Aturan bingkai sebagai perubahan-pemelihara?

Sebuah aturan bingkai , seperti yang diberikan di bawah ini, menangkap gagasan bahwa, mengingat program cdengan prasyarat pyang memegang sebelum berjalan dan postcondition qyang memegang sesudahnya, beberapa kondisi menguraikan rharus memegang baik sebelum dan sesudah cberjalan. ( Konektif *mensyaratkan bahwa argumennya terpisah.) Seringkali, kondisi pra dan pasca adalah keadaan tumpukan, dan cmerupakan program yang efektif yang memodifikasi tumpukan dengan beberapa cara.

    {p} c {q}
----------------- (where no free variable in r is modified by c)
{p * r} c {q * r}

Diskusi tentang aturan bingkai yang saya lihat selalu tampak berfokus pada bagaimana bagian yang terpisah dari tumpukan, rdipertahankan. Ini memungkinkan "penalaran lokal": ketika berpikir tentang efek yang cdimilikinya, kita dapat mengabaikan rbagian tumpukan dan hanya memusatkan perhatian pada bagian yang benar-benar berubah. Tetapi cara lain untuk melihatnya adalah bahwa perubahan dari pkeq dipertahankan, meskipun rsekarang duduk di sana. Dengan kata lain, penting bahwa kita berakhir dengan kondisi akhir {q * r}, bukan {q' * r}untuk beberapa lainnya q'.

Jadi, pertanyaan saya adalah apakah ada perawatan dari aturan frame yang dibahas atau merek penggunaan pelestarian-of-perubahan-dari- p-to- qhal.

Tapi properti no-change-to- qproperty ini sebenarnya tidak berlaku!

Pertimbangkan {emp} x := alloc(0) {x |-> 0}. Sekarang, jika saya membingkai y |-> 3, saya mengerti

{y |-> 3} x := alloc(0) {x |-> 0 * y |-> 3}

tetapi, dengan aturan konsekuensi, saya bisa mengubah postcondition menjadi

{y |-> 3} x := alloc(0) {(x |-> 0 /\ x != y) * y |-> 3}

Untuk membuat ini lebih konkret, anggaplah yangkanya 37. Ketika saya menjalankan perintah alokasi di tumpukan yang benar-benar kosong, mungkin saja saya akan akhirnya mengalokasikan alamat 37, jadi x = 37. Tetapi, jika saya mulai dengan tumpukan yang berisi sel tunggal di alamat y = 37, hasil ini tidak lagi mungkin! Menambahkan bingkai ke prasyarat telah memangkas beberapa nondeterminisme dalam postkondisi.

Makalah "Tindakan lokal dan logika pemisahan abstrak" (Calcagno, O'Hearn, dan Yang) adalah semua tentang memahami aturan bingkai dari perspektif semantik yang lebih dalam. Definisi utama dari makalah ini adalah lokalitas untuk "tindakan", di mana suatu tindakan adalah (representasi semantik dari) sebuah program. Lokalitas mengatakan bahwa ketika Anda menambahkan beberapa frame heap, satu - satunya cara postcondition asli dapat diubah adalah dengan memangkas beberapa nondeterminisme seperti di atas. Dan, pada kenyataannya, pemangkasan hanya muncul karena alokasi.

Pertama, ada kesalahpahaman kecil dalam pernyataan pertanyaan Anda, yang juga diterima Harun dalam jawabannya. Predikat dalam logika pemisahan adalah kumpulan tumpukan (atau ekuivalen, predikat pada tumpukan), dan konjungsi pemisah didefinisikan sebagai:$P \ast Q$

$$P \ast R \triangleq \{h_1 \cdot h_2 \;|\; h_1 \in P \;\wedge\; h_2 \in R \;\wedge\; \mathrm{dom}(h_1) \cap \mathrm{dom}(h_2) = \emptyset\}$$

Jadi dalam aturan frame

$$\frac{\{P\}c\{Q\}}{\{P\ast R\}c\{Q \ast R\}}$$

(dan P dan Q ) tidak berbicara tentang tumpukan spesifik --- mereka adalahpropertitumpukan (karena himpunan bagian dan predikat adalah setara). Cara terbaik untuk memahami apa yang terjadi adalah dengan melihat definisi dari apa yang dipegang oleh Hoare triple:$R$$P$$Q$

$$\{P\}c\{Q\} \triangleq \forall h_1 \in P.\; \forall h' \in \mathrm{Heap}\;\mbox{s.t.}\; h' \# h_1.\;\exists h_2 \in Q.\; \left<h_1\cdot h'; c\right> \mapsto^\ast \left<h_2\cdot h'; \mathsf{skip}\right>$$

Definisi ini pada dasarnya mengatakan bahwa (1) jika Anda menjalankan dengan h 1 di P , maka Anda akan menyelesaikan dalam beberapa keadaan akhir h 2 di Q , dan (2) jika Anda menambahkan memori tambahan h ′ , memori itu akan tidak berubah di akhir proses. Tetapi perhatikan bahwa h 2 spesifik yang Anda dapatkan dapat berbeda, untuk berbagai pilihan h ′ --- yang dijamin adalah bahwa properti P dan Q akan terus bertahan di bawah ekstensi, bukan bahwa Anda mendapatkan tumpukan hasil yang persis sama.$c$$h_1$$P$$h_2$$Q$$h'$ $h_2$$h'$ $P$$Q$

Ini tidak terlalu sulit, tetapi masih layak untuk dikerjakan, untuk melihat bagaimana definisi Hoare triple ini menyiratkan bahwa aturan frame berlaku. Seperti yang Anda perhatikan, ini adalah semacam properti "pelestarian-perubahan", dan ia memiliki ekspresi yang sangat jelas dalam pernyataan aturan komposisi paralel dalam logika pemisahan bersamaan:

$$\frac{\{P_1\}c_1\{Q_1\} \qquad \{P_2\}c_2\{Q_2\}}{\{P_1 \ast P_2\}c_1 || c_2 \{Q_1 \ast Q_2\}}$$

Jika dan c 2 bertindak pada daerah memori terpisah, maka masing-masing tidak akan mengganggu properti eksekusi yang lain ketika dijalankan secara paralel.$c_1$$c_2$

Ada diskusi tentang hal ini dalam makalah oleh Hoare et al, On Locality dan Exchange Law for Concurrent Processes , di mana mereka menunjukkan bagaimana memberikan aljabar gabungan program dan pernyataan.

Meskipun tidak 100% terkait, ini memiliki rasa idempoten kontrak.

Jika kita menganggap {p} sebagai prasyarat pada c dan {q} sebagai prasyarat pada c, gagasan aturan bingkai ini akan memastikan bahwa prekondisi dan pascakondisi berlaku dalam setiap konteks perhitungan, bukan kasus sederhana di mana tidak ada yang lain.

Yang mengatakan, saya tidak bisa mengatakan bahwa saya telah melihat aturan kerangka yang disajikan dalam salah satu dari puluhan makalah kontrak yang saya baca. Ini tentu saja merupakan ide yang hebat, dan membutuhkan perubahan seperti itu dapat melakukan banyak hal untuk mengembangkan pemahaman yang masuk akal dan nyata dari kontrak idempoten .