[论文解读] Higher-Order Program Verification via HFL Model Checking

Naoki Kobayashi, Takeshi Tsukada+1 more|arXiv (Cornell University)|Oct 24, 2017

Formal Methods in Verification参考文献 45被引用 3

一句话总结

本文提出了一种新颖且统一的高阶程序验证方法，通过将多种验证问题——如可能/必须可达性、轨迹性质以及线性时序逻辑性质——归约为扩展的高阶模型检测（HFL）模型检查，实现了统一的逻辑化处理。核心贡献在于通过HFL公式对程序性质进行了 sound 且 complete 的逻辑刻画，从而实现仅依赖逻辑技术的统一推理，相较于以往基于HORS的方法，该方法在无限数据程序的表达能力和正确性方面均有显著提升。

ABSTRACT

There are two kinds of higher-order extensions of model checking: HORS model checking and HFL model checking. Whilst the former has been applied to automated verification of higher-order functional programs, applications of the latter have not been well studied. In the present paper, we show that various verification problems for functional programs, including may/must-reachability, trace properties, and linear-time temporal properties (and their negations), can be naturally reduced to (extended) HFL model checking. The reductions yield a sound and complete logical characterization of those program properties. Compared with the previous approaches based on HORS model checking, our approach provides a more uniform, streamlined method for higher-order program verification.

研究动机与目标

• 解决尽管高阶递归逻辑（HFL）模型检查具有强大表达能力，但在程序验证中应用有限的问题。
• 为具有递归、整数和非确定性的高阶函数程序提供一种统一且基于逻辑的验证方法。
• 通过在验证过程中保留数据域的语义信息，克服基于HORS方法在处理无限数据程序时的局限性。
• 通过系统性地将HFL模型检查作为归约基础，实现对线性时序逻辑及其否定等复杂性质的验证。
• 证明HFL模型检查可作为多样化验证任务的基础性逻辑框架，取代以往的临时性归约方法。

提出的方法

• 通过将程序行为转化为表达‘合法行为’的逻辑公式，将程序验证问题归约为HFL模型检查。
• 使用模态算符（如⟨read⟩、⟨close⟩）编码系统中的状态转移，利用逻辑合取与蕴含关系表示非确定性及条件选择。
• 采用递归公式——特别是最大不动点（ν）与最小不动点（μ）——来表达程序的递归行为与存活性质。
• 扩展HFL以支持整数谓词，从而处理有限数据程序，并使此类情况下的验证具有可判定性。
• 用统一的处理流程替代传统的两阶段HORS模型检查流水线，即先计算过程摘要，再对剩余的逻辑公式执行HFL模型检查。
• 利用HFL的表达能力，以逻辑上统一的方式编码复杂程序性质，包括时序性质与轨迹性质。

实验结果

研究问题

• RQ1 HFL模型检查能否用于统一验证包括可达性与时序逻辑性质在内的广泛高阶程序性质？
• RQ2 如何构造HFL公式以逻辑地刻画程序行为，如合法的文件访问序列或递归函数执行？
• RQ3 在处理无限数据程序时，HFL验证方法相较于HORS方法有何优势？
• RQ4 通过HFL公式对程序性质进行逻辑刻画，是否能实现无需依赖不完备转换的完全且sound的验证？
• RQ5 通过统一的归约策略，同一逻辑框架在不同验证任务中可复用的程度如何？

主要发现

• 本文建立了从多种高阶程序验证问题到扩展HFL模型检查的 sound 且 complete 的归约，为程序性质提供了坚实的逻辑基础。
• 该方法通过将线性时序逻辑性质及其否定编码为HFL不动点公式，实现了对这些性质的验证，同时保持了语义精确性。
• 对于有限数据程序，该归约产生的是纯HFL模型检查问题，其具有可判定性，而一般扩展HFL问题则是不可判定的。
• 该方法在处理无限数据程序时优于以往的HORS-based方法，因为它在验证的第二阶段保留了关键的数据域信息。
• 逻辑刻画使得仅通过逻辑推理（例如使用Coq）即可证明或证伪程序性质，显著减少了对领域特定启发式方法的依赖。
• 使用逻辑刻画后，Coq中的证明显著更短且更具模块化，每个示例仅需少数关键洞察即可完成。