Transcrição

1 Aplicando verificação de modelos baseada nas teorias do módulo da satisfabilidade para o particionamento de hardware/software em sistemas embarcados (Resumo) Alessandro Bezerra Trindade Programa de Pós-Graduação em Engenharia Elétrica (PPGEE) Universidade Federal do Amazonas (UFAM). Orientador: Lucas Carvalho de Cordeiro (FT - UFAM) Av. Rodrigo Otávio Jordão Ramos, 3000, Campus Universitário, Manaus AM, Brasil {alessandrotrindade}@ufam.edu.br Abstract. When performing hardware/software co-design for embedded systems, does emerge the problem of allocating properly which functions of the system should be implemented in hardware (HW) or in software (SW). This problem is known as HW/SW partitioning. We present a new approach to solve the HW/SW partitioning problem by using SMT-based verification techniques, which is primarily used to perform software correctness analysis. Here, the goal is to show that model checking techniques can be effective, in particular cases, to find the optimal solution of the HW/SW partitioning problem using a stateof-the-art software model checkers, when compared to traditional techniques. Resumo. Quando se realiza um coprojeto de hardware/software para sistemas embarcados, emerge o problema de se decidir qual função do sistema deve ser implementada em hardware (HW) ou em software (SW). Este tipo de problema recebe o nome de particionamento de HW/SW. Neste trabalho, utiliza-se a técnica de verificação formal baseada nas teorias do módulo da satisfabilidade (SMT), para resolver o particionamento de HW/SW. O objetivo é demonstrar que a técnica de verificação de modelos pode ser efetiva, em casos particulares, para encontrar a solução ótima do problema de particionamento de HW/SW, quando comparado com as técnicas tradicionais. 1. Introdução A complexidade dos sistemas computacionais não cessa de crescer e a demanda para encurtar o tempo de um produto chegar ao mercado causa problemas desafiadores para os projetistas. Esses sistemas possuem partes dos componentes implementados em hardware (HW) e outras partes em software (SW). Componentes em HW são muito mais rápidos, entretanto são significativamente mais caros. Os componentes de SW são mais baratos de criar e manter, mas são mais lentos. Durante o coprojeto de HW/SW (HSCD) o passo mais crítico é o particionamento: escolher quais componentes devem ser colocados em HW ou em SW, para atendimento das restrições de desempenho e preço. Na primeira geração de coprojeto, a plataforma é a de uma única unidade central de processamento (CPU) e de um único ASIC, ambos se comunicando por um barramento e usando memória compartilhada ou buffers, Arató et al. (2003). Neste trabalho é apresentada a aplicação de um método de verificação de modelos baseado em Teorias do Módulo da Satisfabilidade (Satisfability Modulo Theories ou SMT) para resolver o problema do particionamento de HW/SW e então comparar os resultados com técnicas tradicionais de otimização, programação linear inteira (ILP) e algoritmo genético (GA).

2 Métodos formais baseados em verificação de modelos oferecem grande potencial para se obter uma verificação efetiva e rápida. Um verificador de modelo analisa um código onde cada componente do sistema, especificado por meio de objetivos claros e requisitos, é explorado sistematicamente em todos os seus estados até que uma violação ocorra, um defeito (ou bug) seja encontrado. Trazendo o conceito para o particionamento de HW/SW, o objetivo passa a ser a minimização do custo de HW e os requisitos vem do custo de SW, então, ao invés do verificador parar quando encontrar um erro no código, o algoritmo proposto só termina quando encontra o resultado ótimo do particionamento. E ao apresentar o estado que causou a violação, o valor da solução passam a ser conhecido. 