[논문 리뷰] A Machine-Checked Proof for a Translation of Event-B Machines to JML

Néstor Cataño, Camilo Rueda외 1명|arXiv (Cornell University)|2013. 09. 09.

Logic, programming, and type systems참고 문헌 31인용 수 5

한 줄 요약

이 논문은 Event-B 기계를 JML 명세로의 번역에 대한 기계 검증된 타당성 증명을 제시한다. 이는 Event-B 플랫폼 내에서 얕은 임bedding을 통해 Rodin 플랫폼에 의해 형식화된 EB2Jml 연산자를 사용하여 이루어지며, 번역을 통해 생성된 모든 JML 메서드 명세가 원본 Event-B 대체의 의미론을 정확히 시뮬레이션함으로써 정밀성과 정확성을 보장한다.

ABSTRACT

We present a machine-checked soundness proof of a translation of Event-B to the Java Modeling Language (JML). The translation is based on an operator EventB2Jml that maps Evnet-B events to JML method specifications, and deterministic and non-deterministic assignments to JML method post-conditions. This translation has previously been implemented as the EventB2Jml tool. We adopted a taking our own medicine approach in the formalisation of our proof so that Event-B as well as JML are formalised in Event-B and the proof is discharged with the Rodin platform. Hence, for any Event-B substitution (whether an event or an assignment) and for the JML method specification obtained by applying EventB2Jml to the substitution, we prove that the semantics of the JML method specification is simulated by the semantics of the substitution. Therefore, the JML specification obtained as translation from the Event-B substitution is a refinement of the substitution. Our proof includes invariants and the standard Event-B initialising event, but it does not include full machines or Event-B contexts. We assume that the semantics of JML and Event-B operate both on the same initial and final states, and we justify our assumption.

연구 동기 및 목표

• EB2Jml를 통한 Event-B에서 JML로의 번역의 정확성을 기계 검증된 증명을 통해 형식적으로 검증하는 것.
• EB2Jml가 생성한 JML 메서드 명세의 의미론이 원본 Event-B 대체와 일치하는지 보장하는 것.
• JML 의미론이 Event-B 의미론에 의해 시뮬레이션됨을 증명하여 번역이 정밀성을 유지함을 보여주는 것.
• Event-B와 JML를 모두 Event-B 자체 내에 얕은 임bedding을 통해 형식화하여 이 접근법을 검증하는 것.
• 특히 전이 시스템 기반의 형식 언어 간 번역에 대해 타당성 증명을 위한 재사용 가능한 프레임워크를 제공하는 것.

제안 방법

• 저자들은 Rodin 플랫폼 내에서 Event-B 언어의 논리 내에 얕은 임bedding을 사용하여 Event-B와 JML의 의미론을 형식화한다.
• EB2Jml 번역 연산자를 Event-B 이벤트와 할당을 해당하는 JML 메서드 명세와 사후조건으로 매핑하는 공리 집합으로 정의한다.
• 상태 전이를 유형 생성자와 상태 전이기로 모델링하여 초기 상태와 최종 상태의 일관된 표현을 보장한다.
• 주요 가정은 두 언어가 동일한 초기 및 최종 상태 표현 방식을 사용한다는 것이다. 이는 형식화 내에서 정당화된다.
• 타당성 증명은 번역 및 의미 규칙을 공리로 표현한 Rodin 컨텍스트의 집합으로 구성된다.
• ProB 모델 체커를 사용하여 일관된 할당을 찾음으로써 공리 정의의 타당성을 검증하여 형식화의 일관성에 대한 신뢰도를 높인다.

실험 결과

연구 질문

• RQ1 EB2Jml를 통한 Event-B에서 JML로의 번역이 타당한가? 즉, 각 JML 메서드 명세가 해당 Event-B 대체의 동작을 정확히 시뮬레이션하는가?
• RQ2 외부 형식화 체계에 의존하지 않고, Event-B와 Rodin 플랫폼만을 사용하여 이 번역의 기계 검증된 증명을 구성할 수 있는가?
• RQ3 얕은 임bedding 접근법을 통해 두 형식 언어 간의 의미론적 번역을 어떻게 형식적으로 검증할 수 있는가? 특히 두 언어가 동일한 기초 논리로 표현될 경우에 대해.
• RQ4 이러한 증명을 위해 필요한 상태 표현에 대한 가정은 무엇이며, 이러한 가정은 형식적 프레임워크 내에서 정당한가?
• RQ5 이 증명 방법론은 전이 시스템 의미론 기반의 다른 형식 언어 번역으로 일반화될 수 있는가?

주요 결과

• 기계 검증된 증명은 EB2Jml가 생성한 모든 JML 메서드 명세의 의미론이 해당 Event-B 대체에 의해 시뮬레이션됨을 확인함으로써 정밀성을 확립한다.
• 증명은 Rodin 플랫폼를 사용하여 Event-B 내에서 완전히 형식화되어 있으며, 자기 호스팅된 형식 검증의 가능성을 보여준다.
• 얕은 임bedding 접근법은 효율적인 증명 해소를 가능하게 하지만 메타논리적 추론을 제한함을 고려한 트레이드오프를 수용하고 있다.
• ProB를 사용하여 공리 정의를 검증함으로써 형식화의 일관성에 대한 신뢰도가 향상된다.
• 이 접근법은 다른 언어 번역으로 잘 일반화되며, 특히 전이 기반 의미론을 포함하는 번역에 대해 잘 작동한다.
• 증명은 전체 Event-B 기계나 컨텍스트가 필요로 하지 않으며, 이벤트, 할당, 관계식과 같은 핵심 구성요소에 집중함으로써 타당성 검증에 충분하다.