[论文解读] Abstract I/O Specification

Willem Penninckx, Amin Timany+1 more|arXiv (Cornell University)|Jan 29, 2019

Petri Nets in System Modeling参考文献 2被引用 4

一句话总结

本文提出了一种增强的抽象 I/O 行为规格框架，通过将 Petri 网嵌入分离逻辑并使用断言作为位置，实现了对结合内存操作与 I/O 的 I/O 操作的模块化验证。该框架引入了受约束的、增量式的预言变量以处理非确定性输入，并支持对 I/O 规格的等价性推理。形式化验证基于 Iris/Coq 完成，并已集成至 VeriFast。

ABSTRACT

We recently proposed an approach for the specification and modular formal verification of the interactive (I/O) behavior of programs, based on an embedding of Petri nets into separation logic. While this approach is scalable and modular in terms of the I/O APIs available to a program, enables composing low-level I/O actions into high-level ones, and enables a convenient verification experience, it does not support high-level I/O actions that involve memory manipulation as well as low-level I/O (such as buffered I/O), or that are in fact "virtual I/O" actions that are implemented purely through memory manipulation. Furthermore, it does not allow rewriting an I/O specification into an equivalent one. In this paper, we propose a refined approach that does have these properties. The essential insight is to fix the set of places of the Petri net to be the set of separation logic assertions, thus making available the full power of separation logic for abstractly stating an arbitrary operation's specification in Petri net form, for composing operations into an I/O specification, and for equivalence reasoning on I/O specifications. Our refinement resolves the issue of the justification of the choice of Petri nets over other formalisms such as general state transition systems, in that it "refines them away" into the more essential constructs of separating conjunction and abstract nested triples. To enable a convenient treatment of input operations, we propose the use of prophecy variables to eliminate their non-determinism. We illustrate the approach through a number of example programs, including one where subroutines specified and verified using I/O specifications run as threads communicating through shared memory. The theory and examples of the paper have been machine-checked using the Iris library for program verification in the Coq proof assistant.

研究动机与目标

• 解决在命令式程序中缺乏对交互式 I/O 行为的模块化、组合式验证技术的问题。
• 支持对结合内存操作与 I/O 的高层 I/O 操作（如缓冲 I/O 或 ByteArrayOutputStream）的规格化与验证。
• 支持对 I/O 规格的重写与等价性推理，这是先前基于 Petri 网的方法所无法实现的。
• 通过预言变量将非确定性输入操作模块化地集成到规格框架中，从而消除非确定性。
• 为验证具有 I/O 行为的并发程序（如通过共享内存通道进行线程通信）提供基础。

提出的方法

• 将 Petri 网位置的集合固定为分离逻辑断言，从而可完全利用分离逻辑来规格化 I/O 行为。
• 使用分离合取与抽象嵌套三元组来表达 I/O 规格，无需显式引用 Petri 网，从而将形式化体系精炼为核心逻辑构造。
• 引入受约束的、增量式的预言变量，将非确定性输入操作建模为具有可预测结果的确定性、有状态操作。
• 定义转移谓词（例如 send_、receive_），通过共享不变式与幽灵状态的分数所有权关系连接前后置条件。
• 使用共享不变式来跟踪多个线程的状态以及通信通道的内容，确保并发操作的一致性。
• 使用 Coq 中的 Iris 库对理论与示例进行机器可检查，通过 VeriFast 对 C 与 Java 示例验证该方法。

实验结果

研究问题

• RQ1 当 I/O 规格涉及内存操作与低级 I/O 操作时，如何实现其模块化与可组合性？
• RQ2 是否可以在分离逻辑框架中支持对 I/O 规格的等价性推理？如果可以，如何实现？
• RQ3 如何形式化地建模与验证非确定性输入操作，同时保持模块化与组合式推理？
• RQ4 是否可以将 I/O 规格中的 Petri 网形式化精炼为更基础的逻辑形式化体系，同时不损失表达能力？
• RQ5 如何使用该框架验证具有 I/O 行为的并发程序（如通过共享内存进行线程通信的聊天服务器）？

主要发现

• 所提出的框架能够规格化与验证混合内存操作与 I/O 的 I/O 操作，例如 Java 的 ByteArrayOutputStream，这些在先前方法中无法表达。
• 将分离逻辑断言用作 Petri 网位置，使得 I/O 规格的组合式推理与等价性检查成为可能。
• 受约束的、增量式的预言变量成功消除了输入操作中的非确定性，同时保持了模块化，并支持验证。
• 该框架支持对并发程序的模块化验证，例如通过共享内存通道进行通信的多线程聊天服务器。
• 理论与示例已在 Coq 中使用 Iris 库完成形式化验证，且该方法已成功集成至 C 与 Java 的 VeriFast 验证器中。