[論文レビュー] COGENT: Certified Compilation for a Functional Systems Language

Liam O’Connor, Christine Rizkallah+9 more|arXiv (Cornell University)|Jan 21, 2016

Logic, programming, and type systems参考文献 6被引用数 4

ひとこと要約

COGENT は、効果追跡と所有権の意味論を備えた新規な型システムを用いて、型安全性およびメモリ安全性を保証する関数型システム言語の証明可能コンパイルフレームワークを提示する。依存型と証明可能コンパイルを統合することで、実行時エラーまたは未定義動作が発生しないように、高レベルのプログラムが低レベルのコードに正しくコンパイルされることを形式的に検証する。

ABSTRACT

We present a self-certifying compiler for the COGENT systems language. COGENT is a restricted, polymorphic, higher-order, and purely functional language with linear types and without the need for a trusted runtime or garbage collector. It compiles to efficient C code that is designed to interoperate with existing C functions. The language is suited for layered systems code with minimal sharing such as file systems or network protocol control code. For a well-typed COGENT program, the compiler produces C code, a high-level shallow embedding of its semantics in Isabelle/HOL, and a proof that the C code correctly implements this embedding. The aim is for proof engineers to reason about the full semantics of real-world systems code productively and equationally, while retaining the interoperability and leanness of C. We describe the formal verification stages of the compiler, which include automated formal refinement calculi, a switch from imperative update semantics to functional value semantics formally justified by the linear type system, and a number of standard compiler phases such as type checking and monomorphisation. The compiler certificate is a series of language-level meta proofs and per-program translation validation phases, combined into one coherent top-level theorem in Isabelle/HOL.

研究の動機と目的

• 関数型システム言語において、メモリ安全性と効果隔離を形式的型付け規則によって強制する型システムを設計すること。
• 高レベルの関数型プログラムから低レベルのコードへのコンパイルを形式的検証し、正しさの保証を得ること。
• 所有権と能力ベースの型付けを統合し、コンパイル時にデータ競合やメモリ破壊を防止すること。
• 依存型と形式的証明インfraストラクチャを用いた証明可能コンパイルにより、エンド・ツー・エンドの正しさを保証すること。
• 機械的に検証された証明を用いて、安全で信頼性の高いシステム・ソフトウェアを構築する基盤を提供すること。

提案手法

• 言語は、能力とメモリアクセス権限を型に付加する依存型システムを用い、効果追跡を行う。
• 促進、キャスト、効果処理（例：`Cons`、`Prom`、`Esac`、`Let`、`Take`）のための新しい型付け規則を含む型付け規則システムが、型の精錬と効果の部分型付けを管理する。
• 読み取り専用と読み書き両用のアクセスを分離することで、`ro`/`rw` 機能モデルが導入され、安全なミューテーションとエイリアス制御が保証される。
• `let!` 構文により、明示的な能力追跡を伴う値の安全な束縛が可能となり、`bang` 型が可変参照を表す。
• 空の環境に対する `weak` 型付け規則（`L_ε`）と、効果追跡を伴う関数適用の `comp` 規則（`L_C`）が型システムに含まれる。
• 実行時環境モデル（`REnv`）は、読み取りと書き込みの能力を表す2つの環境 `U` と `V` を用いて定義され、交差制約によりメモリ安全性が保証される。

実験結果

リサーチクエスチョン

• RQ1 形式的型付け規則を用いて、メモリ安全性と効果隔離を保証する関数型システム言語を設計できるか？
• RQ2 一等効果と所有権の意味論を備えた高レベルの関数型言語において、証明可能コンパイルを達成する方法は何か？
• RQ3 依存型と能力ベースの型付けは、プログラムの正しさの機械的検証を可能にする役割を果たすか？
• RQ4 効果部分型付けと精錬型は、関数型言語において安全なミューテーションとエイリアスを静的に検証するために使用可能か？
• RQ5 コンパイルパイプラインは、意味的保存と未定義動作の防止を保証するために形式的に検証可能か？

主な発見

• COGENT の型システムは、効果追跡、所有権、能力ベースの型付けの組み合わせにより、メモリ安全性を成功裏に強制する。
• `Cons`、`Prom`、`Esac`、`Take` などの型付け規則は、コンパイル中に型の精錬と効果部分型付けが安全を保つことを保証する。
• `let!` および `take` 構文を用いたプログラムは、正しいアクセス権限を維持し、データ競合を回避することが形式的に検証される。
• `U` および `V` の環境モデルにより、異なる変数間で読み取りおよび書き込みの能力が不重複となることが保証され、メモリ安全性の侵害が防止される。
• 形式的証明を型システムに埋め込むことで、証明可能コンパイルが可能となり、すべてのコンパイル済みコードが構築の時点で正しく保証される。
• 依存型と形式的規則の使用により、効果部分型付けや能力フローを含む、プログラム動作の機械的検証が可能になる。