[논문 리뷰] The First-Order Logic of Hyperproperties

Bernd Finkbeiner, Martín Zimmermann|arXiv (Cornell University)|2017. 01. 01.

Distributed systems and fault tolerance인용 수 28

한 줄 요약

이 논문은 HyperLTL—초성질을 위한 LTL의 확장—과 일阶 논리 사이의 첫 번째 연결을 수립한다. 이를 위해 초성질에 대한 일阶 논리의 조각인 HyperFO를 도입하며, 이는 집합적 트레이스 위에서 정의된 일阶 논리의 일부분으로서 HyperLTL와 표현력이 동일하다. 논문은 Kamp의 정리의 초성질 버전을 증명하여, HyperLTL와 HyperFO가 상호 번역 가능하다는 것을 보이며, 순서와 트레이스 간 동일 수준을 나타내는 기호를 사용하는 일阶 논리에 의해 HyperLTL의 표현력이 기초적으로 기술됨을 보여준다.

ABSTRACT

We investigate the logical foundations of hyperproperties. Hyperproperties generalize trace properties, which are sets of traces, to sets of sets of traces. The most prominent application of hyperproperties is information flow security: information flow policies characterize the secrecy and integrity of a system by comparing two or more execution traces, for example by comparing the observations made by an external observer on execution traces that result from different values of a secret variable. In this paper, we establish the first connection between temporal logics for hyperproperties and first-order logic. Kamp's seminal theorem (in the formulation due to Gabbay et al.) states that linear-time temporal logic (LTL) is expressively equivalent to first-order logic over the natural numbers with order. We introduce first-order logic over sets of traces and prove that HyperLTL, the extension of LTL to hyperproperties, is strictly subsumed by this logic. We furthermore exhibit a fragment that is expressively equivalent to HyperLTL, thereby establishing Kamp's theorem for hyperproperties.

연구 동기 및 목표

• 초성질의 논리적 기초를 확립하기 위해 HyperLTL를 일阶 논리와 연결한다.
• LTL의 모델 이론적 단순성(예: 궁극적으로 주기적인 모델)이 HyperLTL로까지 확장되는지 조사한다.
• 트레이스 집합 위에서 HyperLTL의 표현력을 포괄하는 일阶 논리의 조각을 정의한다.
• HyperLTL가 특정 일阶 논리 조각과 표현력이 동일하다는 것을 증명함으로써, Kamp의 정리를 초성질로 확장한다.

제안 방법

• 서로 다른 자연수의 복제본(트레이스를 위해)을 갖는 관계적 구조를 정의하며, 선형 순서 < 와 서로 다른 트레이스의 위치를 연결하는 동일 수준 기호 E를 함께 제공한다.
• 초기 위치로 제한되거나 이전 선택에 의해 가로막히는 양태로 양화자를 제한함으로써, 트레이스에 대한 유한한 양화를 보장하는 FO[<, E]의 부분집합인 HyperFO를 도입한다.
• 트레이스 양화자와 시간 연산자를 일阶 논리적 구성요소로 표현함으로써, 모든 HyperLTL 공식이 등가인 HyperFO 공식으로 번역될 수 있음을 증명한다.
• 역방향 번역을 증명한다: 모든 HyperFO 공식은 다중 트레이스 공식을 단일 트레이스 LTL 공식으로 줄이는 기법을 사용하여 HyperLTL 공식으로 표현될 수 있다.
• 모델 체킹 게임과 Gabbay 등이 제시한 LTL 동치성 정리에 기반하여, 병합된 트레이스가 해당 LTL 공식을 만족함을 보인다.
• HyperLTL와 HyperFO 사이의 표현력 동치성을 확립함으로써, Kamp의 정리의 초성질 버전을 증명한다.

실험 결과

연구 질문

• RQ1 HyperLTL의 표현력은 트레이스 집합 위에서 순서와 동일 수준 기호를 갖는 일阶 논리로 완전히 기술될 수 있는가?
• RQ2 LTL의 모델 이론적 단순성(예: 궁극적으로 주기적인 모델)은 HyperLTL로까지 확장되는가?
• RQ3 HyperLTL와 표현력이 동일한 트레이스 위의 일阶 논리의 조각이 존재하는가?
• RQ4 LTL과 일阶 논리 사이의 관계를 설명하는 Kamp의 정리가 초성질로 확장될 수 있는가?
• RQ5 HyperLTL를 포괄하기 위해 트레이스 위의 일阶 논리에 필요한 그리고 충분한 논리적 제약 조건은 무엇인가?

주요 결과

• HyperLTL는 순서와 동일 수준 기호를 갖는 트레이스 집합 위의 일阶 논리(FO[<, E])에 엄격하게 포함되지만, 모든 FO[<, E] 공식이 HyperLTL에서 표현 가능한 것은 아니다.
• HyperFO는 FO[<, E]의 제한된 조각으로서 HyperLTL와 표현력이 동일하며, 초성질의 일阶 특성화를 제공한다.
• HyperLTL의 모델은 반드시 유한하거나 정규적이거나 궁극적으로 주기적이지는 않다—일부 공식은 무한, 비정규 또는 비주기적 모델이 필요로 한다.
• 논문은 소수의 집합을 인코딩하는 HyperLTL 공식을 구성함으로써, 이 논리의 표현력이 단순한 트레이스 성질을 초월함을 보여준다.
• HyperLTL에서 HyperFO로의 번역은 효과적이며 진리 값을 유지하므로, 일阶 논리적 추론을 통한 모델 체킹과 검증이 가능하다.
• 논문은 Kamp의 정리의 초성질 버전을 증명한다: HyperLTL는 HyperFO와 표현력이 동일하며, 고전적 경우에서 LTL와 FO[<]가 동치임을 보여주는 것과 마찬가지로, 초성질의 맥락에서 동치이다.