1.1 Contribuições Salvo melhor juízo ou convicção, a proposta apresentada foi o primeiro trabalho na qual se usa uma ferramenta de verificação de modelos baseada em Teorias do Módulo da Satisfabilidade para resolver um problema de particionamento. A proposta foi implementada com a ferramenta ESBMC (Efficient SMT-Based Bounded Model Checker), baseado em Cordeiro et al. (2012). O trabalho provou que é possível usar ferramenta de verificação de modelos para resolver problemas de particionamento de HW/SW, sem que nenhuma adaptação se faça na ferramenta. Uma contribuição secundária residiu na avaliação do valor inicial do custo de software na otimização, o que não foi feito em trabalhos similares. Buscou-se melhoraria no desempenho das técnicas Desafios Um primeiro desafio foi desenvolver a modelagem matemática para o coprojeto, pois os artigos relacionados não o detalham. Um segundo desafio foi desenvolver algoritmos, tanto para a técnica da dissertação quanto para as ferramentas comerciais, a fim de resolver o problema de particionamento. Um terceiro desafio foi ter acesso aos benchmarks utilizados por trabalhos similares para fins comparativos. E o desafio final foi estabelecer a melhor plataforma de testes, pois todas as ferramentas comerciais são disponíveis em mais um sistema operacional, o que demandou vários testes empíricos. 2. Modelagem matemática 2.1. Modelagem informal ou Premissas O modelo possui cinco características, Arató et al. (2003): Há apenas um contexto de SW e apenas um contexto de HW, ou seja, os componentes do sistema só podem ser mapeados para um dos dois contextos (coprojeto de primeira geração segundo Teich, 2012); A implementação em SW de um componente tem um custo relacionado com o tempo de execução deste componente; A implementação em HW de um componente tem um custo (área, dissipação de calor ou consumo de energia); Como o HW é significante mais rápido do que o SW, o tempo de execução de um componente em HW é considerado zero; Se dois componentes são mapeados para o mesmo contexto, então não há overhead de comunicação Modelagem formal Um grafo simples direcionado = (, ), chamado de grafo de tarefas do sistema ou DAG se faz necessário. Os vértices = {,,, } representam os nodos que são os componentes do sistema a ser particionado. As arestas () representam as comunicações

3 entre os componentes. Cada nodo tem um custo h( ) (ou h ) de hardware (se implementado em HW) e um custo ( ) (ou ) de software (se implementado em SW). (, ) representam o custo de comunicação entre e, se forem implementados em contextos diferentes (HW ou SW). Baseado em Arató et al. (2003), é chamado de partição de HW-SW se é uma bipartição de : = (, ), onde = e =. As arestas cruzadas são =, :, ou, #. O custo de hardware de é dado pela Eq. (1), e o custo de software de é dado pela Eq. (2): $ = % h & ' ( ) (1) + = % & ' (, + % ( (& ', &. ) /0, ) (2) O problema de otimização usado neste trabalho é o mais encontrado em sistemas de tempo real, no qual o custo de software inicial é dado. Busca-se encontrar uma partição P de HW-SW tal que SP S0 e o HP seja mínimo. Com relação a complexidade deste tipo de problema, Arató et al. (2003) demonstraram que é NP-Hard. Para o algoritmo, é necessário usar a matriz incidente transporta de G, chamada de E[i,j], onde cada elemento desta matriz assume valor -1 (se a aresta i começa no nodo j) ou 1 (se a aresta i termina no nodo j) ou ainda 0 (se a aresta i não é incidente ao nodo j). Há a ainda um vetor binário que indica a partição, o x[i], podendo assumir o valor 1 se o nodo i for particionado para HW ou 0 se for particionado em SW. O problema de otimização é então formulado como: Sujeito a restrição: h 9 (3) (1 <) + < +? (4) Devido ao módulo na Eq. (4), as ferramentas comerciais demandam que se efetue o uso de variáveis auxiliares (do tamanho do número de arestas do grafo G) para remover este operador, chegando-se a uma nova formulação para as restrições: (1 <) + A +? (5) 9 A (6) 9 A (7) 3. Solução do problema de particionamento 3.1. Algoritmos de Verificação usando ILP e GA Foram criados scripts no software comercial MATLAB, conforme MathWorks (2013), utilizando-se os valores default para os parâmetros das funções ga e bintprog, com exceção de um parâmetro do GA, modificado para garantir melhor precisão: o tamanho da população inicial foi mudado de 20 para 300 indivíduos (ensaio empírico) Algoritmo de Verificação usando o ESBMC Conforme Fig. 1, o ESBMC começa com o código a ser verificado escrito em C/C++. Em seguida, o ESBMC realiza um scan (ou lexer) no programa, transformando o código em

