[论文解读] Meta-F*: Metaprogramming and Tactics in an Effectful Program Verifier.

Guido Martínez, Danel Ahman+11 more|arXiv (Cornell University)|Mar 17, 2018

Logic, programming, and type systems参考文献 16被引用 1

一句话总结

Meta-F* 为 F* 引入了一个元编程框架，支持带有副作用的证明脚本编写和用户自定义策略，这些功能与 F* 的最弱前置条件演算及 SMT 求解器无缝集成。通过结合元编程与 SMT 自动化，它显著提升了复杂逻辑（如分离逻辑和非线性算术）的证明稳定性与自动化程度，使此前难以处理的验证任务变得可行。

ABSTRACT

Verification tools for effectful programming languages often rely on automated theorem provers such as SMT solvers to discharge their proof obligations, usually with very limited facilities for user interaction. When the need arises for logics (e.g., higher order or separation logic) or theories (e.g., non-linear arithmetic) that are hard for SMT solvers to efficiently automate, this style of program verification becomes problematic. Building on ideas from the interactive theorem proving community we introduce Meta-F*, a metaprogramming framework for the F* effectful language and SMT-based program verification tool. Meta-F* allows developers to write effectful metaprograms suitable for proof scripting, user-defined proof automation, and verified program construction and transformation. Metaprograms are effectful programs in F* itself, making good use of F*'s libraries, IDE support, and extraction to efficient native code. Meta-F*, moreover, is well-integrated with F*'s weakest precondition calculus and can solve or pre-process parts of the verification condition while leaving the rest for the SMT solver. We evaluate Meta-F* on a variety of examples, demonstrating that tactics, and metaprogramming in general, improve proof stability and automation in F*. Using metaprogrammed decision procedures for richer logics in combination with SMT solving makes it practical to apply F* in settings that were previously out of reach, such as separation logic, or that suffered from poor automation, such as the non-linear arithmetic proofs needed for verifying cryptographic primitives.

研究动机与目标

• 为解决 SMT 求解器在处理高阶逻辑和带有副作用程序验证中的分离逻辑等复杂逻辑时的局限性。
• 提升 F* 在涉及非线性算术（尤其是密码学原 primitive）的验证任务中的证明自动化与稳定性。
• 使开发人员能够作为一等公民在 F* 中编写用户自定义策略与决策过程。
• 将元编程与 F* 的最弱前置条件演算及基于 SMT 的验证流水线无缝集成。
• 通过将元编程决策过程与 SMT 求解相结合，使高级验证技术变得实用。

提出的方法

• Meta-F* 扩展了 F*，引入一个元编程框架，允许编写可带有副作用的程序来操作和生成证明。
• 元程序本身用 F* 编写，利用其丰富的类型系统、库支持以及 IDE 功能，提升开发体验。
• 该框架与 F* 的最弱前置条件演算集成，可在将验证条件委托给 SMT 求解器之前进行预处理或直接求解。
• 它支持为复杂理论（如非线性算术和分离逻辑）构建自定义决策过程。
• 元程序可被提取为高效的本地代码，确保在证明自动化中的性能表现。
• 该系统支持用户自定义策略，可组合与复用，从而提升证明脚本的模块化与可维护性。

实验结果

研究问题

• RQ1 F* 中的元编程能否有效扩展证明自动化能力，超越 SMT 求解器单独的能力范围？
• RQ2 将用户自定义策略与 SMT 求解结合，如何提升复杂验证任务中的证明稳定性与性能？
• RQ3 对非线性算术与分离逻辑的元编程决策过程，能在多大程度上减少对手动证明构造的依赖？
• RQ4 带有副作用的元程序能否在不牺牲性能或正确性的情况下，无缝集成到 F* 的验证流水线中？
• RQ5 与现有方法相比，Meta-F* 在高级程序验证的表达力与自动化方面表现如何？

主要发现

• Meta-F* 支持实现非线性算术的自定义决策过程，显著提升了对密码学原 primitive 验证的自动化程度。
• 元编程与 F* 最弱前置条件演算的集成，使得验证条件可在求解前进行预处理，减轻了 SMT 求解器的负担。
• 通过可组合与复用的用户自定义策略，证明的稳定性与自动化能力得到增强，适用于多种验证任务。
• Meta-F* 通过允许开发人员将复杂的推理模式编码为可重用的元程序，使分离逻辑验证变得实用。
• 该框架支持将元程序高效提取为本地代码，确保在不损失表达力的前提下，证明自动化的性能表现。
• 评估结果表明，将元编程推理与 SMT 求解结合，能够验证此前因逻辑复杂度过高而被认为不可行的程序。