1.Introduction
上一篇blog我介绍了目前flow-sensitive pointer analysis常用的SFS算法。相比IFDS-based方法,SFS显著通过稀疏分析提升了效率,但是其内部依旧有许多冗余计算,留下了很大优化空间。
以下图为例,其内容展示的是基于Andersen计算的SVFG,当前Andersen分析的结果中 pts(p) = {o}
, pts(q) = {a}
, pts(r) = {b}
。其中图中5个代码块分别对应2个 store
指令 l1: *p = q
和 l2: *p = r
以及3个 load
指令 l3: x = *_
、l4: y = *_
、l5: z = *_
。其中 l3
, l4
, l5
加载的指针都可能指向 o
。图中存在value-flow edge包括:
l
1
→
o
l
3
l_1 \stackrel{o}{\rightarrow} l_3
l1→ol3,
l
1
→
o
l
4
l_1 \stackrel{o}{\rightarrow} l_4
l1→ol4,
l
1
→
o
l
5
l_1 \stackrel{o}{\rightarrow} l_5
l1→ol5,
l
2
→
o
l
4
l_2 \stackrel{o}{\rightarrow} l_4
l2→ol4,
l
2
→
o
l
5
l_2 \stackrel{o}{\rightarrow} l_5
l2→ol5,
l
1
→
o
l
2
l_1 \stackrel{o}{\rightarrow} l_2
l1→ol2。
根据SFS算法,每个 store
指令需要IN和OUT集合保存incoming和outgoing pointer information,将address-taken variable映射为指向的address-taken variable集合。而 load
指令则需要一个IN集合。下图左上部分为SFS分析上图SVFG时涉及到的point-to map,
p
t
l
1
∣
(
o
)
pt_{l_1|}(o)
ptl1∣(o) 表示address-taken variable
o
o
o 在
l
1
l_1
l1 出口处的point-to map,
p
t
∣
l
2
(
o
)
pt_{|l_2}(o)
pt∣l2(o) 为
o
o
o 在
l
2
l_2
l2 入口处的point-to map。这里
l
1
l_1
l1 的出口处可直达
l
2
l_2
l2 出口处,不管怎么迭代多少轮,
p
t
l
1
∣
(
o
)
pt_{l_1|}(o)
ptl1∣(o) 和
p
t
∣
l
2
(
o
)
pt_{|l_2}(o)
pt∣l2(o) 的值恒等,因此可以合并到一起,不用多个map保存,其它的point-to map同理类似。
作者因此提出Versioned Staged Flow-Sensitive Pointer Analysis (VSFS),首先通过pre-analysis分析object的version,随后压缩point-to map数量,经过压缩后可将6个point-to map压缩到3个。
压缩后的point-to map会被赋予version id,可用来获取对应的point-to map,这里version
k
1
k_1
k1 对应
l
1
l_1
l1 出口处和
l
2
l_2
l2,
l
3
l_3
l3 入口处
o
o
o 的version。
k
1
⋄
k
2
k_1 \diamond k_2
k1⋄k2 表示合并
k
1
k_1
k1、
k
2
k_2
k2 version的结果。
2.Approach
2.1.相关概念
定义:
-
C l ( o ) C_l(o) Cl(o),表示address-taken variable o o o 在指令 l l l 的入口处consume的version,返回的是version,也就是入口处version。
-
Y l ( o ) Y_l(o) Yl(o),表示address-taken variable o o o 在指令 l l l 的出口出yield的version,返回version。
一切point-to set都需要通过version访问,因此VSFS的分析过程满足下面关系:
-
C l ( o ) = C l ′ ( o ) ⇒ p t ∣ l ( o ) = p t ∣ l ′ ( o ) C_l(o) = C_{l^{'}}(o) \Rightarrow pt_{|l}(o) = pt_{|l^{'}}(o) Cl(o)=Cl′(o)⇒pt∣l(o)=pt∣l′(o)
-
C l ( o ) = Y l ′ ( o ) ⇒ p t ∣ l ( o ) = p t l ′ ∣ ( o ) C_l(o) = Y_{l^{'}}(o) \Rightarrow pt_{|l}(o) = pt_{l^{'}|}(o) Cl(o)=Yl′(o)⇒pt∣l(o)=ptl′∣(o)
-
Y l ( o ) = Y l ′ ( o ) ⇒ p t l ∣ ( o ) = p t l ′ ∣ ( o ) Y_l(o) = Y_{l^{'}}(o) \Rightarrow pt_{l|}(o) = pt_{l^{'}|}(o) Yl(o)=Yl′(o)⇒ptl∣(o)=ptl′∣(o)
前面的示例中, Y l 1 ( o ) = C l 2 ( o ) = C l 3 ( o ) = k 1 Y_{l_1}(o) = C_{l_2}(o) = C_{l_3}(o) = k_1 Yl1(o)=Cl2(o)=Cl3(o)=k1,而 C l 4 ( o ) = C l 5 ( o ) = k 1 ⋄ k 2 C_{l_4}(o) = C_{l_5}(o) = k_1 \diamond k_2 Cl4(o)=Cl5(o)=k1⋄k2,表示接受了来自version k 1 k_1 k1 和 k 2 k_2 k2 的信息。
version之间的运算满足下面定律
作者这里用unsigned interger来表示version。在LLVM IR中只有 store
和
Φ
\Phi
Φ 指令可能生成新的version(store
是因为flow-sensitive分析之前无法确定该指令是否会修改对应address-taken variable的指向,因此保守认为会产生新的version,
Φ
\Phi
Φ 指令则是进行合并操作产生新version。)
version分析可分为prelabel和meld 2个阶段,prelabel类似初始化,meld类似传播分析,prelabel之前每个指令(store
, load
对应的version id都会被设置为
ε
\varepsilon
ε),prelabel对应的规则如下图所示:
-
n v ( o ) nv(o) nv(o) 表示给 Y l ( o ) Y_l(o) Yl(o) 分配新的version
-
p t a ( p ) pt^a(p) pta(p) 则是AUX(Andersen)分析的 p p p 的point-to map
-
δ ( l ) \delta(l) δ(l) 表示指令 l l l 要么是间接调用指令,或者是可能被间接调用的函数的入口指令,这里用到的是AUX分析出的间接调用结果(paper中给出的形式化描述有点晦涩难懂,看SVF代码分析的)。
Meld阶段对应的传播规则如下:
-
[ I N T E R N A L ] V [INTERNAL]^V [INTERNAL]V 对应的是非
store
指令内部的传播规则,即该指令IN和OUT处version一致。 -
[ E X T E R N A L ] V [EXTERNAL]^V [EXTERNAL]V 对应的是value-flow edge两端的指令之间的传播规则
2.2.VSFS
完整的传播规则如下图所示,红框中标出的为VSFS相比SFS改进的部分,传播过程的多了查询version的步骤。
下面这张图是SFS中
store
指令的传播规则,其中的框则为VSFS规则中对应修改的部分:
3.Evaluation
作者用了15个open-source project,用clang-10与wllvm在 o3 level下将project编译为LLVM IR。
与SFS的性能对比如下图所示,论时间开销平均分析速度相比SFS快了5.31倍,最高加速达到26.22,论内存开销平均节省了2.11倍,最高节省了5.46倍。