4 uma lista de fichas (tokens). Em seguida, um parse transforma as fichas em uma árvore de sintaxe. Para se chegar ao grafo de fluxo de controle (ou programa goto), deve-se informar as propriedades que serão verificadas. E isso é configurável no ESBMC através de parâmetros na linha de comando. Para o problema de particionamento, as verificações padrões podem ser facilmente suprimidas. Para o problema de particionamento, deve-se incluir uma assertiva que irá controlar a solução do problema. O resultado desta etapa é um código que substitui os loops por gotos. Em seguida, ocorre uma execução simbólica do programa goto, gerando-se a SSA (static single assignment). Em seguida, fórmulas que correspondem às condições de verificação são geradas a partir da SSA e passadas para o solucionador, que por sua vez irá verificar a satisfabilidade destas fórmulas. Figura 1. Visão geral do ESBMC (Fonte: autoria própria) Na Dissertação, foram desenvolvidos e avaliados dois algoritmos: um com variáveis auxiliares, o ESBMC-1, com as mesmas equações usadas pelo ILP e GA (Eq. 3, 5, 6 e 7); o ESBMC-2 que usa o módulo da modelagem matemática (Eq. 3 e 4) e está descrito na Fig. 2. Pela sua característica de verificador de modelos, é possível definir com que tipo de valores as variáveis serão avaliadas (linha 8). Um loop é usado para permitir o uso de um valor de referência, TipH, ou estimativa do custo de hardware, começando de zero e indo até o valor no qual os nodos seriam todos particionados para HW (Hmax). Em seguida, há a declaração para a ferramenta povoar as variáveis com valores booleanos não-determinísticos (linha 10). Estes valores mudarão a cada verificação, buscando uma possível solução do problema, com o ASSUME garantindo o atendimento das restrições. Na linha 14 um ASSERT controla a condição de parada, verificando a função objetivo. Se o ASSERT retornar uma condição de VERDADEIRO, ou seja, o custo do HW encontrado (Hp) for maior que TipH, então o verificador reinicia, incrementando TipH e uma nova possível solução é gerada e verificada até que ASSERT gere uma condição de FALSO. Uma condição de FALSO no tempo de execução aborta a execução do ESBMC e este apresenta o contraexemplo que causou a parada. Neste ponto a solução é apresentada (o custo do HW), pois o ESBMC não conseguiu achar um valor de particionamento maior do que TipH, que representa o custo ótimo de HW Inicializar variáveis Declarar o número de nodos e arestas Declarar custo de hardware de cada nodo como um vetor (h) Declarar o custo de software de cada nodo como um vetor (s) Declarar o custo de comunicação de cada aresta como um vetor (c) Declarar o custo do software inicial (S 0)

5 Declarar a matriz incidental transposta do grafo G (E) Definir as variáveis de solução (x i) como Booleanas PARA TipH DE 0 ATÉ Hmax [PASSO 1] FAÇA { Povoar x i com valores não determinísticos / valores de teste Calcular s(1-x)+c* E*x e armazenar na variável restrição Realizar teste ESBMC (comando ASSUME) para o requisito restrição S 0 Calcular o custo do particionamento de HW (H P) encontrado em função dos valores de x i Verificação de violação com ASSERT (H P > TipH) } Figura 2. Pseudocódigo do ESBMC Algoritmo 2 (ESBMC-2) (Fonte: autoria própria) 4. Resultados Os resultados foram divididos em duas partes: uma com vetores de teste de autoria própria para avaliar o impacto de S0 no desempenho; e outra com S0 fixo e benchmarks. Variando S0: Para cada número de nodos avaliado (10, 25, 50 e 100), cinco diferentes valores equidistantes de S0 foram selecionados, indo desde zero (tudo particionado para hardware) a um valor onde todos os nodos são alocados em software. Para o particionamento de 10 nodos, verificou-se que ESBMC-1 e ESBMC-2 são as melhores opções. Iniciando com 25 nodos ILP teve melhor desempenho. Com relação ao ESBMC, o algoritmo ESBMC-2 foi mais rápido. O GA apresentou o melhor desempenho com mais de 25 nodos, mas com um erro de 8,7% a até 51% em relação a solução exata. Testes de benchmark: Foram usados sete vetores de teste, Mann et al. (2007). Os benchmarks, disponíveis na página vão de 25 a 417 nodos. De maneira geral o desempenho demonstrado pela técnica ILP nos benchmarks foi o melhor. GA foi a única técnica que conseguiu resolver todos os benchmarks, mas o erro da solução chegou a -31,5%. O ESBMC-2 teve um desempenho melhor do que o ESBMC-1, obtendo a solução em menos tempo (de 3,4 a 10,5 vezes mais rápido). Até 150 nodos, o ESBMC- 2 se mostrou uma boa escolha para resolver o problema de particionamento. Quando a complexidade dos vetores de teste aumentou, o ESBMC-1 apresentou memory out. Iniciando em 261 nodos, o ESBMC-2 também foi incapaz de achar a solução, pois excedeu o limite de tempo. 