16、基于k-归纳和不变式的嵌入式C软件模型检查

基于k-归纳和不变式的嵌入式C软件模型检查

1. 引言

基于布尔可满足性（SAT）或可满足性模理论（SMT）的有界模型检查（BMC）技术，已成功应用于验证单线程和多线程程序，并在实际程序中发现细微的错误。BMC技术的核心思想是在给定深度下检查给定属性的否定。具体而言，对于一个转换系统M、一个属性φ和迭代限制k，BMC会将系统展开k次，并将其转换为验证条件（VC）ψ。当且仅当φ存在深度小于或等于k的反例时，ψ才是可满足的。

不过，BMC技术通常只能在给定深度k内证伪属性，除非知道k的上界（即能将所有循环和递归函数展开到最大可能深度的界限），否则无法证明系统的正确性。BMC技术会限制数据结构（如数组）的访问区域和循环迭代次数，这虽然限制了验证过程中需要探索的状态空间，使得能够发现应用程序中的实际错误，但对于循环界限过大或无法静态确定的程序，BMC工具容易耗尽时间或内存。

例如下面这个简单程序：

1 unsigned int x=∗;
2 while(x>0) x−−;
3 assert(x==0);

在这个程序中，第2行的循环会根据第1行赋给x的初始非确定性值运行未知次数。第3行的断言独立于x的初始值成立。然而，像CBMC、LLBMC或ESBMC这样的BMC工具通常无法验证包含此类循环的程序。为了保证正确性，它们需要在循环结束时插入所谓的展开断言（即否定的循环界限），如下所示：

1 unsigned int x=∗;
2 if (x>0)
3    x−−;
// k copies
4 ...