Rahmenregel als Change-Preserver?

Eine Rahmenregel wie die folgende fängt die Idee ein, dass bei einem Programm cmit einer Vorbedingung p, die vor der Ausführung qgilt, und einer Nachbedingung , die nach der Ausführung gilt, eine disjunkte Bedingung rsowohl vor als auch nach der cAusführung gelten sollte. (Der *Konnektiv erfordert, dass seine Argumente nicht zusammenhängend sind.) Oft sind die Vor- und Nachbedingungen Zustände ceines Heapspeichers und ein wirksames Programm, das den Heapspeicher auf irgendeine Weise modifiziert.

    {p} c {q}
----------------- (where no free variable in r is modified by c)
{p * r} c {q * r}

Diskussionen über die Rahmenregel, die ich gesehen habe, scheinen sich immer darauf zu konzentrieren, wie der disjunkte Teil des Haufens rerhalten bleibt. Dies ermöglicht "lokales Denken": Wenn cwir über den Effekt nachdenken, können wir den rTeil des Haufens ignorieren und uns nur mit dem Teil befassen, der sich tatsächlich ändert. Aber eine andere Sichtweise ist, dass der Wechsel von pzuq erhalten bleibt, obwohl rjetzt dort gesessen wird. Mit anderen Worten, es ist wichtig, dass wir am Ende die Nachbedingung {q * r}haben und nicht {q' * r}für eine andere q'.

Meine Frage ist also, ob es eine Behandlung der Rahmenregel gibt, die den Erhalt der Veränderung von petwas zu qetwas bespricht oder nutzt .

Aber diese Unveränderlichkeit des qEigentums gilt nicht wirklich!

Überlegen Sie {emp} x := alloc(0) {x |-> 0}. Wenn ich mich einrahme y |-> 3, bekomme ich

{y |-> 3} x := alloc(0) {x |-> 0 * y |-> 3}

aber nach der Regel der Konsequenz könnte ich die Nachbedingung auf ändern

{y |-> 3} x := alloc(0) {(x |-> 0 /\ x != y) * y |-> 3}

Nehmen wir yzur Konkretisierung an, es sei die Zahl 37. Wenn ich den Zuweisungsbefehl in einem vollständig leeren Heap ausführe, kann es vorkommen, dass ich die Adresse zuordne 37, so dass x = 37. Wenn ich stattdessen mit einem Heap beginne, der eine einzelne Zelle unter der Adresse enthält y = 37, ist dieses Ergebnis nicht mehr möglich! Das Hinzufügen eines Rahmens zur Vorbedingung hat einen Teil des Nichtdeterminismus in der Nachbedingung abgeschnitten.

In der Arbeit "Lokale Aktion und abstrakte Trennungslogik" (Calcagno, O'Hearn und Yang) geht es darum, die Rahmenregel aus einer tieferen, semantischen Perspektive zu verstehen. Die Schlüsseldefinition des Papiers ist Lokalität für "Aktionen", wobei eine Aktion (die semantische Repräsentation von) ein Programm ist. Ort sagt , dass , wenn Sie in einem gewissen Rahmen Haufen hinzufügen, die nur Art und Weise , dass die ursprüngliche Nachbedingung geändert durch Beschneiden einig Nicht - Determinismus , wie oben werden kann. Und in der Tat entsteht das Beschneiden nur aufgrund der Zuordnung.

Erstens enthält die Aussage Ihrer Frage ein kleines Missverständnis, worauf Aaron auch in seiner Antwort eingegangen ist. Prädikate in der Trennungslogik sind Mengen von Heaps (oder äquivalent Prädikate auf Heaps), und die Trennungskonjunktion ist definiert als:$P \ast Q$

$$P \ast R \triangleq \{h_1 \cdot h_2 \;|\; h_1 \in P \;\wedge\; h_2 \in R \;\wedge\; \mathrm{dom}(h_1) \cap \mathrm{dom}(h_2) = \emptyset\}$$

Also in der Rahmenregel

$$\frac{\{P\}c\{Q\}}{\{P\ast R\}c\{Q \ast R\}}$$

$R$ (und und ) sprechen nicht über bestimmte Heaps - sie sind Eigenschaften von Heaps (da Teilmengen und Prädikate gleichwertig sind). Der beste Weg, um zu verstehen, was los ist, ist die Definition dessen, was es bedeutet, wenn ein Hoare-Triple hält:$P$$Q$

$$\{P\}c\{Q\} \triangleq \forall h_1 \in P.\; \forall h' \in \mathrm{Heap}\;\mbox{s.t.}\; h' \# h_1.\;\exists h_2 \in Q.\; \left<h_1\cdot h'; c\right> \mapsto^\ast \left<h_2\cdot h'; \mathsf{skip}\right>$$

Diese Definition besagt im Grunde, dass (1) wenn Sie mit einem in ausführen , dann werden Sie in einem Endzustand in , und (2) wenn Sie einen zusätzlichen Speicher hinzufügen , wird dieser Speicher unverändert bleiben am Ende des Laufs. Beachten Sie jedoch, dass das spezifische Sie erhalten, für verschiedene Auswahlmöglichkeiten von - was garantiert wird, ist, dass die Eigenschaften und weiterhin unter Erweiterung bleiben, und nicht, dass Sie genau den gleichen Ergebnishaufen erhalten.$c$$h_1$$P$$h_2$$Q$$h'$ $h_2$$h'$ $P$$Q$

Es ist nicht allzu schwer, aber es lohnt sich dennoch herauszufinden, wie diese Definition des Hoare-Tripels impliziert, dass die Rahmenregel gilt. Wie Sie bemerken, handelt es sich hierbei um eine Art "Erhaltung von Änderungen" -Eigenschaft, die sich besonders lebhaft in der Aussage der Parallelzusammensetzungsregel in der Logik der gleichzeitigen Trennung niederschlägt:

$$\frac{\{P_1\}c_1\{Q_1\} \qquad \{P_2\}c_2\{Q_2\}}{\{P_1 \ast P_2\}c_1 || c_2 \{Q_1 \ast Q_2\}}$$

Wenn und auf nicht zusammenhängende Speicherbereiche einwirken, beeinträchtigt keiner die Eigenschaften der Ausführung des anderen, wenn sie parallel ausgeführt werden.$c_1$$c_2$

Dies wird in dem Artikel von Hoare et al., On Locality and the Exchange Law for Concurrent Processes , erörtert, in dem gezeigt wird, wie eine zusammengeführte Algebra von Programmen und Behauptungen erstellt werden kann.

Dies ist zwar nicht zu 100% verwandt, hat aber den Geschmack von Vertragsidemotenz.

Wenn wir {p} als Vorbedingung für c und {q} als Nachbedingung für c betrachten, würde diese Idee einer Rahmenregel sicherstellen, dass die Vor- und Nachbedingungen in jedem Kontext der Berechnung gelten, nicht der einfache Fall, in dem nichts anderes existiert.

Trotzdem kann ich nicht sagen, dass ich eine solche Rahmenregel in einem der Dutzenden von Vertragspapieren gesehen habe, die ich gelesen habe. Es ist sicherlich eine großartige Idee, und eine solche Änderung kann viel dazu beitragen, ein vernünftiges, greifbares Verständnis für idempotente Verträge zu entwickeln.