形式化驗證入門

第 1 集錄影

課程目標

• 針對形式化驗證的學習，導讀相關符號和背景知識
• 探討
  $HoareLogic$,
  $SAT/SMT$,
  $ModelChecking$皆會用到最基本的邏輯 (Propositional Logic)
• 每段都有工具示範和習題

Propositional Logic

$\wedge$ (

$\text{color}blueconjunction$) 意思是「且」

$\vee$ (

$\text{color}bluedisjunction$) 意思是「或」

$P⊢Q$ 的意思就是「從

$P$ 證

$Q$」

$P\models Q$ 代表「

$P$ 為 True 的情況下 ,

$Q$ 成立」的意思

在上述兩組符號中，我們將

• $P$ 稱為
  $\text{color}bluepremises$ (假定，假設；前提)
• $Q$ 稱為
  $\text{color}blueconclusion$ (結論；推論)

每個

$logicformula$ 都有語義，也就是真 (

$True$) 與假 (

$False$)

$\wedge$ 與

$\vee$ 的消去規則與推導規則

$\wedge$

• 消去規則 (elimination proof rule)

$$\frac{A\wedge B}{A}\wedge e_1$$

$$\frac{A\wedge B}{B}\wedge e_2$$

• 推導規則 (introduction proof rule)

$$\frac{AB}{A\wedge B}\wedge i$$

$\vee$

• 消去規則 (elimination proof rule)

$$\begin{gathered} \frac{A\vee B\boxed{{\displaystyle A \\ . \\ . \\ . \\ C}}\boxed{{\displaystyle B \\ . \\ . \\ . \\ C}}}{C}\vee e \end{gathered}$$

• 推導規則 (introduction proof rule)

$$\frac{A}{A\vee B}\vee i_1$$

$$\frac{B}{A\vee B}\vee i_2$$

手寫

$A\wedge (B\vee C)⊢(A\wedge B)\vee (A\wedge C)$ 證明

手寫示範

$\wedge$ 與

$\vee$ 的真值表

$\wedge$

$P$	$Q$	$P\wedge Q$
T	T	T
T	F	F
F	T	F
F	F	F

$\vee$

$P$	$Q$	$P\vee Q$
T	T	T
T	F	T
F	T	T
F	F	F

$\Rightarrow$

$\Rightarrow$ 是推導 (

$\text{color}blueImplication$)

$P$	$Q$	$P\Rightarrow Q$
T	T	T
T	F	F
F	T	T
F	F	T

$A\wedge (B\vee C)⊢(A\wedge B)\vee (A\wedge C)$ 的真值表

$A\wedge (B\vee C)⊢(A\wedge B)\vee (A\wedge C)$ 可看成

$A\wedge (B\vee C)\Rightarrow (A\wedge B)\vee (A\wedge C)$

$A$	$B$	$C$	$B\vee C$	$\text{color}blueA\wedge (B\vee C)$	$A\wedge B$	$A\wedge C$	$\text{color}red(A\wedge B)\vee (A\wedge C)$	$\text{color}blueA\wedge (B\vee C)\text{color}green\Rightarrow \text{color}red(A\wedge B)\vee (A\wedge C)$
T	T	T	T	$\text{color}blueT$	T	T	$\text{color}redT$	$\text{color}greenT$
T	T	F	T	$\text{color}blueT$	T	F	$\text{color}redT$	$\text{color}greenT$
T	F	T	T	$\text{color}blueT$	F	T	$\text{color}redT$	$\text{color}greenT$
T	F	F	F	$\text{color}blueF$	F	F	$\text{color}redF$	$\text{color}greenT$
F	T	T	T	$\text{color}blueF$	F	F	$\text{color}redF$	$\text{color}greenT$
F	T	F	T	$\text{color}blueF$	F	F	$\text{color}redF$	$\text{color}greenT$
F	F	T	T	$\text{color}blueF$	F	F	$\text{color}redF$	$\text{color}greenT$
F	F	F	F	$\text{color}blueF$	F	F	$\text{color}redF$	$\text{color}greenT$

