摘要
布莱恩·伯沙德（Brian Bershad）、斯特凡·萨维奇（Stefan Savage）、普尔泽米斯拉夫·帕尔德亚克（Przemyslaw Pardyak）、埃米恩·冈·塞雷尔（Emin Gun Sirer）、大卫·贝克尔（David Becker）、马克·菲辛斯基（Marc Fiuc。 SPIN操作系统中的可扩展性、安全性和性能。 在 操作系统原理研讨会 ，第267-284页，1995年12月。 谷歌学者 
Robert Boyer和J.Strother Moore。 计算逻辑 学术出版社，1979年。 谷歌学者 R.M.Burstall和P.J.Landin。 程序及其证明：代数方法。 机器智能 , (4), 1969. 谷歌学者 R.L.Constable，S.F.Allen，H.M.Bromley，W.R.Cleaveland，J.F.Cremer，R.W.Harper，D.J.Howe，T.B.Knoblock，N.P.Mendler，P.Panangaden，J.T.Sasaki，S.F Smith。 用Nuprl证明开发系统实现数学 普伦蒂斯·霍尔，1986年。 谷歌学者 Thiery Coquand和Gerard Huet。 构造：一种用于机械化数学的高阶证明系统。 在 程序。 欧洲计算机代数会议（EUROCAL’85），LNCS 203 ，第151-184页。 斯普林格·弗拉格，1985年。 谷歌学者 D.C.Luckham等人，斯坦福-帕斯卡验证者用户手册。 技术报告STAN-CS-79-731，斯坦福大学计算机科学系，1979年3月。 谷歌学者 大卫·德特利夫斯（David Detlefs）。 扩展静态检查系统概述。 在 软件实践研讨会中第一个形式化方法的会议记录 , 1996. 谷歌学者 Edsger W.Dijkstra。 程序的保护命令、不确定性和形式派生。 ACM通信 , 18:453-457, 1975. 谷歌学者 迈克尔·戈登。 HOL：一种面向机器的高阶逻辑公式。 技术报告85，剑桥大学计算机实验室，1985年7月。 谷歌学者 詹姆斯·戈斯林（James Gosling）、比尔·乔伊（Bill Joy）和盖·斯蒂尔（Guy L.Steele）。 第三版 Java系列。 艾迪森·韦斯利，雷丁，马萨诸塞州，美国，1996年。 谷歌学者 Robert Harper、Furio Honsell和Gordon Plotkin。 定义逻辑的框架。 计算机协会杂志 ，40（1）：143-1841993年1月。 谷歌学者 史蒂文·麦卡恩和范·雅各布森。 BSD数据包过滤器：用于用户级数据包捕获的新体系结构。 在 1993年冬季USENIX会议 ，第259-269页。 USENIX协会，1993年1月。 谷歌学者 太阳微系统公司。 Java虚拟机规范。 可作为 ftp://ftp.javasoft.com/docs/vmspec.ps.zip , 1995. 谷歌学者 乔治·C·内库拉和彼得·李。 逻辑证明的有效表示和验证。 技术报告CMU-CS-97-172，卡内基梅隆大学计算机科学系，1997年10月。 谷歌学者 乔治·C·内库拉和彼得·李。 认证编译器的设计和实现。 在 ACM SIGPLAN’98程序设计与实现会议 1998年6月。 谷歌学者 格雷格·纳尔逊和德里克·奥本。 通过合作决策程序简化。 程序设计语言与系统学报 ，1（2）:245-2571979年10月。 谷歌学者 约翰·奥斯特霍特（John R.Ousterhout）。 Tcl和Tk工具包 艾迪森·卫斯理，1994年。 谷歌学者 S.Owre、J.M.Rushby和N.Shankar。 PVS：原型验证系统。 编辑Deepak Kapur， 第十一届自动扣减国际会议 ，第607卷，共页 人工智能讲义 ，第748-752页，纽约州萨拉托加，1992年6月。 斯普林格·弗拉格。 谷歌学者 弗兰克·普芬宁（Frank Pfenning）。 精灵：演绎系统的元语言（系统描述）。 编辑阿兰·邦迪， 第十二届自动扣减国际会议 ，LNAI 814，第811-815页，法国南希，1994年6月26日至7月1日。 斯普林格·弗拉格。 谷歌学者 R.Wahbe、S.Lucco、T.E.Anderson和S.L.Graham。 高效的基于软件的故障隔离。 在 第14届ACM操作系统原理研讨会 ，第203-216页。 ACM，1993年12月。 谷歌学者
建议
具有不可信证明规则的证明码 ISSS’02：2002年Mext-NSF-JSPS软件安全国际会议论文集：理论和系统 防错代码（PCC）允许代码生成器将程序的安全性的机器可检查证明关联到程序。 在PCC的传统实现中，生产者事先以未指定的方式与消费者协商许可。。。 模型关联代码：一种安全执行不受信任应用程序的实用方法 SOSP’03：第十九届ACM操作系统原理研讨会会议记录 本文提出了一种新的方法，称为 模型关联代码 （MCC）用于安全执行不受信任的代码。 MCC的核心思想是，不受信任的代码配备了其安全相关行为的简明高级模型。 此模型。。。
