[논문 리뷰] Formal Proofs of Tarjan's Algorithm in Why3, Coq, and Isabelle

Ran Chen, Cyril Cohen외 3명|arXiv (Cornell University)|2018. 10. 29.

Logic, programming, and type systems참고 문헌 8인용 수 4

한 줄 요약

이 논문은 Why3, Coq, 그리고 Isabelle/HOL이라는 세 가지 별개의 증명 보조도구를 사용하여 방향 그래프 내 강한 연결 요소를 찾는 Tarjan 알고리즘의 형식적 정당성 증명을 제시한다. 저자들은 유한 집합, 스택, 매핑을 사용하는 기능적이고 추상적인 수준에서 알고리즘을 구현하여 선형 시간 복잡도를 보장하고, 세 시스템 전반에서 동일한 방식으로 정당성 증명을 수행한다. 이 과정에서 표현력, 자동화 수준, 검증 방식의 차이를 부각시키며, 복잡한 그래프 알고리즘에 대한 다도구 형식화의 가능성을 입증한다.

ABSTRACT

Comparing provers on a formalization of the same problem is always a valuable exercise. In this paper, we present the formal proof of correctness of a non-trivial algorithm from graph theory that was carried out in three proof assistants: Why3, Coq, and Isabelle.

연구 동기 및 목표

• 세 가지 별개의 증명 보조도구를 사용하여 강한 연결 요소를 위한 Tarjan 알고리즘의 형식적 검증을 수행한다.
• Why3, Coq, Isabelle/HOL에서 비슷한 복잡도를 지닌 알고리즘에 대해 표현력, 자동화, 검증 워크플로우의 차이를 비교한다.
• 알고리즘의 선형 시간 복잡도를 유지하면서도 통일되고 추상적이며 가독성이 높은 형식화를 제공한다.
• 이질적인 증명 시스템 간에 복잡한 그래프 알고리즘을 형식화하는 데서 발생하는 도전 과제와 이점 평가한다.
• 향후 다도구 비교의 기반을 마련하고, 알고리즘의 명령형 구현의 검증을 위한 기초를 제공한다.

제안 방법

• 유한 집합, 스택, 매핑을 사용하는 기능적 스타일로 알고리즘을 형식화하여 저수준 데이터 구조에서 추상화한다.
• 핵심은 동일한 논리적 추론을 전 시스템에 적용하는 인variant 기반 증명 전략이다.
• 깊이 우선 탐색, 스택 관리, 컴пон언트 탐지 작업을 담당하는 상호 재귀 함수 dfs1과 dfs를 사용한다.
• 핵심 보조 함수로는 add_stack_incr(스택에 푸시하고 순서 번호 할당), split(정점까지 스택을 팝), set_infty(정점을 비활성 상태로 표시)가 있다.
• 증명은 인두적 술어(Why3), 종속 타입과 고차원 논리(Coq), Isar와 자동화 기능을 결합한 방식(Isabelle/HOL)으로 구성된다.
• 종료 조건은 Isabelle에서 잘 정의된 관계와 domintros를 사용하고, Coq에서는 명시적 상한을 사용하며, Why3는 자동 증명기 검증에 의존한다.

실험 결과

연구 질문

• RQ1 Why3, Coq, Isabelle/HOL의 설계 선택과 표현력이 Tarjan 알고리즘의 형식적 증명의 구조와 유지보수성에 어떤 영향을 미치는가?
• RQ2 기초 논리가 다른 세 증명 보조도구 간에 동일한 논리적 추론을 얼마나 재사용할 수 있는가?
• RQ3 복잡한 그래프 알고리즘을 형식화할 때 자동화, 가독성, 검증의 안정성 사이의 상충 관계는 어떠한가?
• RQ4 자동화의 유무가 형식적 증명의 개발 및 디버깅 과정에 어떤 영향을 미치는가?
• RQ5 한 개의 추상적 형식화가 여러 증명 시스템에서 공통 기반으로서 기능을 수행할 수 있는가?

주요 결과

• 동일한 알고리즘 추상화와 핵심 논리 기반으로, 모든 세 시스템—Why3, Coq, Isabelle/HOL—에서 형식적 증명이 성공적으로 구현되었다.
• Why3는 가장 높은 수준의 자동화를 달성했으며, 외부 SMT 및 슈퍼포지션 증명기 의존성으로 인해 신뢰할 수 있는 증명 검증을 위해 정밀한 사양이 필요했다.
• Coq의 종속 타입은 매우 표현력 있고 간결한 형식화를 가능하게 했지만, 더 많은 수동 조작과 전문 지식이 요구되었다.
• Isabelle/HOL은 표현력과 자동화 사이의 균형을 잘 유지했으며, sledgehammer가 증명 탐색을 크게 지원했고, Isar는 인간이 읽기 쉬운 증명 구조를 제공했다.
• Isabelle/HOL의 증명은 원래 Why3 버전 대비 50% 짧아져, 향상된 가독성과 유지보수성을 시사했다.
• 종료 조건 처리 방식은 각 시스템마다 다름: Coq는 명시적 상한, Isabelle는 잘 정의된 관계, Why3는 신뢰할 수 있는 증명기 검증을 사용했으며, 모든 접근 방식이 형식적으로 검증되었다.