[논문 리뷰] Abstract I/O Specification

Willem Penninckx, Amin Timany외 1명|arXiv (Cornell University)|2019. 01. 29.

Petri Nets in System Modeling참고 문헌 2인용 수 4

한 줄 요약

이 논문은 분리 논리 내에서 장소로 문장들을 사용하여 피트리 네트를 통합함으로써 프로그램의 추상적 입출력 동작을 위한 향상된 사양 프레임워크를 제안한다. 이는 메모리 조작과 입출력을 조합한 입출력 동작의 모듈러한 검증을 가능하게 한다. 비결정적 입력을 다루기 위해 제약 조건이 있고 점진적인 예측 변수를 도입하였으며, 입출력 사양에 대한 동치성 추론을 지원한다. 이론은 Iris/Coq를 사용해 형식적으로 검증되었고, VeriFast에 통합되었다.

ABSTRACT

We recently proposed an approach for the specification and modular formal verification of the interactive (I/O) behavior of programs, based on an embedding of Petri nets into separation logic. While this approach is scalable and modular in terms of the I/O APIs available to a program, enables composing low-level I/O actions into high-level ones, and enables a convenient verification experience, it does not support high-level I/O actions that involve memory manipulation as well as low-level I/O (such as buffered I/O), or that are in fact "virtual I/O" actions that are implemented purely through memory manipulation. Furthermore, it does not allow rewriting an I/O specification into an equivalent one. In this paper, we propose a refined approach that does have these properties. The essential insight is to fix the set of places of the Petri net to be the set of separation logic assertions, thus making available the full power of separation logic for abstractly stating an arbitrary operation's specification in Petri net form, for composing operations into an I/O specification, and for equivalence reasoning on I/O specifications. Our refinement resolves the issue of the justification of the choice of Petri nets over other formalisms such as general state transition systems, in that it "refines them away" into the more essential constructs of separating conjunction and abstract nested triples. To enable a convenient treatment of input operations, we propose the use of prophecy variables to eliminate their non-determinism. We illustrate the approach through a number of example programs, including one where subroutines specified and verified using I/O specifications run as threads communicating through shared memory. The theory and examples of the paper have been machine-checked using the Iris library for program verification in the Coq proof assistant.

연구 동기 및 목표

• 기계어 프로그램에서 상호작용적 입출력 동작을 위한 모듈러하고 복합적인 검증 기법의 부족을 해결하기 위해.
• 메모리 조작과 입출력을 조합한 고수준 입출력 동작(예: 버퍼링된 입출력 또는 ByteArrayOutputStream과 같은 것들)의 사양과 검증을 가능하게 하기 위해.
• 이전의 피트리 네트 기반 접근 방식에서는 불가능했던 입출력 사양에 대한 재작성 및 동치성 추론을 지원하기 위해.
• 비결정적 입력 연산을 예측 변수를 사용하여 사양 프레임워크에 통합함으로써 비결정성을 모듈러하게 제거하기 위해.
• 공유 메모리 채널을 통한 스레드 간 통신과 같은 입출력 동작을 갖는 동시성 프로그램의 검증을 위한 기반을 제공하기 위해.

제안 방법

• 피트리 네트의 장소 집합을 분리 논리 문장으로 고정함으로써, 입출력 동작 사양에 대해 분리 논리를 전면적으로 활용할 수 있도록 한다.
• 분리 결합 및 추상 중첩 트리플을 사용하여 피트리 네트에 대한 명시적 참조 없이 입출력 사양을 표현함으로써, 형식 체계를 핵심 논리적 구성 요소로 정제한다.
• 비결정적 입력 연산을 결정적이고 상태 기반의 동작으로 모델링하기 위해 제약 조건이 있고 점진적인 예측 변수를 도입한다.
• 공유 인variant와 가상 상태의 분수 소유권을 통해 전후 조건을 연결하는 전이 조건문(예: send_, receive_)을 정의한다.
• 공유 인variant를 사용하여 다수의 스레드와 통신 채널의 내용 상태를 추적함으로써 동시적 동작 간 일관성을 보장한다.
• Coq의 Iris 라이브러리를 사용하여 이론과 예제를 기계적으로 검증하였고, C 및 Java 예제를 VeriFast에서 성공적으로 검증하였다.

실험 결과

연구 질문

• RQ1 메모리 조작과 저수준 입출력 동작을 모두 포함하는 입출력 사양은 어떻게 모듈러하고 복합적으로 만들 수 있는가?
• RQ2 분리 논리 프레임워크에서 입출력 사양에 대한 동치성 추론을 지원할 수 있으며, 만약 가능하면 그 방법은 무엇인가?
• RQ3 비결정적 입력 연산은 어떻게 형식적으로 모델링하고 검증할 수 있으며, 이 과정에서 모듈러성과 복합적 추론을 유지할 수 있는가?
• RQ4 입출력 사양에 피트리 네트를 사용하는 것은 표현력을 잃지 않고도 더 기초적인 논리 기반 형식 체계로 정제할 수 있는가?
• RQ5 공유 메모리 통신 채널을 통해 스레드 간 통신을 하는 동시성 프로그램의 입출력 동작은 이 프레임워크를 통해 어떻게 검증할 수 있는가?

주요 결과

• 제안된 프레임워크는 이전 접근 방식에서 표현할 수 없었던, 메모리 조작과 입출력을 혼합한 입출력 동작(예: 자바의 ByteArrayOutputStream)의 사양과 검증을 가능하게 한다.
• 피트리 네트의 장소로 분리 논리 문장을 사용함으로써 입출력 사양에 대한 완전한 복합적 추론과 동치성 검사가 가능해진다.
• 제약 조건이 있고 점진적인 예측 변수는 비결정적 입력 연산의 비결정성을 성공적으로 제거하면서도 모듈러성과 검증 가능성을 유지한다.
• 이 프레임워크는 공유 메모리 채널을 통한 스레드 간 통신을 포함한 동시성 프로그램의 모듈러한 검증을 지원한다.
• 이론과 예제는 Coq의 Iris 라이브러리를 사용하여 형식적으로 검증되었으며, 이 접근 방식은 C 및 자바를 대상으로 하는 VeriFast 검증기와 성공적으로 통합되었다.