GearsOS の Hoare triple を用いた検証

Masataka Hokama 琉球大学 : 並列信頼研究室

研究背景

OS やアプリケーションなどの信頼性は重要な課題
信頼性を上げるために仕様を検証する必要
仕様検証の手法として Floyd-Hoare Logic (以下 HoareLogic) がある
- 事前条件(PreCondition)が成り立つとき、関数(Command)を実行、それが停止したとき、事後条件(PostCondition)を満たす
既存の言語ではあまり利用されていない(python の pyrefine ってコードチェッカーくらい…?)

背景

当研究室では処理の単位を CodeGear、データの単位を DataGear としてプログラムを記述する手法を提案
CodeGear は Input DataGear を受け取り、処理を行って Output DataGear に書き込む
Gear 間の接続処理はメタ計算として定義
- メタ計算部分に検証を埋め込むことで通常処理に手を加えずに検証
本研究では Gears OS の信頼性を高めるため、 Gears の単位を用いた HoareLogic ベースの検証手法を提案する

Gears について

Gears は当研究室で提案しているプログラム記述手法
計算の単位を CodeGear 、データの単位を DataGear
CodeGear は引数として Input の DataGear を受け取り、 Output の DataGear を返す
Output の DataGear は次の CodeGear の Input として接続される
CodeGear の接続処理は通常の計算とは異なるメタ計算として定義
- メタ計算で信頼性の検証を行う

CbC について

Gears の単位でプログラミングできる言語として CbC (Continuation based C) が存在
現在の CbC では assert での検証ができる
将来的には証明も扱えるようにしたいが現段階では未実装
そのため Gears の単位を定理証明支援系の言語である Agda で記述し、 Agda 上で証明

Agda

Agda は定理証明支援系の言語
依存型を持つ関数型言語
型を明記する必要がある
Agda の文法については次のスライドから軽く説明する

Agda のデータ型

データ型は代数的なデータ構造
data キーワードの後に、名前 : 型、 where 句
次の行以降はコンストラクタ名 : 型
型は->または→で繋げる
例えば、型PrimComm -> CommはPrimComm を受け取りCommを返す型

再帰的な定義も可能

1  data Comm : Set where
2    Skip : Comm
3    Abort : Comm
4    PComm : PrimComm -> Comm
5    Seq : Comm -> Comm -> Comm
6    If : Cond -> Comm -> Comm -> Comm 
7    While : Cond -> Comm -> Comm

Agda のレコード型

C 言語での構造体に近い
複数のデータをまとめる
関数内で構築できる
構築時はレコード名 {フィールド名 = 値}
複数ある場合は {フィールド1 = 1 ; フィールド2 = 2}のように ; を使って列挙
- (varn,vari の型 ℕ は Agda 上の自然数、データ型で zero : ℕ と succ : ℕ -> ℕ で定義されてる)
  1record Env : Set where 2 field 3 varn : ℕ 4 vari : ℕ

Agda の関数

関数にも型が必要
関数は 関数名 = 値
関数ではパターンマッチがかける

_ は任意の引数

1  _-_ : ℕ → ℕ → ℕ 
2  x - zero  = x
3  zero - _  = zero
4  (suc x) - (suc y)  = x - y

Agda での証明

関数の型に論理式
関数自体にそれを満たす導出
完成した関数は証明
{} は暗黙的(推論される)

下のコードは自然数に 0 を足したとき値が変わらないことの証明

1  +zero : { y : ℕ } → y + zero  ≡ y
2  +zero {zero} = refl
3  +zero {suc y} = cong ( λ x → suc x ) ( +zero {y} )

Agda 上での HoareLogic

現在 Agda での HoareLogic は初期のAgda の実装である Agda1(現在のものはAgda2)で実装されたものとそれを Agda2 に書き写したものが存在している。
今回はAgda2側の HoareLogic で使うコマンド定義の一部と、コマンドの証明に使うルールを借りて説明を行う。

Agda での HoareLogic の理解

HoareLogic を用いて次のようなプログラム(while Program)を検証した。

1  n = 10;
2  i = 0;
3
4  while (n>0)
5  {
6    i++;
7    n--;
8  }

このプログラムは変数iとnをもち、 n>0 の間nの値を減らし、i の値を増やす
n==0のとき停止するため、終了時の変数の結果はi==10、n==0 になるはずである。

