Haskell函数是否可以通过正确性属性进行证明/模型检查/验证？

继续以下思想：是否存在可证明的现实世界语言？

我不认识你，但是我讨厌写我不能保证的代码。

在问完上述问题并得到了惊人的答复之后（谢谢！），我决定缩小对Haskell的可证明的，务实的方法的搜索范围。我选择Haskell是因为它实际上很有用（为此编写了许多 Web 框架，这似乎是一个不错的基准），而且我认为它在功能上非常严格，可能可以证明，或者至少允许测试不变式。

这就是我想要的（一直找不到）

我想要一个框架，可以查看以psudocode编写的Haskell函数：

add(a, b):
    return a + b

-并检查某些不变式是否保持在每个执行状态。我希望有一些正式的证明，但是我会选择模型检查器之类的东西。
在此示例中，不变的是给定值a和b，返回值始终是a + b之和。

这是一个简单的示例，但我认为这样的框架不可能存在。可以测试的函数的复杂度肯定会有一个上限（一个函数的10个字符串输入肯定会花费很长时间！），但这会鼓励更仔细地设计函数，与使用其他形式函数没什么不同方法。想象一下使用Z或B，当您定义变量/集时，您一定要确保为变量提供尽可能小的范围。如果您的INT永远不会超过100，请确保将其初始化！我认为，像这样的技术以及适当的问题分解应该能够令人满意地检查像Haskell这样的纯功能语言。

我对形式方法或Haskell还不是很有经验。让我知道我的想法是否合理，或者您认为haskell不适合？如果您建议使用其他语言，请确保其通过“具有网络框架”测试，并阅读原始问题:-)

好吧，因为您正在沿着Haskell路线行驶，所以要开始做一些事情：

• 您熟悉Curry-Howard的信件吗？有一些用于以此为基础的机器检查打样的系统，在许多方面，它们都是具有非常强大的类型系统的简单函数式编程语言。

• 您是否熟悉抽象数学领域，这些领域为分析Haskell代码提供了有用的概念？各种形式的代数和一些类别理论都出现了。

• 请记住，Haskell与所有图灵完备的语言一样，总是有可能终止。通常，要证明某事将永远是真实的，要比证明某事将是真实的或取决于一个非终止值要困难得多。

如果您正认真地寻求证明，而不仅仅是测试，那么这些就是要牢记的事情。基本规则是：使无效状态导致编译器错误。首先要防止对无效数据进行编码，然后让类型检查器为您完成繁琐的工作。

如果您想走得更远，如果记忆为我服务，证明助手Coq具有“提取到Haskell”功能，可让您证明关键函数的任意属性，然后将证明转换为Haskell代码。

对于直接在Haskell中做花式系统的工作，Oleg Kiselyov是大师。您可以在他的网站上找到一些示例，这些示例包括一些高级技巧，例如高级多态类型，用于对数组边界检查的静态证明进行编码。

对于更轻量级的内容，您可以执行诸如使用类型级别证书将某条数据标记为已检查正确性的操作。您仍然需要自己进行正确性检查，但是其他代码至少可以依赖于知道实际上已经检查了某些数据。

从轻量级验证和奇特类型系统技巧的基础上，您可以采取的另一步骤是利用Haskell作为宿主语言来嵌入特定于域的语言的效果很好；首先构造一个受严格限制的子语言（理想情况下，不是图灵完整的），您可以更轻松地证明该子语言的有用属性，然后使用该DSL中的程序在整个程序中提供关键的核心功能。例如，您可以证明两个参数的函数是关联的，以便证明使用该函数并行化项集合的合理化（因为函数应用程序的顺序无关紧要，仅参数的顺序无关紧要）。

哦，最后一件事。有关避免Haskell确实存在的陷阱的一些建议，这些陷阱可能会破坏原本可以安全地构建的代码：在这里，您发誓的敌人是一般递归，IOmonad和部分函数：

• 最后一个相对容易避免：不要编写它们，也不要使用它们。确保每个模式匹配都处理所有可能的情况，并且永远不要使用error或undefined。唯一棘手的部分是避免使用可能导致错误的标准库函数。有些显然是不安全的，例如fromJust :: Maybe a -> a，head :: [a] -> a但有些则可能更隐蔽。如果您发现自己编写的函数确实无法使用某些输入值做任何事情，那么您就可以通过输入类型对无效状态进行编码，并且需要首先对其进行修复。

• 第二种方法很容易在表面上避免，方法是通过各种纯函数散布东西，然后再从IO表达式中使用它们。更好的是尽可能将整个程序移到纯代码中，以便可以使用除实际I / O之外的所有内容独立地对其进行评估。仅当您需要由外部输入驱动的递归时，这才变得棘手，这使我进入了最后一项：

• 明智的话：有充分根据的递归和生产性核心递归。始终确保递归函数要么从某个起点到某个已知的基本情况，要么按需生成一系列元素。在纯代码中，最简单的方法是通过递归折叠有限的数据结构（例如，而不是在将计数器增加到最大值之前直接调用自身的函数，创建一个保存计数器值范围并将其折叠的列表）或递归地生成惰性数据结构（例如，某个值的渐进逼近列表），同时请小心谨慎，切勿直接将二者混合使用（例如，不要只是“在满足某些条件的流中找到第一个元素”；它可能不会取而代之的是，从流中获取值直至某个最大深度，然后搜索有限列表，并适当地处理未找到的情况。

