Des preuves aux circuits - Conception d'architectures prédictibles RISC-V formellement vérifiées

From Proofs to Chips – Designing Formally Verified Predictable RISC-V Cores

• Auteur / Autrice : Lilia Rouizi
• Direction : Mihail Asavoae
• Type : Projet de thèse
• Discipline(s) : Informatique
• Date : Inscription en doctorat le 23/11/2023
• Etablissement(s) : université Paris-Saclay
• Ecole(s) doctorale(s) : École doctorale Sciences et technologies de l'information et de la communication
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'intégration de systèmes et de technologies
• Partenaire(s) de recherche : Référent : Faculté des sciences d'Orsay

Mots clés

Mots clés libres

Méthodes formelles

L'analyse temporelle

Pipelines

L'assistant de preuve Coq

Conception d'architecture

Hardware design

Pipelines

Formal methods

Coq framework

Timing analysis

Résumé

Les initiatives pour du matériel libre (open-source hardware) pour la conception d'architectures de calcul, comme l'architecture RISC-V, font pression pour remplacer les méthodes traditionnelles de développement de matériel, car elles proposent des outils et des méthodologies pour accélérer le processus de conception. Il n'y a pas que la productivité qui compte, il est également important que les conceptions proposées répondent aux besoins spécifiques du domaine. Par exemple, les domaines de l'automobile ou de l'avionique exigent que le comportement temporel soit garanti, car les délais ne doivent pas être dépassés. La présence d'un phénomène connu, appelé anomalie temporelle (c'est-à-dire un comportement temporel indésirable), complique l'analyse visant à garantir ces délais. Intuitivement, une anomalie temporelle se manifeste lorsqu'une exécution localement plus rapide ne conduit pas à une exécution globalement plus longue. Une définition récente des anomalies temporelles formalise ce comportement en utilisant un concept de causalité. Une façon d'aborder le problème des anomalies temporelles est de concevoir un matériel prédictible (c'est-à-dire exempt d'anomalie temporelle), d'une manière systématique et fiable. Cette méthodologie est la suivante : premièrement, on utilise un langage de description de matériel (HDL) spécialisé et intégré dans un cadre de vérification formelle afin de concevoir les caractéristiques de matériel à base d'architecture RISC-V. Ensuite, on énonce et prouve les propriétés du matériel conçu, par exemple pour démontrer qu'il est exempt d'anomalies temporelles. Enfin, on génère un code matériel polyvalent (par exemple Verilog) pour FPGA ou implémentation sur silicium. Cette thèse vise à développer une telle méthodologie pour les cœurs RISC-V, corrects par construction, facilement déployables dans les systèmes critiques. Deux contributions principales sont attendues : - explorer le compromis entre la prédictibilité temporelle du matériel et les performances du matériel, lors de l'encodage d'une définition formelle des anomalies temporelles à l'état de l'art au sein d'une conception matérielle formelle (c'est-à-dire un pipeline). Cette définition inclut le nouveau concept de causalité pour exprimer formellement l'anomalie temporelle. - d'explorer le compromis entre la prédictibilité du matériel et le support du logiciel (au niveau ISA), qui survient lorsque certaines menaces de prédictibilité sont encore possibles de la conception mais que leur impact est atténué par une compilation pour la prédictibilité. Plusieurs solutions sont possibles, en fonction des types de mécanismes matériels qui doivent être pris en compte lors de la conception. Ces contributions devront être développées dans le système de preuve Coq. La définition formelle des anomalies temporelles, qui est basée sur le concept clé de causalité, devra également faire l'objet des compromis susmentionnés. Enfin, le support au niveau ISA de la prédictibilité temporelle pourra être développé sur le compilateur formellement vérifié, CompCert.

Open-source initiatives for hardware design, like RISC-V, are pressing to replace traditional hardware development methods, as they propose tools and methodologies to speed-up the design process. It is not only the productivity that matters, it is also important that the proposed designs address domain-specific needs. For example, the automotive or avionics domains demand that timing behavior is strongly guaranteed as it is unacceptable that timing deadlines are missed. The presence of the known phenomenon called timing anomaly (i.e. undesired timing behavior) complicate the analysis to guarantee these deadlines. A way to tackle this problem of timing anomalies is to design a predictable hardware (i.e. anomaly-free), in a systematic and trustworthy way. More specifically, this methodology is like this: use a specialized Hardware Description Language (HDL) embedded in formal verification framework in order to design your RISC-V hardware characteristics, then state and prove properties about your designed hardware, e.g. that it is free of timing anomalies and finally, generate general-purpose hardware code (e.g. Verilog) for FPGA or silicon. This thesis aims to develop such a methodology for correct-by-construction RISC-V cores, readily deployable in safety-critical systems. Two main contributions are expected from this framework: - to explore a tradeoff between hardware timing predictability and hardware performance which arises when dealing with strong requirements like not having timing anomalies. - to explore the tradeoff between hardware timing predictability and software (ISA-level) toolchain support which arises when certain performance-driven (and unpredictable) hardware mechanisms are allowed in the design. These contributions are expected to be developed in the Coq proof system using state of the art formal hardware frameworks.