HoareLogic

Floyd-Hoare Logic (以下HoareLogic)は部分的な正当性を検証する
プログラムは事前条件(Pre Condition)、事後条件(Post Condition)を持ち、条件がコマンドで更新され、事後条件になる
事前、事後条件には変数や論理式、コマンドには代入や、繰り返し、条件分岐などがある。
コマンドが正しく成り立つことを保証することで、このコマンドを用いて記述されたプログラムの部分的な正しさを検証する

Agda 上での HoareLogic(コマンド定義)

Env は while Program の変数である var n, i
PrimComm は代入時に使用される

Cond は Condition で Env を受け取って Boolean の値を返す

 1  record Env : Set where
 2    field
 3      varn : ℕ
 4      vari : ℕ
 5
 6  PrimComm : Set
 7  PrimComm = Env → Env
 8
 9  Cond : Set
10  Cond = (Env → Bool)

Agda 上での HoareLogic(コマンド定義)

Comm は Agda のデータ型で定義した HoareLogic の Command
- Skip は何も変更しない
- PComm は変数を代入する
- Seq は Command を実行して次の Command に移す
- If は Cond と2つの Comm を受け取り Cond の状態により実行する Comm を変える
- while は Cond と Comm を受け取り Cond の中身が真である間 Comm を繰り返す
  1data Comm : Set where 2 Skip : Comm 3 Abort : Comm 4 PComm : PrimComm -> Comm 5 Seq : Comm -> Comm -> Comm 6 If : Cond -> Comm -> Comm -> Comm 7 While : Cond -> Comm -> Comm

Agda 上での HoareLogic(実際のプログラムの記述)

Command を使って while Program を記述した。
$ は () の糖衣で行頭から行末までを ( ) で囲う
- 見やすさのため改行しているため 3~7 行はまとまっている

Seq は Comm を2つ取って次の Comm に移行する

1  program : Comm
2  program = 
3    Seq ( PComm (λ env → record env {varn = 10}))
4    $ Seq ( PComm (λ env → record env {vari = 0}))
5    $ While (λ env → lt zero (varn env ) )
6      (Seq (PComm (λ env → record env {vari = ((vari env) + 1)} ))
7        $ PComm (λ env → record env {varn = ((varn env) - 1)} ))

Agda 上での HoareLogicの理解

規則は HTProof にまとめられてる
PrimRule は PComm で行う代入を保証する
3行目の pr の型 Axiom は PreCondition に PrimComm が適用されると PostCondition になることの記述
- ⇒ は pre, post の Condition をとって post の Condition が成り立つときに True を返す関数
SkipRule は PreCondition を変更しないことの保証

AbortRule はプログラムが停止するときのルール

1  data HTProof : Cond -> Comm -> Cond -> Set where
2    PrimRule : {bPre : Cond} -> {pcm : PrimComm} -> {bPost : Cond} ->
3                 (pr : Axiom bPre pcm bPost) ->
4                 HTProof bPre (PComm pcm) bPost
5    SkipRule : (b : Cond) -> HTProof b Skip b
6    AbortRule : (bPre : Cond) -> (bPost : Cond) ->
7                 HTProof bPre Abort bPost
8-- 次のスライドに続く

1  Axiom : Cond -> PrimComm -> Cond -> Set
2  Axiom pre comm post = ∀ (env : Env) →  (pre env) ⇒ ( post (comm env)) ≡ true

Agda 上での HoareLogicの理解

SeqRule は Command を推移させる Seq の保証

IfRule は If の Command が正しく動くことを保証

 1-- HTProof の続き
 2    SeqRule : {bPre : Cond} -> {cm1 : Comm} -> {bMid : Cond} ->
 3            {cm2 : Comm} -> {bPost : Cond} ->
 4            HTProof bPre cm1 bMid ->
 5            HTProof bMid cm2 bPost ->
 6            HTProof bPre (Seq cm1 cm2) bPost
 7    IfRule : {cmThen : Comm} -> {cmElse : Comm} ->
 8           {bPre : Cond} -> {bPost : Cond} ->
 9           {b : Cond} ->
10           HTProof (bPre /\ b) cmThen bPost ->
11           HTProof (bPre /\ neg b) cmElse bPost ->
12           HTProof bPre (If b cmThen cmElse) bPost

