[论文解读] Refinement Reflection: Complete Verification with SMT

Niki Vazou, Anish Tondwalkar+5 more|arXiv (Cornell University)|Nov 9, 2017

Logic, programming, and type systems被引用 11

一句话总结

本文提出了一种名为 Refinement Reflection 的框架，将函数实现直接嵌入其输出精炼类型中，从而实现对函数正确性属性的完整、基于 SMT 的验证。通过将函数定义反映到类型中并使用逻辑评估证明（Proof by Logical Evaluation, PLE），该方法自动化了等式推理，使用户能够通过模式匹配和递归将证明写作程序，同时在 Liquid Haskell 中保证完全自动化和可判定性。

ABSTRACT

We introduce Refinement Reflection, a new framework for building SMT-based deductive verifiers. The key idea is to reflect the code implementing a user-defined function into the function's (output) refinement type. As a consequence, at uses of the function, the function definition is instantiated in the SMT logic in a precise fashion that permits decidable verification. Reflection allows the user to write equational proofs of programs just by writing other programs using pattern-matching and recursion to perform case-splitting and induction. Thus, via the propositions-as-types principle, we show that reflection permits the specification of arbitrary functional correctness properties. Finally, we introduce a proof-search algorithm called Proof by Logical Evaluation that uses techniques from model checking and abstract interpretation, to completely automate equational reasoning. We have implemented reflection in Liquid Haskell and used it to verify that the widely used instances of the Monoid, Applicative, Functor, and Monad typeclasses actually satisfy key algebraic laws required to make the clients safe, and have used reflection to build the first library that actually verifies assumptions about associativity and ordering that are crucial for safe deterministic parallelism.

研究动机与目标

• 解决现有基于 SMT 的验证器在实例化用户定义函数公理时依赖不完整启发式方法的局限性。
• 通过支持对用户定义函数的完全自动化、可判定推理，弥合基于 SMT 的验证与基于类型理论的定理证明之间的差距。
• 提供一种实用的、语言内嵌的框架，使用递归和模式匹配等熟悉编程构造，编写并验证复杂的函数正确性属性。
• 设计一种证明搜索算法，确保对总函数（total functions）的等式证明具有完备性。

提出的方法

• 将用户定义函数的实现反映到其输出精炼类型中，将函数定义转化为 SMT 逻辑中的精确逻辑描述。
• 利用命题即类型（propositions-as-types）原则，将证明表示为可执行程序，通过模式匹配和递归实现等式推理。
• 采用逻辑评估证明（Proof by Logical Evaluation, PLE），一种模拟类型级别计算的证明搜索算法，通过使用保护性定义展开函数应用并结合 SMT 推理。
• 应用抽象解释和模型检测技术，确保证明搜索是函数具体语义的通用（must）抽象，从而保证终止性。
• 利用 SMT 求解器自动化无量词推理，高效验证证明中的逻辑子目标。
• 将该框架集成到 Liquid Haskell 中，重用现有编译器和生态系统，验证标准类型类的代数定律。

实验结果

研究问题

• RQ1 基于 SMT 的验证能否在不依赖启发式方法的前提下，对用户定义函数实现完全自动化和完备性？
• RQ2 能否自然地使用递归和模式匹配等标准语言特性，将函数正确性证明表达为程序？
• RQ3 能否设计一种既可靠又完备的证明搜索算法，用于总函数的等式推理？
• RQ4 该框架能否验证广泛使用的 Haskell 类型类（如 Monoid、Applicative、Functor 和 Monad）的复杂代数定律（如结合律和交换律）？
• RQ5 将证明自动化与精炼类型相结合，能否在真实代码库中实现实用且可扩展的验证？

主要发现

• Refinement Reflection 通过将函数实现反映到精炼类型中，消除了对不完整实例化启发式方法的依赖，实现了对用户定义函数的完整、可判定验证。
• 逻辑评估证明（Proof by Logical Evaluation, PLE）是一种完备的证明搜索算法，通过使用保护性定义和 SMT 推理系统展开函数应用，确保对总函数的终止性。
• 该框架成功在 Liquid Haskell 中验证了 Monoid、Applicative、Functor 和 Monad 类型类的代数定律，包括对确定性并行性至关重要的结合律和顺序性属性。
• 该方法允许通过模式匹配和递归将证明写作程序，同时借助 SMT 辅助自动化无量词子目标，实现了高度的表达能力与工具链集成。
• 在 Liquid Haskell 中的集成表明，现有语言生态系统可被轻量级地改造为定理证明器，实现大规模实用化验证。
• 该方法通过 PLE 实现了函数语义的通用抽象，确保所有有效的等式证明均可被发现，从而在证明搜索中实现完备性。