[논문 리뷰] Hyper Hoare Logic: (Dis-)Proving Program Hyperproperties (extended version)

Thibault Dardinier, Péter Müller|arXiv (Cornell University)|2023. 01. 24.

Logic, programming, and type systems인용 수 5

한 줄 요약

이 논문은 전통적인 호어 논리의 일반화로서, 임의의 프로그램 상태 집합에 대해 추론할 수 있는 주장 조건을 允허함으로써, 하나의 형식적 체계 내에서 초성질(예: 비차별성)의 증명과 성질의 반증(예: 버그 존재성)을 모두 가능하게 하는 새로운 프로그램 논리인 하이퍼 호어 논리(Hyper Hoare Logic)를 제안한다. 주요 기여는 복잡한 트레이스 및 초성질을 포괄하는, 타당성과 완전성이 보장된 논리로서, 이전의 호어 논리로는 다룰 수 없었던 초성질까지도 다룰 수 있으며, 이는 이소버렐/홀(Isabelle/HOL)에서 형식적으로 증명되었다.

ABSTRACT

Hoare logics are proof systems that allow one to formally establish properties of computer programs. Traditional Hoare logics prove properties of individual program executions (such as functional correctness). Hoare logic has been generalized to prove also properties of multiple executions of a program (so-called hyperproperties, such as determinism or non-interference). These program logics prove the absence of (bad combinations of) executions. On the other hand, program logics similar to Hoare logic have been proposed to disprove program properties (e.g., Incorrectness Logic), by proving the existence of (bad combinations of) executions. All of these logics have in common that they specify program properties using assertions over a fixed number of states, for instance, a single pre- and post-state for functional properties or pairs of pre- and post-states for non-interference. In this paper, we present Hyper Hoare Logic, a generalization of Hoare logic that lifts assertions to properties of arbitrary sets of states. The resulting logic is simple yet expressive: its judgments can express arbitrary program hyperproperties, a particular class of hyperproperties over the set of terminating executions of a program (including properties of individual program executions). By allowing assertions to reason about sets of states, Hyper Hoare Logic can reason about both the absence and the existence of (combinations of) executions, and, thereby, supports both proving and disproving program (hyper-)properties within the same logic, including (hyper-)properties that no existing Hoare logic can express. We prove that Hyper Hoare Logic is sound and complete, and demonstrate that it captures important proof principles naturally. All our technical results have been proved in Isabelle/HOL.

연구 동기 및 목표

• 기존 호어 논리가 나쁜 실행 조합의 부재만 증명할 수 있는 한계를 해결하기 위해, 이러한 조합의 존재성에 대해 추론할 수 있도록 하는 것.
• 증명과 반증 능력을 하나의 논리 내에서 통합함으로써, 과잉근사(초안전성)와 과소근사(오류) 추론 간의 대비를 극복하는 것.
• 단일 또는 고정 크기의 상태 트리플릿에서부터 임의의 상태 집합으로 주장 조건을 일반화함으로써, 비정상적인 수의 실행을 포함한 복잡한 초성질을 표현할 수 있도록 하는 것.
• 종료하는 프로그램의 임의의 초성질을 표현하고 검증할 수 있도록, 논리가 타당성과 완전성을 갖춘다는 것을 입증하는 것.
• 주요 증명 원리(예: 분기 구조에 대한 동기화 추론)가 자연스럽게 표현될 수 있음을 보여줌으로써 실용적 검증 도구의 기반을 마련하는 것.

제안 방법

• 표준 호어 논리의 판단을 확장하여, 고정 크기의 상태 트리플릿이 아닌, 임의의 상태 집합에 대한 전제 및 후행 조건을 允허함.
• 프로그램 명령어가 초기 상태 집합과 최종 상태 집합 간의 관계를 집합 기반의 주장 조건으로 표현하는 일반화된 판단 형태를 도입함.
• 다른 분기 간에 상태의 분리된 부분을 동기적으로 추론할 수 있도록 텐서 곱 연산자(예: $A igotimes_{x=1,2} B$)를 사용한 새로운 주장 조건 클래스를 정의함.
• 두 개의 서로 다른 프로그램 분기에서 동시에 추론할 수 있는 동기화 추론 규칙을 개발함으로써, 유사한 구조를 가진 분기들에 대해 모듈성 있는 증명을 가능하게 함.
• 타당성과 완전성을 이소버렐/홀(Isabelle/HOL)에서의 형식화를 통해 증명함으로써, 모든 판단이 논리적으로 타당하고, 모든 타당한 초성질이 유도 가능하다는 것을 보장함.
• 동일한 논리 프레임워크 내에서 결정성, 비차별성, 버그 존재성과 같은 복잡한 초성질을 표현함으로써 표현력을 입증함.

실험 결과

연구 질문

• RQ1 하나의 프로그램 논리가 프로그램 실행 조합의 부재와 존재를 모두 표현할 수 있는가, 특히 버그와 비결정성과 같은 경우를 포함하여?
• RQ2 임의의 상태 집합에 대한 주장 조건이 비정상적인 수의 실행을 포함한 모든 트레이스 및 초성질을 포괄할 수 있는가?
• RQ3 구조적으로 유사하지만 동일하지 않은 분기들에 대해, 프로그램의 다양한 분기에서 동기화된 추론을 수행할 수 있는 호어 스타일 논리 설계가 가능한가?
• RQ4 이러한 논리가 종료하는 프로그램의 모든 초성질에 대해 타당성과 완전성을 갖출 수 있는가?
• RQ5 기존의 증명 원리(예: 관계적 추론 또는 오류 추론)가 통합된 프레임워크 내에서 자연스럽게 통합될 수 있는가?

주요 결과

• 하이퍼 호어 논리는 종료하는 프로그램의 모든 초성질에 대해 타당성과 완전성을 갖추며, 실행 집합에 대한 추론의 기초적 결과를 확립한다.
• 이전의 호어 논리로는 다룰 수 없었던 초성질, 즉 런타임 오류 또는 비결정성과 같은 나쁜 실행 조합의 존재를 포함한 초성질까지도 표현하고 검증할 수 있다.
• 동기화 추론 규칙은 구조가 비슷하지만 서로 다른 분기들을 가진 프로그램의 모듈성 있는 검증을 가능하게 하여 증명의 효율성을 향상시킨다.
• 이소버렐/홀(Isabelle/HOL)에서 논리 및 그 메타이론의 형식화는 타당성을 보장하며, 도구 통합 및 향후 검증 도구 개발의 기반을 제공한다.
• 이 논리는 기존 접근법을 포함한다: 비차별성 검증을 위한 과잉근사 추론, 버그 탐지용 과소근사 추론, 그리고 하이브리드 추론을 모두 하나의 균일한 프레임워크 내에서 지원한다.
• 논문은 상태 집합에 대한 추론이 모든 초성질을 포괄하는 데 충분하다는 것을 입증하였으며, 이는 완전성 정리(정리 10)를 통해 이 접근의 표현력을 확인한다.