Agda 上での HoareLogicの理解

WeakeningRule は通常の Condition からループ不変条件(Loop Invaliant)に変換
Tautology は Condition と不変条件が等しく成り立つ

WhileRule はループ不変条件が成り立つ間 Comm を繰り返す

 1-- HTProof の続き
 2    WeakeningRule : {bPre : Cond} -> {bPre' : Cond} -> {cm : Comm} ->
 3                {bPost' : Cond} -> {bPost : Cond} ->
 4                Tautology bPre bPre' ->
 5                HTProof bPre' cm bPost' ->
 6                Tautology bPost' bPost ->
 7                HTProof bPre cm bPost
 8    WhileRule : {cm : Comm} -> {bInv : Cond} -> {b : Cond} ->
 9                HTProof (bInv /\ b) cm bInv ->
10                HTProof bInv (While b cm) (bInv /\ neg b)

1  Tautology : Cond -> Cond -> Set
2  Tautology pre post = ∀ (env : Env) →  (pre env) ⇒ (post env) ≡ true

Agda 上での HoareLogic(証明)

proof1 は while Program の証明
HTProof に初期状態とコマンドで書かれた program と終了状態を渡す
lemma1~5は rule それぞれの証明

 1proof1 : HTProof initCond program termCond
 2proof1 =
 3    SeqRule {λ e → true} ( PrimRule empty-case )
 4      $ SeqRule {λ e →  Equal (varn e) 10} ( PrimRule lemma1   )
 5      $ WeakeningRule {λ e → (Equal (varn e) 10) ∧ (Equal (vari e) 0)}  lemma2 (
 6          WhileRule {_} {λ e → Equal ((varn e) + (vari e)) 10}
 7          $ SeqRule (PrimRule {λ e →  whileInv e  ∧ lt zero (varn e) } lemma3 )
 8                 $ PrimRule {whileInv'} {_} {whileInv}  lemma4 ) lemma5
 9
10initCond : Cond
11initCond env = true
12
13termCond : {c10 : ℕ} → Cond
14termCond {c10} env = Equal (vari env) c10

証明の一部

型だけ載せる
基本的な証明方法は Condtition を変化させて次の Condition が成り立つように変形する

impl⇒

 1  lemma1 : {c10 : ℕ} → Axiom (stmt1Cond {c10}) (λ env → record { varn = varn env ; vari = 0 }) (stmt2Cond {c10})
 2  lemma1 {c10} env = impl⇒ ( λ cond → let open ≡-Reasoning  in
 3    begin
 4      (Equal (varn env) c10 ) ∧ true
 5    ≡⟨ ∧true ⟩
 6      Equal (varn env) c10 
 7    ≡⟨ cond ⟩
 8      true
 9    ∎ )

Agda での Gears

Agda での CodeGear は通常の関数とは異なり、継続渡し (CPS : Continuation Passing Style) で記述された関数
CPS の関数は引数として継続を受け取って継続に計算結果を渡す
名前 : 引数 -> (Code : fa -> t) -> t
t は継続
(Code : fa -> t) は次の継続先

DataGear は Agda での CodeGear に使われる引数

1_g-_ : {t : Set} → ℕ → ℕ → (Code : ℕ → t) → t
2x g- zero next = next x
3zero g- _  = next zero
4(suc x) g- (suc y)  = next (x g- y)

Gears をベースにした HoareLogic

次に Gears をベースにした while Program をみる。

このプログラムは自然数と継続先を受け取って t を返す

1  {-# TERMINATING #-}
2  whileLoop : {l : Level} {t : Set l} -> Env -> (Code : Env -> t) -> t
3  whileLoop env next with lt 0 (varn env)
4  whileLoop env next | false = next env
5  whileLoop env next | true =
6      whileLoop (record {varn = (varn env) - 1 ; vari = (vari env) + 1}) next

Gears と HoareLogic をベースにした証明

ここでは

1  proofGears : {c10 :  ℕ } → Set
2  proofGears {c10} = whileTest' {_} {_} {c10} (λ n p1 →  conversion1 n p1 
3                 (λ n1 p2 → whileLoop' n1 p2 (λ n2 →  ( vari n2 ≡ c10 ))))

<–! [論文目次] まえがき

現状

Agda

GearsOS

CodeGear DataGear

Gears と Agda

Agda での HoareLogic

Gears ベースの HoareLogic

まとめと課題

–>