所以

$A\wedge (B\vee C)\models (A\wedge B)\vee (A\wedge C)$

Soundness 與 Completeness

• Soundness (健全性)

在一個公理化系統中，如果一個

$P⊢Q$ 是有效的 (證明存在)，就有

$P\models Q$，這樣的特性稱為

$Soundness$

• Completeness (完備性)

Completeness 則是反過來，在一個公理化系統下，如果有

$P\models Q$，那麼

$P⊢Q$ 就有個證明

小總結

對

$PropositionalLogic$ 來說，是既

$Soundness$ 也

$Completeness$

在這兩個性質的形式化公理系統中，驗證一個

$logicformula$ , 可從算真假值，也可從寫證明下手，兩種方法有相同的效果

Isabelle/HOL 示範

$A\wedge (B\vee C)⊢(A\wedge B)\vee (A\wedge C)$ 證明

Isabelle/HOL 介紹

Isabelle/HOL 提供以下:

• $\lambda$ 演算 (
  $Typed\lambda \mathrm{演}\mathrm{算}$)

Week 1, Mon: intro 第 20 頁

If I prove it on the computer, it is correct, right?
No, because:

1. hardware could be faulty
2. operating system could be faulty
3. implementation runtime system could be faulty
4. compiler could be faulty
5. implementation could be faulty
6. logic could be inconsistent
7. theorem could mean something else

需要 Type 是因為第 6 個理由:

logic could be inconsistent

Type 可減少 logic 產生自相矛盾的情況

• 檢查在某個公理化系統下的證明

能檢查證明，自然就可定義公理化系統

• 延伸閱讀: 一些公理化系統例子

以下案例說明

$\lambda$ 演算和 type 的影響

$\lambda$ 演算:

term "(λy. x y) t"

type:

lemma "1+2=3"
apply arith

Isabelle/HOL 內

$\wedge$ 與

$\vee$ 的 proof rule

• $\wedge$ rule

$$\begin{gathered} conjI:[|A;B|]\Rightarrow A\wedge B \\ conjE:[|A\wedge B;[|A;B|]\Rightarrow C|]\Rightarrow C \end{gathered}$$

• $\vee$ rule

$$\begin{gathered} disjI1:A\Rightarrow A\vee B \\ disjI2:A\Rightarrow B\vee A \\ disjE:[|A\vee B;A\Rightarrow C;B\Rightarrow C|]\Rightarrow C \end{gathered}$$

證明腳本

theory Example imports Main 
begin
  
lemma "A∧(B∨C)⟹(A∧B)∨(A∧C)"
  apply(erule conjE)
  apply (erule disjE)
   apply (rule disjI1)
   apply (rule conjI)
    apply assumption
   apply assumption
  apply (rule disjI2)
  apply (rule conjI)
   apply assumption
  apply assumption
  done
end 

練習題

$P\wedge Q⊢Q\wedge P$

• 參考解答

參考資訊

• Introduction to Computational Logic(每年會改)
• 一階邏輯
• $\lambda$演算
• 新南威爾斯大學進階軟體驗證筆記
• 形式化驗證(Formal Verification)
• Formal methods 共筆區
• FLOLAC 2017
• Logic - FLOLAC '17

---

SAT/SMT

Conjunctive Normal Form (CNF)

$(A\vee B)\wedge (c=2)\wedge (g>8)$

像以上的

$\text{color}bluelogicformula$ 中間每個 form 都用

$\wedge$ 連接起來，稱為 Conjunctive Normal Form (CNF)

$T_E$ 理論

${\mathrm{\Sigma }}_E:\{=,a,b,c,...,p,q,r\}$

• = 是等號的意思
• $a,b,c,...,p,q,r$ 是 logic formula
• $T_E$ 的
  $E$ 代表
  $Equality$
• ${\mathrm{\Sigma }}_E$ 指的是符號集合

