[논문 리뷰] Separation Logic for Small-step Cminor

Andrew W. Appel, Sandrine Blazy|ArXiv.org|2007. 07. 30.

Logic, programming, and type systems참고 문헌 12인용 수 9

한 줄 요약

이 논문은 검증된 컴파일러에서 사용되는 중간 수준의 언어인 Cminor의 재설계된 버전에서, 소작동 실행 의미론과 기계로 검증된 타당성 증명을 제시한다. 이 작업은 비정지, I/O, 향후 동시성 확장을 지원하는 저수준 C 유사 프로그램의 형식적 검증을 가능하게 하며, Coq에서 소작동 의미론에 대해 수행된 분리 논리의 첫 번째 대규모 기계 검증 타당성 증명을 확립한다.

ABSTRACT

Cminor is a mid-level imperative programming language; there are proved-correct optimizing compilers from C to Cminor and from Cminor to machine language. We have redesigned Cminor so that it is suitable for Hoare Logic reasoning and we have designed a Separation Logic for Cminor. In this paper, we give a small-step semantics (instead of the big-step of the proved-correct compiler) that is motivated by the need to support future concurrent extensions. We detail a machine-checked proof of soundness of our Separation Logic. This is the first large-scale machine-checked proof of a Separation Logic w.r.t. a small-step semantics. The work presented in this paper has been carried out in the Coq proof assistant. It is a first step towards an environment in which concurrent Cminor programs can be verified using Separation Logic and also compiled by a proved-correct compiler with formal end-to-end correctness guarantees.

연구 동기 및 목표

• 비정지, I/O, 동시 프로그램에 대한 추론을 지원하기 위해 소작동 실행 의미론을 기반으로 Cminor를 재설계한다.
• 비국소 제어 구조(예: return, exit)를 지원하는 분리 논리를 사용하여 저수준 C 유사 프로그램의 형식적 검증을 가능하게 한다.
• 고수준 언어에서 기계어로의 엔드투엔드 검증 컴파일링 기반을 제공한다.
• 오라클과 층위 증명 아키텍처를 사용하여 모듈러하고 확장 가능한 방식으로 향후 동시성 확장을 지원하는 의미론과 논리를 확장한다.

제안 방법

• 연속성 기반의 소작동 의미론을 사용하여 비국소 제어 및 향후 동시성을 지원하는 방식으로 Cminor를 재설계한다.
• 제어 흐름 추적 기능이 있는 sextuple(사전/사후 조건)을 사용하여 Cminor에 대한 분리 논리를 정의한다. 이는 return 및 exit 문을 처리한다.
• Coq 증명 보조 도구에서 논리와 의미론을 구현하며, 새로운 직선 문장에 대한 확장성을 보장하기 위해 모듈러하고 매개변수화된 접근 방식을 사용한다.
• 각 규칙을 Coq 렘마로 검증하여 분리 논리의 타당성을 증명하고, 주 함수의 안전성을 보장하는 주요 정리를 확립한다.
• 오라클을 사용하여 확장 명령어(예: spawn, lock, unlock)를 모델링함으로써 순차적 타당성을 유지하면서 동시성 추론을 가능하게 한다.
• 새로운 소작동 의미론과 CompCert의 대작동 의미론 간의 의미론적 동치성을 확립하여, 검증된 컴파일러와의 호환성을 보장한다.

실험 결과

연구 질문

• RQ1 저수준 명령형 언어인 Cminor에 대해 소작동 실행 의미론에 대해 분리 논리를 타당하게 정의하고 검증할 수 있는가?
• RQ2 소작동 의미론 내에서 비국소 제어 구조(예: return, exit)를 형식적으로 모델링할 수 있는가?
• RQ3 결과로 얻어진 논리는 스레드, 락, 공유 메모리와 같은 동시 기능을 타당성을 유지하면서 지원할 수 있는가?
• RQ4 Coq에서 순차적 검증과 향후 동시성 추론을 모두 지원하는 모듈러하고 확장 가능한 프레임워크를 구축할 수 있는가?
• RQ5 기존 CompCert 컴파일러의 대작동 의미론과 호환될 수 있도록 소작동 의미론을 설계할 수 있는가? 이를 통해 엔드투엔드 검증 보장을 확보할 수 있는가?

주요 결과

• 논문은 Coq에서 검증된 소작동 의미론에 대해 분리 논리의 첫 기계 검증 타당성 증명을 제시한다.
• 소작동 의미론은 연속성 기반 설계를 통해 return 및 exit과 같은 비국소 제어 구조를 지원하여 비정지 및 I/O 프로그램에 대한 추론을 가능하게 한다.
• 제어 흐름 영향을 추적하기 위해 분리 논리는 sextuple으로 확장되어, 조기 리턴이나 종료가 있는 프로시저에 대한 정확한 추론을 가능하게 한다.
• 타당성 증명은 모듈러하고 확장 가능하다: 새로운 직선 문장(예: spawn, lock)은 오라클을 통해 추가되며, 핵심 논리를 재검증하지 않아도 된다.
• 새로운 소작동 의미론은 CompCert의 대작동 의미론과 의미론적으로 동치이며, 새로운 논리에서 검증된 프로그램은 검증된 CompCert 컴파일러로 컴파일될 수 있음을 보장한다.
• 향후 동시 Cminor 작업을 지원하도록 설계되었으며, 동시 분리 논리를 사용하여 동시 프로그램의 비교 및 정확성 증명을 위한 명확한 길이 존재한다.