[論文レビュー] Bringing Iris into the Verified Software Toolchain

William Mansky|arXiv (Cornell University)|Jul 14, 2022

Parallel Computing and Optimization Techniques被引用数 4

ひとこと要約

この論文は、Irisの並行的分離論理から高度な機能を、形式的検証可能なソフトウェアツールチェイン（VST）に統合し、細粒度のロックとC11アトミック操作を備えた複雑な並行Cプログラムの形式的検証を可能にした。ゲストステート、グローバルインヴァリアント、Iris Proof Modeを拡張することで、VSTは従来のCompCertの検証コンパイルパイプラインと互換性を保ちながら、より強固な正しさ保証を達成した。

ABSTRACT

The Verified Software Toolchain (VST) is a system for proving correctness of C programs using separation logic. By connecting to the verified compiler CompCert, it produces the strongest possible guarantees of correctness for real C code that we can compile and run. VST included concurrency from its inception, in the form of reasoning about lock invariants, but concurrent separation logic (CSL) has advanced by leaps and bounds since then. In this paper, we describe efforts to integrate advancements from Iris, a state-of-the-art mechanized CSL, into VST. Some features of Iris (ghost state and invariants) are re-implemented in VST from the ground up; others (Iris Proof Mode) are imported from the Iris development; still others (proof rules for atomic operations) are axiomatized, with the hope that they will be made foundational in future versions. The result is a system that can prove correctness of sophisticated concurrent programs implemented in C, with fine-grained locking and non-blocking atomic operations, that yields varying soundness guarantees depending on the features used.

研究の動機と目的

• 検証可能なソフトウェアツールチェイン（VST）に、Irisの現代的な並行的分離論理（CSL）機能を統合し、洗練された並行Cプログラムの検証を可能にする。
• VSTの伝統的な分離論理とIrisのゲストステートベースのモデルとの間の基礎的差異を埋めるために、VSTのヒープにゲストステートを拡張し、コア構成要素を再実装する。
• Iris Proof ModeをVSTで使用可能にし、複雑なインヴァリアントやアトミック操作について、よりスケーラブルかつモジュラーな推論を可能にする。
• Irisの物理的・論理的アトミシティ規則を用いてC11アトミック操作を公理化し、アトミックコードの検証コンパイルへの道筋を提供する。
• 2kLoCのCoqコードを含む、並行的アトミック操作とクライアント側の線形化可能性証明を備えた線形化可能ハッシュテーブルの検証を通じて、拡張されたシステムの実用性を示す。

提案手法

• Irisの基礎的モデルに類似した論理的所有権とインヴァリアントを表現できるように、VSTのヒープモデルにゲストステートを拡張した。
• VSTの論理がIrisの分離論理用の型クラスのインスタンスであることを証明し、VSTのコア戦略を変更せずにIris Proof Mode（IPM）を直接再利用可能にした。
• Irisの物理的アトミック性規則を用いてC11アトミック操作を公理化し、Cプログラムにおける順序整合的アトミック読み取り・書き込みについての推論を可能にした。
• VSTの仕様に論理的アトミックトリプル（ATOMICキーワードを介して）を導入し、線形化可能性を捉え、並行データ構造のモジュラー検証を支援した。
• IPMをVSTの証明スクリプトに統合し、証明中にゲストステートとインヴァリアント操作を管理できるようにし、IPMとネイティブVST戦略の間でのスムーズな切り替えを可能にした。
• 2kLoCのCoqコードを含む並行ハッシュテーブルの実装を検証し、アトミック操作とゲスト履歴を用いたクライアント側の線形化可能性証明を含んだ。

実験結果

リサーチクエスチョン

• RQ1 Irisの基礎的モデル（ゲストステートとインヴァリアントに基づく）を、従来ポイントツーのアサーションを原始的とみなすVSTフレームワークにどのように適応できるか？
• RQ2 VSTの既存の戦略システムや正当性保証を変更せずに、Iris Proof Modeをどの程度VSTに統合できるか？
• RQ3 Irisのアトミシティ規則を用いてC11アトミック操作を正当に公理化できるか？また、検証コンパイルに与える影響は何か？
• RQ4 論理的アトミックトリプルは、C言語における線形化可能な並行データ構造の検証にどのように使用できるか？このプロセスにおけるゲストステートとインヴァリアントの役割は何か？
• RQ5 現在のアプローチの、アセンブリレベルまでの一貫性の限界は何か？今後の作業でどのように是正できるか？

主な発見

• ゲストステートとグローバルインヴァリアントをIrisからVSTに統合することに成功し、並行Cプログラムについてモジュラーかつスケーラブルな推論が可能になった。
• Iris Proof ModeをVSTに成功裏にインポートし、複雑な分離論理の含意について、より構造的かつ保守可能な証明が可能になった。
• 物理的および論理的アトミシティ規則を公理化することで、C11アトミック操作の検証が可能になり、検証可能な弱メモリモデル推論の基盤が整った。
• ゲスト履歴を用いたクライアント側の線形化可能性証明を含む、2kLoCのCoqによる線形化可能ハッシュテーブルの完全な検証が達成された。
• 拡張されたシステムは、完全な基礎的検証が未だ将来の作業であるものの、強力な正しさ保証を伴って細粒度の並行データ構造の検証を可能にした。
• Irisの主要なイノベーションがVSTに効果的に移植可能であることが示され、VSTの表現力が著しく向上した一方で、CompCertの検証コンパイルパイプラインとの互換性を維持した。