$T_E$ 理論公理

• Reflexivity (反身性):
  $\text{color}blue\mathrm{\forall }x.x=x$
• Symmetry (對稱性):
  $\text{color}blue\mathrm{\forall }x,y.x=y\Rightarrow y=x$
• Transitivity (遞移性):
  $\text{color}blue\mathrm{\forall }x,y,z.x=y,y=z\Rightarrow x=z$
• Function congruence (功能一致性):
  
  $\text{color}blue\mathrm{\forall }{x}_1,\mathrm{\forall }{x}_2,...,\mathrm{\forall }{x}_n.\underset{i=1}{\stackrel{n}{\wedge }}(x_i=y_i)\Rightarrow f(x_1,...,x_n)=f(y_1,...,y_n)$

等價關係 (

$\text{color}blueEquivalenceRelation$)

• Reflexivity (反身性):
  $\text{color}blue\mathrm{\forall }x.x=x$
• Symmetry (對稱性):
  $\text{color}blue\mathrm{\forall }x,y.x=y\Rightarrow y=x$
• Transitivity (遞移性):
  $\text{color}blue\mathrm{\forall }x,y,z.x=y,y=z\Rightarrow x=z$

$T_E$ 理論公理前 3 條，就是所謂的等價關係。注意到

$\text{color}blue=$ 是一種等價關係

等價類 (

$\text{color}blueEquivalenceClass$)

一個集合，給定一個等價關係，可把這集合分割成數個子集合，而子集合內的任兩個元素都滿足給定的等價關係，這樣的子集合稱為等價類

舉個例子:

集合

$\{a,b,c,d,e\}$
假如

$a=b,b=c,d=e$
那可以分割成兩個等價類:

$\{a,b,c\},\{d,e\}$

可看到

$a=b=c,d=e$

$T_E$ 可滿足性的演算法

可滿足的意思：在某個前提，logic formula 是成立的 (

$P\models Q$)

可滿足性就是討論

$P\models Q$ 或

$P⊭Q$ 的問題
這邊所講的演算法，會利用上面的等價類

舉例說明:

$f^3(a)=a\wedge f^5(a)=a\wedge f(a)\ne a$

手寫示範

z3 驗證 C 程式

z3 介紹

z3下載

在 z3 的 build 目錄下，輸入以下命令:

./z3 -in

隨後可進入命令交談模式。

z3 使用案例

(declare-const a Int)
(declare-const b Int)
(declare-const c Int)
(assert(and (and (= a b) (= b c)) (= a c)))
(check-sat)

輸出

$\text{color}bluesat$，代表滿足

(declare-const a Int)
(assert(and (> a 10) (< a 5)))
(check-sat)

輸出

$\text{color}redunsat$，代表不滿足

驗證 C 程式

int show(int x) {
    if (x < 10)
        x = x - 1;

    assert(x != 9);
    return 0;
}

驗證 show 函式時，帶入任意的 int 數值，執行不會出現 assert 錯誤訊息

C code to SSA form

SSA 是 Static Single Assignment
SSA 最主要的用途，是藉由簡化變數的特性，提升編譯器最佳化的能力。舉例來說：

 y := 1
 y := 2
 x := y

不難見到，第一行變數的數值指派並非必要，因為 y 在第二行再次指派，y 的數值在第三行被使用，一個程式通常會進行定義可達性分析 (reaching definition analysis) 來測定。在 SSA 下，將會變成以下形式：

y₁ := 1
y₂ := 2
x₁ := y₂

其中 y₁ 表示第 1 次變數 y 的數值指派，y₂ 表示第 2 次，後者又用於變數 x 的第 1 次指派。顯然 y₁ 沒被用到，所以編譯器可輕易消除。

再者考慮以下形式:

