[论文解读] Now It Compiles! Certified Automatic Repair of Uncompilable Protocols

Luı́s Cruz-Filipe, Fabrizio Montesi|arXiv (Cornell University)|Jan 1, 2023

Logic, programming, and type systems被引用 2

一句话总结

本文首次对编排编程中的修正程序进行了形式化，通过选择性通信解决选择知识问题，自动修复无法编译的编排。利用 Coq，作者识别并修正了原始理论表述中的缺陷，证明修正后的编排保持行为等价性且可投影，从而确保底层过程演算的图灵完备性。

ABSTRACT

Choreographic programming is a paradigm where developers write the global specification (called choreography) of a communicating system, and then a correct-by-construction distributed implementation is compiled automatically. Unfortunately, it is possible to write choreographies that cannot be compiled, because of issues related to an agreement property known as knowledge of choice. This forces programmers to reason manually about implementation details that may be orthogonal to the protocol that they are writing. Amendment is an automatic procedure for repairing uncompilable choreographies. We present a formalisation of amendment from the literature, built upon an existing formalisation of choreographic programming. However, in the process of formalising the expected properties of this procedure, we discovered a subtle counterexample that invalidates the original published and peer-reviewed pen-and-paper theory. We discuss how using a theorem prover led us to both finding the issue, and stating and proving a correct formulation of the properties of amendment.

研究动机与目标

• 对自动修复无法编译编排的修正程序的正确性进行形式化验证。
• 解决原始手写理论表述中存在理论缺陷的问题，该缺陷错误地声称存在行为对应性。
• 证明修正后的编排具有可投影性，并保持与原始协议的功能等价性。
• 建立修正后的编排能够实现底层过程演算（Stateful Processes）的图灵完备性。
• 通过定理证明提供一种从任意编排到可投影编排的经认证、形式化验证的转换器。

提出的方法

• 在 Coq 中对修正程序进行形式化，使用现有的 Core Choreographies (CC)、Stateful Processes (SP) 和 Endpoint Projection (EPP) 的形式化。
• 定义一种新的修正转换，通过在条件分支处插入选择标签（例如左/右）来解决选择知识冲突。
• 通过一个引理证明修正后的编排保持行为等价性，即若一个编排实现某个函数，则其修正版本也实现该函数。
• 利用 EPP 定理证明修正编排的 EPP 生成正确的分布式实现。
• 形式化修正编排的可投影性，并证明由此产生的实现与原始协议行为等价。
• 利用 Coq 的证明能力发现并修正了一个微妙的反例，该反例使原始发表理论失效。

实验结果

研究问题

• RQ1 原始理论表述中关于修正程序是否保证原始与修正编排之间的行为对应性？
• RQ2 修正程序能否被形式化验证以保持功能等价性与可投影性？
• RQ3 在存在选择知识问题的情况下，修正的正确语义表征是什么？
• RQ4 当编译为分布式实现时，修正后的编排是否仍能实现图灵完备性？
• RQ5 如何将一个形式化验证、可认证的修复程序集成到实际的编排编程框架中？

主要发现

• 原始发表的修正理论因一个微妙的反例被发现存在错误，从而使其声称的行为对应性无效。
• 在 Coq 中对修正表述进行了形式化证明，确保修正后的编排与原始协议保持功能等价性。
• 通过插入最小的选择标签，修正程序成功解决了选择知识问题，从而可通过 Endpoint Projection 正确编译。
• 形式化后的修正程序确保所有修正后的编排都具有可投影性，从而可编译为分布式实现。
• 修正后的修正程序支持对 Core Choreographies 和底层 Stateful Processes 演算的图灵完备性证明。
• 整个形式化过程（包括修正及其性质）已提取为约 250 行 Coq 代码，展示了模块化与可重用性。