[論文レビュー] Higher-Order Program Verification via HFL Model Checking

Naoki Kobayashi, Takeshi Tsukada+1 more|arXiv (Cornell University)|Oct 24, 2017

Formal Methods in Verification参考文献 45被引用数 3

ひとこと要約

本稿では、到達可能性（may/must）、トレース性質、線形時相論理（LTL）性質といった多様な検証問題を、拡張された高階型モデルチェック（HFL）への還元によって、一様かつ包括的な高階プログラム検証手法を提示する。主な貢献は、HFL論理式によるプログラム性質の健全かつ完全な論理的特徴付けを提供することであり、これにより、従来のHORSに基づく手法と比較して、無限データを扱うプログラムの記述力と正しさが向上した純粋論理的技法による一様な推論が可能になる。

ABSTRACT

There are two kinds of higher-order extensions of model checking: HORS model checking and HFL model checking. Whilst the former has been applied to automated verification of higher-order functional programs, applications of the latter have not been well studied. In the present paper, we show that various verification problems for functional programs, including may/must-reachability, trace properties, and linear-time temporal properties (and their negations), can be naturally reduced to (extended) HFL model checking. The reductions yield a sound and complete logical characterization of those program properties. Compared with the previous approaches based on HORS model checking, our approach provides a more uniform, streamlined method for higher-order program verification.

研究の動機と目的

• 高い表現力を持つにもかかわらず、高階型不動点論理（HFL）モデルチェックがプログラム検証への応用が限定的であるという問題に取り組む。
• 再帰、整数、非決定的性質を備えた高階関数型プログラムを、一様かつ論理的根拠に基づいて検証する手法を提供する。
• 無限データを扱うプログラムにおいて、HORSに基づくアプローチの限界を克服し、検証プロセス中にデータドメインに関する意味論的情報を保持する。
• 線形時相論理やその否定といった複雑な性質を、HFLモデルチェックへの体系的還元によって検証可能にする。
• HFLモデルチェックが多様な検証タスクの基盤となる論理的フレームワークとして機能できることを示す。これにより、臨戦的で不完全な還元手法に依存する必要がなくなる。

提案手法

• プログラムの振る舞いを「正当な振る舞い」を表す論理式に翻訳することで、プログラム検証問題をHFLモデルチェックに還元する。
• 移行を表すためにモーダル演算子（例：⟨read⟩, ⟨close⟩）を用い、論理的論理積と含意を用いて非決定的選択や条件分岐を表現する。
• 特に最大不動点（ν）と最小不動点（μ）を用いた不動点論理式により、再帰的プログラム振る舞いやライブネス性質を表現する。
• 有限データプログラムを扱えるようにHFLを整数述語で拡張し、そのようなケースでは決定可能となる検証が可能になる。
• 従来の二段階HORSモデルチェックパイプラインに代わり、手続きサマリーを最初に計算し、その後に残りの論理式をHFLモデルチェックする統合的アプローチを採用する。
• HFLの表現力を利用し、時相的・トレース的性質を含む複雑なプログラム性質を、論理的に一様に表現する。

実験結果

リサーチクエスチョン

• RQ1 HFLモデルチェックを用いて、到達可能性や時相論理的性質を含む広範な高階プログラム性質を一様に検証可能か？
• RQ2 HFL論理式をどのように構築すれば、正当なファイルアクセスシーケンスや再帰的関数実行といったプログラム振る舞いを論理的に特徴付けられるか？
• RQ3 無限データプログラムを扱う際、HFLベースの検証はHORSベースのアプローチに比べてどのような利点を有するか？
• RQ4 HFL論理式によるプログラム性質の論理的特徴付けは、不完全な変換に依存せずに、完全かつ健全な検証を可能にするか？
• RQ5 同じ論理的フレームワークを、一様な還元戦略を通じて、異なる検証タスクに再利用できる範囲はどの程度か？

主な発見

• 本稿では、多様な高階プログラム検証問題を拡張HFLモデルチェックに健全かつ完全に還元する手法を確立し、プログラム性質の論理的基盤を提供する。
• 線形時相論理性質およびその否定をHFL不動点論理式として符号化することで、意味論的正確性を保持したまま検証が可能になる。
• 有限データプログラムの場合、還元により純粋なHFLモデルチェック問題が得られ、一般の拡張HFL問題とは異なり決定可能になる。
• 検証の第二段階でデータドメインの重要な情報を保持するため、無限データプログラムの処理において、従来のHORSベースのアプローチを上回る性能を発揮する。
• 論理的特徴付けにより、ドメイン特有のヒューリスティクスに依存せず、純粋な論理的推論（例：Coqを用いて）でプログラム性質の証明・反証が可能になる。
• Coqにおける証明は、論理的特徴付けを用いることで著しく短くなり、モジュラーになる。各例について、数個の主要な洞察のみが必要となる。