【ITニュース解説】Finding and Understanding Bugs in C Compilers (2011) [pdf]

システムエンジニアを目指すなら、コンピュータがどのようにプログラムを動かすかを知ることは不可欠だ。私たちが普段書くプログラミング言語、例えばC言語は、人間が理解しやすいように作られている。しかし、コンピュータは直接C言語を理解できるわけではない。コンピュータが理解できるのは、もっと基本的な「機械語」という命令の集まりだ。このC言語のプログラムを機械語に変換する特別なソフトウェアが「コンパイラ」である。コンパイラは、私たちが書いたプログラムを高性能かつ効率的に実行できるように、様々な最適化を施しながら機械語に変換する重要な役割を担っている。もしこのコンパイラ自体に間違い、つまり「バグ」があれば、私たちがどんなに正確なC言語プログラムを書いても、最終的にコンピュータが実行する機械語プログラムが意図しない動作をしてしまったり、最悪の場合クラッシュしたりする可能性がある。これは、コンパイラの品質が、私たちが開発するソフトウェア全体の信頼性に直結する、極めて重要な要素だと言える。

今回解説する「Finding and Understanding Bugs in C Compilers (2011)」という論文は、まさにこのコンパイラのバグ、特にCコンパイラにおけるバグを発見し、そのバグを深く理解することを目指した研究だ。当時、多くの商用およびオープンソースのCコンパイラが広く利用されていたが、これらのコンパイラがどれほどのバグを抱えているのか、そしてそのバグがどのような性質のものなのかについては、十分に解明されていなかった。この論文の目的は、単にバグを見つけるだけでなく、どのような種類の入力プログラムがバグを引き起こし、バグがどのようにマシンの振る舞いに影響を与えるのかを分析し、コンパイラの開発者がバグを修正するための手助けをすることにあった。

この研究の中心的なアプローチは、「Csmith」という特別なツールを使用することだ。Csmithは、ランダムなCプログラムを自動的に生成する能力を持つ。ただし、ただランダムに文字を並べるのではなく、C言語の文法規則に厳密に従い、かつ未定義の動作（undefined behavior）を引き起こさない、意味的に正しいプログラムを生成する。未定義の動作とは、C言語の規格で「こうしなさい」と具体的に定められていない挙動のことで、これがあるとコンパイラによって結果が変わってしまうため、バグを発見するテストには適さない。Csmithが生成するプログラムは、数千行にも及ぶ複雑なものであり、人間が手作業でこれほど複雑なテストプログラムを作成するのは非常に困難だ。

Csmithを使ってバグを検出する主要な手法は「差分テスト（differential testing）」と呼ばれるものだ。この手法は、同じCプログラムを複数の異なるCコンパイラでコンパイルし、その結果生成された実行可能ファイルを走らせて、出力結果を比較するというものだ。もし、異なるコンパイラでコンパイルされたプログラムが、同じ入力に対して異なる結果を出力した場合、それは少なくとも一つのコンパイラにバグがある可能性が高いと判断できる。例えば、あるプログラムが「5」と出力するのに、別のコンパイラでコンパイルすると「10」と出力されるような場合だ。これは、どちらか（あるいは両方）のコンパイラが、元のCプログラムの意図とは異なる機械語を生成していることを示唆する。この手法は、テストの「正解」を事前に知る必要がなく、比較によってバグをあぶり出す点で非常に強力だ。研究チームは、GCCやClang/LLVMといった主要なCコンパイラを対象に、何百万ものランダムプログラムを生成し、この差分テストを実施した。

この大規模なテストの結果、研究チームは多くの深刻なバグを主要なCコンパイラから発見した。これらのバグは大きく分けて二つのカテゴリーに分類できる。一つは「最適化のバグ」だ。コンパイラは、プログラムの実行速度を向上させるために、様々な「最適化」と呼ばれる変換を行う。例えば、同じ計算が複数回行われている場合に、一度だけ計算してその結果を使い回すといった工夫だ。しかし、この最適化処理がC言語の規格やプログラマの意図から逸脱してしまうと、間違った結果を生み出してしまう。もう一つは「コード生成のバグ」で、これはC言語の構文や意味を機械語に正しく変換できない、より根深い問題だ。例えば、特定の複雑なポインタ操作や浮動小数点演算、あるいは特定のデータ構造に対する処理で、コンパイラが間違った機械語命令を生成してしまうケースなどだ。

これらのバグは、実際のソフトウェアに様々な影響を与える。例えば、データベースの計算結果が間違ったり、セキュリティ上の脆弱性が生じたり、あるいはOSのカーネルのような低レベルなシステムソフトウェアが不安定になったりする可能性もある。発見されたバグの中には、何年にもわたって存在し、多くの開発者が気づかずに利用してきたものも含まれていた。これは、コンパイラのバグが非常に発見しにくく、複雑な条件下でしか発現しないことが多いことを示している。

バグを発見するだけでは、修正には不十分だ。開発者がバグを修正するためには、「どのようなプログラムが」「どの条件下で」「どのような間違った結果」を引き起こすのかを正確に理解し、バグを再現できる最小限のプログラムを提供する必要がある。Csmithが生成するプログラムは、数千行に及ぶ複雑なものなので、発見されたバグがそのプログラムのどの部分によって引き起こされているのかを特定するのは難しい。そこで、研究チームは「バグの最小化」というプロセスも実施した。これは、バグを再現する元の複雑なプログラムから、バグの発現に必要ない部分を少しずつ削り取り、バグを再現できる最もシンプルなプログラムにすることを目指すものだ。これにより、コンパイラ開発者はバグの原因を効率的に特定し、修正パッチを適用することが可能になる。この最小化プロセスもまた、自動化ツールを用いて行われた。

この「Finding and Understanding Bugs in C Compilers」の論文は、Cコンパイラの品質保証と信頼性向上に多大な貢献をした。Csmithというツールと差分テストという強力な手法を確立し、それまで見過ごされてきた数多くの深刻なコンパイラのバグをあぶり出した。実際に、この研究によって発見されたバグは、GCCやClang/LLVMなどの主要なコンパイラプロジェクトに報告され、多くが修正された。これは、私たちが日々利用する様々なソフトウェアが、より安全で信頼性の高いものになることを意味する。

システムエンジニアを目指す初心者にとって、この論文はコンパイラの重要性だけでなく、ソフトウェアテストの難しさ、特に複雑なシステムにおけるバグ発見の創造的なアプローチについて深く考えるきっかけとなるだろう。私たちが書くコードだけでなく、そのコードを動かすための「土台」となるツール自体も、常に検証され続ける必要があるという教訓を示している。また、ランダムプログラム生成や差分テストといった、具体的なテスト手法がどのように実際に役立つのかを理解する上で非常に良い事例となる。

コンパイラは、私たちが書いた高級言語のプログラムをコンピュータが実行できる機械語に変換する、まさに「翻訳者」であり、その正確性はソフトウェア全体の品質を左右する。この論文は、Csmithという独創的なツールと差分テストという洗練された手法を組み合わせることで、これまで発見が困難だったCコンパイラの奥深いバグを多数見つけ出した。そして、単にバグを見つけるだけでなく、それを再現可能な最小限のプログラムにまで整理することで、コンパイラ開発者による修正を促進し、ソフトウェアの信頼性向上に大きく貢献した。この研究は、私たちが日常的に利用するソフトウェアの安全と安定が、このような地道で革新的な検証努力によって支えられていることを明確に示している。