• 将最后两项结合起来，对于您真正需要IO使用常规递归的部分，尝试将程序构建为增量组件，然后将所有尴尬的位浓缩为一个“驱动程序”功能。例如，您可以编写一个GUI事件循环，其中包含一个纯函数（例如）mainLoop :: UIState -> Events -> UIState，退出测试quitMessage :: Events -> Bool（一个），一个用于获取未决事件getEvents :: IO Events的函数和一个update函数updateUI :: UIState -> IO ()，然后使用诸如的通用函数实际运行该事件runLoopIO :: (b -> a -> b) -> b -> IO a -> (b -> IO ()) -> IO ()。这使复杂的部分保持真正的纯净，使您可以使用事件脚本运行整个程序并检查结果UI状态，同时将笨拙的递归I / O部分隔离为一个易于理解且通常不可避免地正确的抽象函数。根据参数。

可能最接近您要求的是Haskabelle，这是证明助手Isabelle附带的工具，可以将Haskell文件转换为Isabelle理论，并让您证明有关它们的内容。据我了解，该工具是在HOL-ML-Haskell项目中开发的，文档页面包含有关背后理论的一些信息。

我对这个项目不是很熟悉，对这个项目做得也不是很了解。但是我知道Brian Huffman一直在研究这些东西，查看他的论文和演讲，它们应该包含相关内容。

我不确定您的要求是否真的会让您感到高兴。:-)

通用语言的模型检查几乎是不可能的，因为模型必须是特定于领域的才能实用。由于哥德尔的不完备性定理，根本没有一种方法可以自动地以足够表达的逻辑来寻找证明。

这意味着您必须自己编写证明，这引发了一个问题，即付出的时间是否值得。当然，这种努力会创造出非常有价值的东西，即确保您的程序正确无误。问题不是这是否是必须的，而是花费的时间是否过高。关于证明的事情是，尽管您可能对程序是正确的有“直觉”的理解，但是通常很难将这种理解形式化为证明。直观理解的问题在于，它很容易发生意外错误（打字错误和其他愚蠢的错误）。这是编写正确程序的基本难题。

因此，有关程序正确性的研究就是使形式化证明和自动检查其正确性变得更加容易。编程是“易于形式化”的组成部分；以易于推理的方式编写程序非常重要。目前，我们具有以下范围：

• 诸如C，C ++，Fortran，Python之类的命令式语言：在这里很难对任何东西进行形式化。单元测试和一般推理是至少获得一定保证的唯一方法。静态类型只能捕获琐碎的错误（比不捕获它们要好得多！）。

• 像Haskell，ML这样的纯功能语言：富有表现力的类型系统可帮助捕获不重要的错误和错误。我要说，手动证明正确性对于大约200行左右的代码片段是可行的。（例如，我为操作包做了一个证明。）Quickcheck测试是形式化证明的廉价替代品。

• 依赖类型的语言和Agda，Epigram，Coq等证明助手：得益于自动进行证明形式化和发现的帮助，证明整个程序正确无误。但是，负担仍然很高。

我认为，当前编写正确程序的最佳方法是纯函数式编程。如果生活取决于程序的正确性，则最好再提高一点，并使用校对助手。

听起来像您想要ESC / Haskell：http : //research.microsoft.com/zh-cn/um/people/simonpj/papers/verify/index.htm

哦，Agda现在确实有一个Web框架（至少是概念验证）：http : //www.reddit.com/r/haskell/comments/d8dck/lemmachine_a_web_framework_in_agda/

您看过Quickcheck吗？它可能会提供您需要的一些东西。

http://www.haskell.org/haskellwiki/Introduction_to_QuickCheck

您看似简单的示例add（a，b）实际上很难验证-浮点数，上溢，下溢，中断，编译器验证，硬件验证等。

习惯是Haskell的简化方言，可用来证明程序的属性。

休ume（Hume）是一种具有5个级别的语言，每个级别都有所限制，因此更易于验证：

全休H
  完全递归
休H
  原始递归函数
模板休ume
  预定义的高阶函数
  归纳数据结构
  归纳非递归一阶函数
FSM休ume
  非递归数据结构
休H
  没有功能
  非递归数据结构

当然，当今证明程序属性的最流行方法是单元测试，它提供了强大的定理，但是这些定理过于具体。“类型被认为有害”，皮尔斯，幻灯片66

看看芝诺（Zeno）。引用维基页面：

Zeno是针对Haskell程序属性的自动证明系统；由William Sonnex，Sophia Drossopoulou和Susan Eisenbach在伦敦帝国学院开发。它旨在解决对于任何输入值而言两个Haskell项之间相等的一般问题。

当今可用的许多程序验证工具都具有模型检查功能。能够非常快速地遍历非常大但有限的搜索空间。这些非常适合描述较多但没有递归数据类型的问题。另一方面，芝诺（Zeno）旨在通过归纳证明无限搜索空间中的属性，但仅限那些规格简单的属性。

正式证明Haskell程序的某些属性当然是可能的。在FP考试中，我必须这样做：给定两个表达式，证明它们表示相同的功能。由于Haskell是图灵完备的，因此一般不可能这样做，因此任何机械证明者都必须是证明助手（在用户指导下为半自动）或模型检查器。

已经朝这个方向进行了尝试，请参见例如P-logic：Haskell程序的属性验证或使用Mizar证明功能程序的正确性。两者都是学术论文，其描述的方法多于实现。

MSR Cambridge的一些最新工作：http : //research.microsoft.com/en-us/um/people/simonpj/papers/verify/hcc-popl.pdf

AProVE工具（至少）能够证明Haskell程序的终止，这是证明正确性的一部分。可以在本文中找到更多信息（简短版本）。

除此之外，您可能会对Dependent Types感兴趣。在这里，类型系统被扩展并用于使错误的程序成为不可能。

您可以使用该工具hs-to-coq将Haskell大部分自动转换为Coq，然后使用Coq证明助手的全部功能来验证您的Haskell代码。有关更多信息，请参见论文https://arxiv.org/abs/1803.06960和https://arxiv.org/abs/1711.09286。