Lemma Functions for Frama-C: C Programs as Proofs

Abstract

This paper describes the development of an auto-active verification technique in the Frama-C framework. We outline the lemma functions method and present the corresponding ACSL extension, its implementation in Frama-C, and evaluation on a set of string-manipulating functions from the Linux kernel. We illustrate the benefits our approach can bring concerning the effort required to prove lemmas, compared to the approach based on interactive provers such as Coq. Current limitations of the method and its implementation are discussed.

Transformation, Specification, and Verification of the Program Calculating the Elements Number of a Set Presented by a Bit Vector

“…Для доказательства сложного утверждения, в частности, требующего доказательства по индукции, оказалось полезным использование аппарата лемма-функций [18]. Здесь строится вспомогательная предикатная программа, спецификация которой совпадает с исходным утверждением.…”

“…Благодаря этому появилась возможность полностью реализовать доказательство в рамках системы Why3 без выхода в систему Coq [17], как это было ранее [6,7]. Дополнительным эффективным методом является использование аппарата лемма-функций [18] для доказательства сложной леммы, в частности, требующей доказательства по индукции. Здесь строится вспомогательная предикатная программа, спецификация которой совпадает с исходной леммой.…”

The Complex Approach of the C-lightVer System to the Automated Error Localization in C-programs

“…Но стратегии проекта CLPT [1] ориентированы только на обработку предикатов. Также в качестве примера можно рассмотреть систему AstraVer [6] и используемый в ней метод лемма-функций [31]. Данная стратегия основана на задании спецификаций определенного вида, что облегчает задачу по сравнению с заданием инвариантов, но не позволяет достигнуть полной автоматизации.…”

Correct optimized GPU programs

“…All the proofs of the lemmas mentioned in Section 5.3 that show the preservation of the round invariants and establishment of postconditions are encoded in Ver-Cors as lemma functions [VME18,GT16]. Lemma functions have specifications that capture the desired property, while the proof is encoded as a side effect-free imperative program.…”