Assisted verification of elementary functions

The implementation of a correctly rounded or interval elementary function needs to be proven carefully in the very last details. The proof requires a tight bound on the overall error of the implementation with respect to the mathematical function. Such work is function specific, concerns tens of lines of code for each function, and will usually be broken by the smallest change to the code (e.g. for maintenance or optimization purpose). Therefore, it is very tedious and error-prone if done by hand. This article discusses the use of the Gappa proof assistant in this context. Gappa has two main advantages over previous approaches: Its input format is very close to the actual C code to validate, and it automates error evaluation and propagation using interval arithmetic. Besides, it can be used to incrementally prove complex mathematical properties pertaining to the C code. Yet it does not require any specific knowledge about automatic theorem proving, and thus is accessible to a wider community. Moreover, Gappa may generate a formal proof of the results that can be checked independently by a lower-level proof assistant like Coq, hence providing an even higher confidence in the certification of the numerical code. Key-words: proof assistant, floating-point, elementary functions, numerical code This text is also available as a research report of the Laboratoire de l’Informatique du Parallélisme http://www.ens-lyon.fr/LIP. Vérification assistée de fonctions élémentaires Résumé : L’implantation d’une fonction élémentaire avec arrondi correct ou d’une fonction élémentaire d’intervalle doit être prouvée dans les moindres détails. La preuve nécessite le calcul d’une borne fine sur l’erreur totale entre l’implémentation et la fonction mathématique exacte. Ce genre de travail est particulier à chaque fonction, concerne des dizaines de lignes de code, et risque d’être réduit à néant par une modification subséquente du code, pour raison de maintenance ou d’optimisation. Pour ces raisons, ce travail est très fastidieux et sujet à erreur s’il est effectué à la main. Cet article discute l’utilisation dans ce contexte de l’outil d’assistance à la preuve Gappa. Cet outil a deux avantages principaux sur les approches précédentes: sa syntaxe d’entrée est très proche de celle du code C à valider, et le calcul et la propagation des bornes d’erreurs sont automatisés autant que possible au moyen d’arithmétique d’intervalle. De plus, on peut l’utiliser de manière incrémentale pour prouver des propriétés complexes du code. Pourtant, l’outil ne nécessite pas de connaissances préalables en théorie de la démonstration, et est donc accessible à un public large. Enfin, Gappa produit une preuve formelle de ses résultats, preuve qui peut être vérifiée par des outils de preuve de plus bas niveau tels que Coq, pour encore plus de confiance dans la certification du code numérique. Mots-clés : assistant de preuve, virgule flottante, fonctions élémentaires, code numérique Assisted verification of elementary functions 3