[論文レビュー] Refinement Reflection: Complete Verification with SMT

Niki Vazou, Anish Tondwalkar+5 more|arXiv (Cornell University)|Nov 9, 2017

Logic, programming, and type systems被引用数 11

ひとこと要約

本稿では、関数の実装を出力のリファインメント型に直接埋め込むことで、完全でSMTベースの関数的正しさの性質の検証を可能にする、Refinement Reflectionと呼ばれるフレームワークを紹介する。関数定義を型に反映させ、Proof by Logical Evaluation (PLE) を用いることで、等式的推論を自動化し、パターンマッチや再帰を用いて証明をプログラムとして記述可能にする。Liquid Haskell において、完全な自動化と決定可能性の保証を達成する。

ABSTRACT

We introduce Refinement Reflection, a new framework for building SMT-based deductive verifiers. The key idea is to reflect the code implementing a user-defined function into the function's (output) refinement type. As a consequence, at uses of the function, the function definition is instantiated in the SMT logic in a precise fashion that permits decidable verification. Reflection allows the user to write equational proofs of programs just by writing other programs using pattern-matching and recursion to perform case-splitting and induction. Thus, via the propositions-as-types principle, we show that reflection permits the specification of arbitrary functional correctness properties. Finally, we introduce a proof-search algorithm called Proof by Logical Evaluation that uses techniques from model checking and abstract interpretation, to completely automate equational reasoning. We have implemented reflection in Liquid Haskell and used it to verify that the widely used instances of the Monoid, Applicative, Functor, and Monad typeclasses actually satisfy key algebraic laws required to make the clients safe, and have used reflection to build the first library that actually verifies assumptions about associativity and ordering that are crucial for safe deterministic parallelism.

研究の動機と目的

• ユーザー定義関数の公理のインスタンス化に不完全なヒューリスティクスに依存する既存のSMTベースの検証ツールの限界を解消すること。
• SMTベースの検証と型理論に基づく定理証明のギャップを埋め、ユーザー定義関数に対して完全に自動的かつ決定可能な推論を可能にすること。
• 再帰やパターンマッチといった馴染み深いプログラミング構文を用いて、複雑な関数的正しさの性質を記述・検証できる実用的で言語統合型のフレームワークを提供すること。
• 全関数（total）関数における等式的証明に対して、完全かつ整合的な証明探索アルゴリズムを設計すること。

提案手法

• ユーザー定義関数の実装をその出力リファインメント型に反映させ、関数定義をSMT論理における正確な論理的記述に変換する。
• 命題を型として表現する原理（propositions-as-types）を用いて、証明を実行可能なプログラムとして表現し、パターンマッチや再帰による等式的推論を可能にする。
• Proof by Logical Evaluation (PLE) を用い、関数の guarded 定義とSMT推論を用いて関数適用をunfoldすることで、型レベルの計算を模倣する証明探索アルゴリズムを採用する。
• 抽象解釈とモデルチェック技術を適用し、証明探索を関数の具体的な意味論の普遍的（必須）抽象化として保証することで、終了性を確保する。
• SMTソルバを活用して、量化子のない推論を自動化し、証明内での論理的補助ゴールを効率的に検証する。
• フレームワークをLiquid Haskellに統合し、既存のコンパイラとエコシステムを再利用することで、標準型クラスの代数的法則の検証を実現する。

実験結果

リサーチクエスチョン

• RQ1 ユーザー定義関数に対して、ヒューリスティクスに依存せずに、完全で完全自動のSMTベースの検証を実現できるか？
• RQ2 再帰やパターンマッチといった標準的な言語機能を用いて、関数的正しさの証明を自然にプログラムとして記述できるか？
• RQ3 全関数における等式的推論に対して、整合的かつ完全な証明探索アルゴリズムを設計できるか？
• RQ4 広く使われるHaskellの型クラス（Monoid, Applicative, Functor, Monad など）の複雑な代数的法則（結合則、可換則など）を検証できるか？
• RQ5 証明自動化とリファインメント型の統合により、実世界のコードベースで実用的かつスケーラブルな検証が可能になるか？

主な発見

• Refinement Reflection は、関数の実装をリファインメント型に反映させることで、不完全なインスタンス化ヒューリスティクスに依存せず、ユーザー定義関数の完全で決定可能な検証を可能にする。
• Proof by Logical Evaluation (PLE) は、guarded 定義とSMT推論を用いて関数適用を体系的にunfoldする完全な証明探索アルゴリズムであり、全関数に対して終了性を保証する。
• 本フレームワークは、Liquid Haskell において Monoid, Applicative, Functor, Monad 型クラスの代数的法則を正常に検証した。特に、決定的並列処理に不可欠な結合則や順序性に関する性質も含む。
• 本アプローチにより、パターンマッチや再帰を用いて証明をプログラムとして記述可能であり、SMTを用いた量化子のない補助ゴールの自動化により、高い表現力とツール連携性を実現した。
• Liquid Haskell への統合は、既存の言語エコシステムが最小限のオーバーヘッドで定理証明器として再利用可能であることを示しており、大規模な実世界コードベースにおける実用的検証を可能にする。
• PLEによる関数意味論の普遍的抽象化により、すべての正当な等式的証明が発見可能であることが保証され、証明探索における完全性が達成された。