[논문 리뷰] Formal verification in Coq of program properties involving the global state effect

Jean‐Guillaume Dumas, Dominique Duval외 2명|arXiv (Cornell University)|2013. 10. 02.

Logic, programming, and type systems참고 문헌 12인용 수 4

한 줄 요약

이 논문은 지배적 상태 효과를 갖는 명령형 프로그램의 프로그램 성질을 형식적으로 검증하기 위한 Coq 기반 프레임워크를 제시한다. 이는 문법에서 상태 효과를 분리하는 장식된 증명 체계를 사용한다. 상태 효과는 용어 장식을 통해 인코딩되고, 범주론적 의미론을 활용함으로써, 조회 및 갱신 연산의 교환법칙과 같은 성질의 기계화된 검증을 가능하게 한다. 전체 증명은 재사용 가능한 Coq 라이브러리에 통합되어 효과가 있는 프로그램 추론을 지원한다.

ABSTRACT

The syntax of an imperative language does not mention explicitly the state, while its denotational semantics has to mention it. In this paper we present a framework for the verification in Coq of properties of programs manipulating the global state effect. These properties are expressed in a proof system which is close to the syntax, as in effect systems, in the sense that the state does not appear explicitly in the type of expressions which manipulate it. Rather, the state appears via decorations added to terms and to equations. In this system, proofs of programs thus present two aspects: properties can be verified {\em up to effects} or the effects can be taken into account. The design of our Coq library consequently reflects these two aspects: our framework is centered around the construction of two inductive and dependent types, one for terms up to effects and one for the manipulation of decorations.

연구 동기 및 목표

• 지배적 상태를 다루는 명령형 프로그램의 성질을 형식적으로 검증하는 데 도전하는 문제를 해결하기 위해, 문법에는 명시되지 않지만 의미론에 영향을 주는 상태를 다루는 것.
• 측정 효과, 특히 지배적 상태 효과를 다루는 프로그램에 대한 등식적 추론을 지원하는 Coq로 검증된 프레임워크를 개발하는 것.
• 내부 상태 표현을 드러내지 않고도 성질을 검증할 수 있도록, 효과를 추적하기 위해 장식을 사용하는 것.
• 기존에 알려진 상태 효과 성질 증명(예: 조회/갱신의 교환법칙)을 기계화하고, 재사용 가능한 Coq 라이브러리로 통합하여 효과가 있는 프로그램 추론을 지원하는 것.

제안 방법

• 프레임워크는 효과 체계를 영감으로 삼은 장식된 증명 체계를 사용하며, 상태 효과는 유형이 아닌 용어와 등식에 대한 주석을 통해 추적된다.
• 지배적 상태 효과는 강한 모나드와 전단순 범주와 같은 범주론적 구성으로 모델링되어 상태 연산의 의미론을 형식화한다.
• Coq에서 두 개의 귀납적, 종속된 유형을 정의한다: 하나는 상태를 忽시한 효과까지의 용어를 위한 것이고, 다른 하나는 상태 효과를 추적하는 장식을 위한 것이다.
• 약한 등식, 강한 등식, 순열, 투영과 같은 핵심 규칙들이 Coq에 인코딩되어 단계적 등식적 추론을 지원한다.
• 이 프레임워크는 이중 단계 검증 과정을 지원한다: 먼저 효과 장식을 통해 연산들이 동일한 영향을 갖는지 확인하고, 그 다음에 결과가 동일한지 확인한다.
• Coq 라이브러리는 이러한 규칙들을 통합하여 전체 증명의 기계화를 가능하게 하며, 조회 및 갱신 연산의 교환법칙에 대한 사례로 이를 입증했다.

실험 결과

연구 질문

• RQ1 내부 상태 표현에서 추상화된 채로 지배적 상태 효과를 포함하는 프로그램 성질을 어떻게 형식적으로 검증할 수 있는가?
• RQ2 지배적 상태 효과를 위한 장식된 등식 증명 체계가 수학적 엄밀성을 유지하면서 Coq에서 완전히 기계화될 수 있는가?
• RQ3 효과와 결과 사이의 관심사 분리가 Coq와 같은 증명 보조도구에서 어떻게 형식화되고 검증될 수 있는가?
• RQ4 이 프레임워크는 복잡한 상태 기반 프로그램 성질의 모듈러하고 재사용 가능한 검증을 어느 정도 지원하는가?
• RQ5 이 프레임워크는 힐베르트-포스트 완전성과 같은 복잡한 증명에서 결함을 탐지할 수 있는가?

주요 결과

• 프레임워크는 조회 및 갱신 연산의 교환법칙 검증을 성공적으로 기계화하여, 변수의 값을 조회하고 다른 변수를 갱신하는 작업을 어떤 순서로 수행해도 동일한 결과를 얻음을 증명했다.
• Coq에서 증명된 증명: lookup j ∘ update i ∼ pi2 ∘ (perm prod (update i) id) ∘ (prod id (lookup j)) ∘ inv pi1 는 복잡한 등식적 추론의 능력을 입증한다.
• Coq 라이브러리(http://coqeffects.forge.imag.fr)는 지배적 상태 효과의 힐베르트-포스트 완전성에 대해 16페이지 이상의 형식화된 증명을 지원한다.
• 프레임워크는 초기 힐베르트-포스트 완전성 증명의 비명백한 결함을 발견하여, 미묘한 오류를 탐지하는 데 유용함을 입증했다.
• 이 접근법은 모듈러 검증을 가능하게 한다: 먼저 장식을 통해 효과를 확인하고, 그 다음에 결과를 비교함으로써 확장 가능하고 체계적인 추론이 가능하다.
• 프레임워크는 확장 가능하며, 상태 효과의 기초 성질을 성공적으로 검증하는 데 사용되었으며, 예외 및 기타 효과로의 확장 가능성도 있다.