[논문 리뷰] Verifying Eiffel Programs with Boogie

Julian Tschannen, Carlo A. Furia외 2명|arXiv (Cornell University)|2011. 06. 23.

Logic, programming, and type systems참고 문헌 18인용 수 13

한 줄 요약

이 논문은 설계-기반 계약(annotation)이 추가된 Eiffel 프로그램을 Boogie로 변환하여 자동 검증을 수행하는 정적 검증 도구인 AutoProof를 제시한다. 이 도구는 상속, 다형성, 예외 처리, 함수 객체(에이전트)와 같은 고급 객체 지향 프로그래밍 기능을 지원하며, 프레임 조건 자동 생성을 통해 애너테이션의 부담을 줄이고, 최소한의 수동 작업으로 다양한 Eiffel 사례 연구를 성공적으로 검증한다.

ABSTRACT

Static program verifiers such as Spec#, Dafny, jStar, and VeriFast define the state of the art in automated functional verification techniques. The next open challenges are to make verification tools usable even by programmers not fluent in formal techniques. This paper presents AutoProof, a verification tool that translates Eiffel programs to Boogie and uses the Boogie verifier to prove them. In an effort to be usable with real programs, AutoProof fully supports several advanced object-oriented features including polymorphism, inheritance, and function objects. AutoProof also adopts simple strategies to reduce the amount of annotations needed when verifying programs (e.g., frame conditions). The paper illustrates the main features of AutoProof's translation, including some whose implementation is underway, and demonstrates them with examples and a case study.

연구 동기 및 목표

• 형식 방법에 깊이 몰입할 필요 없이도 실용적이고 사용 가능한 Eiffel 프로그램의 형식 검증을 가능하게 하기 위해.
• 특히 프레임 조건과 예외 처리에 대한 수동 애너테이션 부담을 줄이기 위해.
• 상속, 다형성, 함수 객체(에이전트), 예외 처리와 같은 복잡한 Eiffel 언어 기능을 검증 가능한 번역 파이프라인에서 지원하기 위해.
• 통합된 검증 워크플로우를 위한 Eiffel 검증 환경(EVE)과 통합하기 위해.
• Boogie와 같은 중간 검증 언어를 기반으로 한 자동화된 도구를 사용해 실제 Eiffel 프로그램을 검증할 수 있는 가능성을 입증하기 위해.

제안 방법

• 사전 조건, 후행 조건, 불변식, 그리고 진술이 추가된 Eiffel 프로그램을 해당하는 Boogie 프로그램으로 변환한다.
• Eiffel의 고유한 예외 처리 메커니즘—구조적 구절(rescue clauses)과 재시도 로직을 포함—을 Boogie의 검증 프레임워크로 변환한다.
• 후행 조건에서 구문적 힌트를 적용하여 프레임 조건의 기본값을 추론함으로써 명시적 프레임 애너테이션의 수를 최소화한다.
• 다형적 상속, 함수 객체(에이전트), 동적 타입 해석과 같은 고급 Eiffel 기능을 지원한다.
• Boogie의 검증 백엔드를 사용하여 루프 불변식과 클래스 불변식을 포함한 정확성 성질을 자동으로 증명한다.
• EVE 환경과 통합하여 AutoProof를 분리 논리와 상호작용 증명기와 같은 다른 검증 기법과 결합한다.

실험 결과

연구 질문

• RQ1 Boogie와 같은 중간 검증 언어를 기반으로 한 자동화된 도구를 사용해 복잡한 객체 지향 기능을 갖춘 Eiffel 프로그램을 효과적으로 검증할 수 있는가?
• RQ2 검증의 타당성을 유지하면서도, 특히 프레임 조건과 예외 처리에 대한 애너테이션 부담을 어떻게 최소화할 수 있는가?
• RQ3 프레임 조건과 중간 진술의 자동 추론이 검증 능력을 훼손하지 않으면서도 사용성 향상에 얼마나 기여할 수 있는가?
• RQ4 상속, 에이전트, 예외 처리와 같은 기능을 갖춘 실제 Eiffel 프로그램에 대해 번역이 얼마나 잘 스케일링되는가?
• RQ5 EVE와 같은 통합 검증 환경에 AutoProof를 통합하면 전체 검증 경험과 도구 간 상호작용이 얼마나 향상되는가?

주요 결과

• AutoProof는 예외 처리, 상속, 에이전트, 복잡한 데이터 구조를 포함한 11개의 Eiffel 사례 연구를 성공적으로 변환하고 검증했다.
• 모든 사례의 평균 검증 시간은 프로그램당 2.76초였으며, 가장 오래 걸린 사례(Calculator)는 9.73초가 소요되었다.
• 대부분의 경우 프레임 조건이 자동으로 추론되어 수동 애너테이션의 필요성이 줄었으며, 복잡한 사례 외에는 명시적 프레임 사양이 거의 필요로 하지 않았다.
• Eiffel의 고유한 예외 처리 메커니즘—재시도 로직과 구조적 구절에서의 상태 복원—을 정확히 모델링했지만, 작성 시점에는 완전한 지원가 아직 구현 중이었다.
• 실제 Eiffel 코드에 대해 스케일링 능력과 사용성 면에서 성공적으로 입증되었으며, 에이전트를 통한 명령(Command) 및 관찰자(Observer) 패턴과 같은 설계 패턴을 사용한 프로그램도 포함되었다.
• EVE와의 통합을 통해 다양한 검증 기법의 상호작용을 가능하게 하여, Eiffel용 종합적인 검증 스택의 기반을 마련했다.