[論文レビュー] Verifying Safety of Functional Programs with Rosette/Unbound

Dmitry Mordvinov, Grigory Fedyukovich|arXiv (Cornell University)|Apr 15, 2017

Formal Methods in Verification参考文献 6被引用数 7

ひとこと要約

Rosette/Unbound は、Racket の関数型プログラムに対して、帰納的不変条件の自動合成を可能にする、制約付きホルン節（CHC）論理による検証器の最初の実装である。これにより、無限大のデータストリーム上で動作する高階関数、再帰的、複数パス処理を行うリスト処理プログラムの検証が可能になった。このツールは、記号実行、状態の記号的マージ、同じリストを複数のイテレータが走査する際の新しい同期メカニズムをサポートしており、ソート済みリストの最小要素が先頭であるといった、複雑な安全特性の検証を可能にした。

ABSTRACT

The goal of unbounded program verification is to discover an inductive invariant that safely over-approximates all possible program behaviors. Functional languages featuring higher order and recursive functions become more popular due to the domain-specific needs of big data analytics, web, and security. We present Rosette/Unbound, the first program verifier for Racket exploiting the automated constrained Horn solver on its backend. One of the key features of Rosette/Unbound is the ability to synchronize recursive computations over the same inputs allowing to verify programs that iterate over unbounded data streams multiple times. Rosette/Unbound is successfully evaluated on a set of non-trivial recursive and higher order functional programs.

研究の動機と目的

• 無限大のデータストリームと複雑な再帰的振る舞いを示す Racket の関数型プログラムの自動検証を可能にすること。
• 複数回リストを走査するプログラムの検証という課題に取り組み、既存のツールがイテレータ間の同期が不足しているために困難としている点を解決すること。
• 制約付きホルン節論理の解決を、関数型プログラミングの検証パイプラインに統合し、帰納的不変条件の完全自動合成を可能にすること。
• 記号的実行フレームワーク内で高階関数、変更可能変数、グローバル状態をサポートすることにより、正確性とスケーラビリティを維持すること。

提案手法

• 制御フローの結合点で状態のマージを伴う Racket プログラムの記号的実行により、経路情報を保持する。
• 各関数を新しい関係記号として表すことで、制約付きホルン節（CHC）のシステムにプログラムの振る舞いをエンコードする。
• 関数の依存関係を追跡する記号的コールグラフを用い、制御フローとデータ依存関係を捉える CHC の含意を生成する。
• 同じ記号的リストを複数のイテレータが走査する際、共有される記号的ヘッドを介して同時に同じ要素にアクセスできるよう、複数のイテレータを同期化するメカニズムを導入する。
• 検証条件を CHC システムに変換し、事前条件と事後条件を含め、Spacer3 や Z3 などの外部ソルバを用いて解く。
• 関係記号に状態パラメータを拡張することで、グローバル状態と変更可能変数をサポートし、関数型プログラムにおける可変変数の推論を可能にする。

実験結果

リサーチクエスチョン

• RQ1 関数型プログラム検証器は、無限大のデータストリームと再帰的・高階関数を含むプログラムを効果的に処理できるか？
• RQ2 同じ記号的リストに対する複数回の走査をどのように同期化すれば、イテレータ間で一貫した推論が可能になるか？
• RQ3 制約付きホルン節論理の解決を、関数型言語の記号的実行フレームワークに効果的に統合し、不変条件の自動合成を可能にできるか？
• RQ4 このようなシステムは、複雑なデータ操作を伴う非自明な関数型プログラムに対して、スケーラビリティと正しさを保っているか？

主な発見

• Rosette/Unbound は自らのベンチマークの 30 個すべてを正しく検証した。平均して 0.115 秒の解決時間であった。
• 安全なプログラムに対しては MoCHi より優れた性能を示し、12 個のベンチマークすべての正しさを証明した。一方、MoCHi は 12 個中 1 個のみ正しく検証できた（タイムアウトや内部エラーによる失敗）。
• 不正なプログラムに対しては、MoCHi は 12 個中 9 個の反例を発見できたが、Rosette/Unbound の安全性特性の検証能力はこれに影響を受けることはなかった。
• 同期メカニズムにより、ソート済みリストの先頭が最小要素であるという性質の検証が可能になった。これは複数のイテレータ間で一貫したアクセスが必要となる。
• このシステムは、境界付き推論との互換性を示した一方で、Rosette や他の先行ツールに欠けていた無限大の記号的リストへの拡張を実現した。
• Spacer3 や Z3 を介した CHC 論理の統合により、スケーラブルかつ正確な検証が可能となり、評価では偽陽性は報告されなかった。