5. Trabalhos relacionados Começando em 2003, três caminhos foram seguidos para o problema de otimização relacionado ao particionamento de HW-SW: buscou-se a solução exata do problema, conforme Arató et al. (2003); ou utilizou-se de heurísticas para aumentar o desempenho dos algoritmos, conforme Mann et al. (2007); ou ainda se buscou soluções híbridas, conforme Arató et al. (2005). A técnica da Dissertação pertence ao grupo da solução exata. Quanto à verificação baseada em SMT, Ramalho et al. (2013) apresenta um verificador de modelos de contexto limitado para programas escritos em C++, que é a evolução da versão original em ANSI-C. Cordeiro et al. (2012) usam um verificador de modelos ESBMC para software embarcado em ANSI-C. Entretanto, nenhum dos trabalhos relacionados trabalhou com particionamento de HW/SW ou otimização. 6. Conclusões Foi demonstrada a viabilidade de se usar a técnica de verificação de software para resolver problemas de particionamento de HW/SW. No entanto, nenhuma das técnicas

6 empregadas conseguiu particionar mais do que 400 nodos. Abaixo de 400 componentes, a técnica ILP apresentou melhor resultado no geral. Com relação ao ESBMC, este se mostrou uma ótima alternativa para resolver problemas com até 150 nodos. Comparativamente as demais soluções comerciais, o ESBMC apresenta uma licença do estilo BSD e pode ser utilizado sem custo. O valor inicial do custo de software S0 causou grande impacto nos resultados. Se for escolhido um valor extremo, com a maior quantidade dos componentes em HW ou em SW, então o tempo de solução é bem menor. 7. Resultados Relevantes Alcançados O trabalho desenvolvido abriu espaço para mais uma Dissertação de Mestrado e a exploração de possibilidades de se aumentar o desempenho do uso do ESBMC como ferramenta de otimização, seja por mudança de solvers quanto pelo uso de multiprocessamento para aproveitar os núcleos dos processadores atuais. 8. Artigos Publicados Trindade, A.; and Cordeiro, L. (2014), Aplicando Verificação de Modelos para o Particionamento de Hardware/Software, in Anais do IV Simpósio Brasileiro de Engenharia de Sistemas Computacionais (SBESC), pp Trindade, A., Ismail, H., and Cordeiro. L. (2015). Applying Multi-Core Model Checking to Hardware-Software Partitioning in Embedded Systems (short paper), in V Brazilian Symposium on Computing Systems Engineering, pp Trindade, A.; and Cordeiro, L. (2016), Applying SMT-based verification to hardware/software partitioning in embedded systems, in Design Automation for Embedded Systems (DAES), March 2016, Volume 20, Issue 1, pp Referências Arató, P., Juhász, S., Mann, Z., Orbán, A., and Papp, P. (2003), Hardware/software partitioning in embedded system design, in Proceedings of the IEEE international symposium of intelligent signal processing, pp Arató, P., Mann, Z., and Orbán, A. (2005), Algorithmic aspects of hardware/software partitioning, in Design Automation of Electronic Systems DAES 10, pp Cordeiro, L., Fischer, B., and Marques-Silva, J. (2012), SMT-based bounded model checking for embedded ANSI-C software, IEEE Transactions on Software Engineering, 38, (4), pp Mann, Z., Orbán, A., and Arató, P. (2007), Finding optimal hardware/software partitions, in Formal Methods in System Design 31: pp Springer S+B. Ramalho, M., Freitas, M., Sousa, F., Marques, H., Cordeiro, L., and Fischer B. (2013), SMT-based bounded model checking of C++ programs, in Intl. Conf. and Workshops on the Engineering of Computer-Based Systems (ECBS), pp Teich, T. (2012). Hardware/Software Codesign: The Past, the Present, and Predicting the Future, Proceedings of the IEEE, Vol. 100, May 13th, pp The MathWorks, Inc. (2013). MATLAB (version R2013a). Natick, MA.