V (ϕ) kann wie folgt berechnet werden: 1. führe MakeSet(x) für alle x V (ϕ) aus 2. führe Union(x i, y i ) für alle 1 i n aus Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

25 Beispiel Der Äquivalenzabschluß von {x 1 = x 2, x 3 = x 4, x 4 = x 1 } auf {x 1, x 2, x 3, x 4, x 5 } wird wie folgt berechnet: 1. Nach Ausführung von MakeSet(x) für alle x {x 1, x 2, x 3, x 4, x 5 }: x 1 x 2 x 3 x 4 x 5 2. Nach Ausführung von Union(x 1, x 2 ): x 1 x 2 x 3 x 4 x 5 3. Nach Ausführung von Union(x 3, x 4 ): x 1 x 2 x 3 x 4 x 5 4. Nach Ausführung von Union(x 4, x 1 ): x 1 x 2 x 3 x 4 x Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

26 SAT-Reduktion von Gleichheitslogik Der Äquivalenzabschluß erzeugt eine Partitionierung der Variablen Für n Variablen hat jede Partitionierung höchstens n Elemente Formalisierung dieser Beobachtung: Satz Eine erfüllbare Gleichheitslogik-Formel mit n Variablen hat ein Modell mit höchstens n Elementen Idee: Ersetze Variable x durch N := log n aussagenlogische Variablen x 1,..., x N ( bits ) x = y wird ersetzt durch (x 1 y 1 )... (x N y n ) n log n bits, Zustandsraum der Größe 2 n log n n n Verfeinerung des Ansatzes erzeugt Zustandsraum der Größe n! Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI

27 Beispiel Gleichheitslogik-Formel: x 1 = x 2 [x 2 = x 3 (x 1 = x 4 )] x 2 = x 4 4 Variablen, 2 bits pro Variable SAT-Formel: ((x 1,1 x 2,1 ) (x 1,2 x 2,2 )) [((x 2,1 x 3,1 ) (x 2,2 x 3,2 )) ((x 1,1 x 4,1 ) (x 1,2 x 4,1 ))] ((x 2,1 x 4,1 ) (x 2,2 x 4,2 )) Mai 2013 S. Falke - Theorie der uninterpretierten Funktionen ITI