由於涉及分支指令，w₂ 的數值指派究竟是圖片左邊的 y₁，還是右邊的 y₂ 呢？編譯器不能貿然確認，這時就引入

$\varphi$ 函數，根據程式運作的路徑來選擇 y₁ 或 y₂

首先把 C 程式轉成 SSA 形式:

int show(int x0) {
    if (x0 < 10)
        x1 = x0 - 1;

    x2 = phi(x0, x1)
    assert(x2 != 9);

    return 0;
}

phi 為

$\varphi$ 函數

SSA form to SMT Formula

$(x0<10\wedge x1=x0-1\wedge x2=x1\wedge x2=9)\vee (x0\ge 10\wedge x2=x0\wedge x2=9)$

assert 內是

$\text{color}redx2!=9$

這不是

$T_E$ 可接受的

$logicformula$

所以轉為算

$\text{color}bluex2=9$

然後是兩個 CNF 用

$\vee$ 連接

由 =

$\vee$== 的真值表，要算兩次的 SMT

先算

$(x0<10\wedge x1=x0-1\wedge x2=x1\wedge x2=9)$
再算

$(x0\ge 10\wedge x2=x0\wedge x2=9)$

只要其中一個是滿足，整個

$logicformula$ 就滿足了
整個

$logicformula$ 滿足 , 那就代表執行會有錯誤訊息

來看寫成的z3 code是如何

• $(x0<10\wedge x1=x0-1\wedge x2=x1\wedge x2=9)$

(declare-const x0 Int)
(declare-const x1 Int)
(declare-const x2 Int)
(assert(and (and (< x0 10) (= x1 (- x0 1))) (and (= x2 x1) (= x2 9) ) ))
(check-sat)

• $(x0\ge 10\wedge x2=x0\wedge x2=9)$

(declare-const x0 Int)
(declare-const x1 Int)
(declare-const x2 Int)
(assert(and (or (= x0 10) (> x0 10)) (and (= x2 x0) (= x2 9) ) ))
(check-sat)

結果:

$ ./z3 -in
(declare-const x0 Int)
(declare-const x1 Int)
(declare-const x2 Int)
(assert(and (and (< x0 10) (= x1 (- x0 1))) (and (= x2 x1) (= x2 9) ) ))
(check-sat)
unsat

不滿足

$ ./z3 -in
(declare-const x0 Int)
(declare-const x1 Int)
(declare-const x2 Int)
(assert(and (or (= x0 10) (> x0 10)) (and (= x2 x0) (= x2 9) ) ))
(check-sat)
unsat

也是不滿足

因此兩者在執行不會出現 assert 錯誤訊息

對照 C 程式編譯後的執行結果:

#include <assert.h>
#include <stdio.h>
#include <stdlib.h>

int show(int x) {
    if (x < 10)
        x = x - 1;

    assert(x != 9);	
    return 0;
}

int main() {
    show(3);
    return 0;
}

結果:

$ gcc -o test test.c 
$ ./test
$

果然沒出現 assert 錯誤訊息，我們可見到形式化驗證的威力：在不需要執行程式的狀況下，充分檢驗各種輸入造成的影響。

在 軟體缺失導致的危害 提到 1970 年代推出的首款廣體民航客機波音 747 軟體由大約 40 萬行程式碼構成，而 2011 年引進的波音 787 的軟體規模則是波音 747 的 16 倍，約 650 萬行程式碼。換言之，你我的性命緊繫於一系列極為複雜的軟體系統之中，如果程式開發者總是撰寫程式碼後，只用上述有限的數值輸入並對結果，勢必無法顧及全面，難保日後不出問題，這也是為何形式化驗證大量用於航空和醫療這類關鍵的領域中。

練習題

int show(int x) {
    if (x <= 10)
        x = x - 1;

    assert(x != 9);
    return 0;
}

當輸入某個整數值時，執行會出現 assert 錯誤訊息

• 參考解答

參考資料

• SMT
• 你所不知道的 C 語言: 編譯器原理和最佳化
• z3使用文件
• Z3求解器指南（一）
• Z3求解器指南（二）
• Software Foundations

tags: formal verification