Règle de trame comme serveur de changement?

Une règle de trame , comme celle donnée ci-dessous, capture l'idée que, étant donné un programme cavec une précondition pqui tient avant qu'il s'exécute et une postcondition qqui tient après, une condition disjointe rdevrait tenir à la fois avant et après les cexécutions. (Le *connectif nécessite que ses arguments soient disjoints.) Souvent, les pré- et post-conditions sont des états d'un tas, et cest un programme efficace qui modifie le tas d'une manière ou d'une autre.

    {p} c {q}
----------------- (where no free variable in r is modified by c)
{p * r} c {q * r}

Les discussions sur la règle de trame que j'ai vues semblent toujours se concentrer sur la façon dont la partie disjointe du tas rest préservée. Cela permet un «raisonnement local»: lorsque nous raisonnons sur l'effet qui en crésulte, nous pouvons ignorer la rpartie du tas et ne nous préoccuper que de la partie qui change réellement. Mais une autre façon de voir les choses est que le changement de pàq est conservé, même s'il rest maintenant là. En d'autres termes, il est important que nous nous retrouvions avec la postcondition {q * r}, plutôt que {q' * r}pour une autre q'.

Donc, ma question est de savoir s'il y a un traitement de la règle de cadre qui traite ou fait usage de la conservation-de-changement From- p-à- qchose.

Mais cette qpropriété sans changement ne tient pas vraiment!

Considérez {emp} x := alloc(0) {x |-> 0}. Maintenant, si j'encadre y |-> 3, je reçois

{y |-> 3} x := alloc(0) {x |-> 0 * y |-> 3}

mais, par la règle de conséquence, je pourrais changer la postcondition en

{y |-> 3} x := alloc(0) {(x |-> 0 /\ x != y) * y |-> 3}

Pour rendre cela plus concret, supposons que yc'est le nombre 37. Lorsque j'exécute la commande d'allocation dans un tas complètement vide, il est possible que je finisse par allouer une adresse 37, de sorte que x = 37. Mais, si je commence plutôt par un tas contenant une seule cellule à l'adresse y = 37, ce résultat n'est plus possible! L'ajout d'un cadre à la précondition a taillé une partie du non-déterminisme dans la postcondition.

L'article «Action locale et logique de séparation abstraite» (Calcagno, O'Hearn et Yang) porte sur la compréhension de la règle du cadre dans une perspective sémantique plus profonde. La définition clé de l'article est la localité des «actions», où une action est (la représentation sémantique d'un) programme. La localité dit que lorsque vous ajoutez un tas de trames, la seule façon de modifier la postcondition d'origine est d'élaguer un certain non-déterminisme comme ci-dessus. Et, en fait, l'élagage ne se produit qu'en raison de l'allocation.

Premièrement, il y a une petite idée fausse dans l'énoncé de votre question, c'est ce qu'Aaron voulait également dire dans sa réponse. Les prédicats dans la logique de séparation sont des ensembles de tas (ou de manière équivalente, des prédicats sur les tas), et la conjonction de séparation est définie comme:$P \ast Q$

$$P \ast R \triangleq \{h_1 \cdot h_2 \;|\; h_1 \in P \;\wedge\; h_2 \in R \;\wedge\; \mathrm{dom}(h_1) \cap \mathrm{dom}(h_2) = \emptyset\}$$

Donc, dans la règle du cadre

$$\frac{\{P\}c\{Q\}}{\{P\ast R\}c\{Q \ast R\}}$$

(et P et Q ) ne parlent pas de tas spécifiques --- ce sont despropriétésde tas (puisque les sous-ensembles et les prédicats sont équivalents). La meilleure façon de comprendre ce qui se passe est de regarder la définition de ce que signifie pour un triple Hoare:$R$$P$$Q$

$$\{P\}c\{Q\} \triangleq \forall h_1 \in P.\; \forall h' \in \mathrm{Heap}\;\mbox{s.t.}\; h' \# h_1.\;\exists h_2 \in Q.\; \left<h_1\cdot h'; c\right> \mapsto^\ast \left<h_2\cdot h'; \mathsf{skip}\right>$$

Cette définition dit essentiellement que (1) si vous exécutez avec n'importe quel h 1 dans P , alors vous finirez dans un état final h 2 dans Q , et (2) si vous ajoutez de la mémoire supplémentaire h ' , cette mémoire sera être inchangé à la fin de la course. Mais notez que le h 2 spécifique que vous obtenez peut différer, pour différents choix de h ′ --- ce qui est garanti est que les propriétés P et Q continueront de se prolonger, pas que vous obteniez exactement le même tas de résultats.$c$$h_1$$P$$h_2$$Q$$h'$ $h_2$$h'$ $P$$Q$

Ce n'est pas trop difficile, mais ça vaut quand même la peine d'être étudié, pour voir comment cette définition du triple de Hoare implique que la règle de trame tient. Comme vous le constatez, il s'agit d'une sorte de propriété de "préservation des modifications", et elle a une expression particulièrement vivante dans l'énoncé de la règle de composition parallèle dans la logique de séparation simultanée:

$$\frac{\{P_1\}c_1\{Q_1\} \qquad \{P_2\}c_2\{Q_2\}}{\{P_1 \ast P_2\}c_1 || c_2 \{Q_1 \ast Q_2\}}$$

Si et c 2 agissent sur des régions de mémoire disjointes, alors chacune n'interfère pas avec les propriétés de l'exécution de l'autre lorsqu'elles sont exécutées en parallèle.$c_1$$c_2$

Il y a une discussion à ce sujet dans l'article de Hoare et al, On Locality and the Exchange Law for Concurrent Processes , où ils montrent comment donner une algèbre fusionnée de programmes et d'assertions.

Bien que n'étant pas lié à 100%, cela a la saveur de l'idempotence du contrat.

Si nous considérons {p} comme une condition préalable sur c et {q} comme une condition préalable sur c, cette idée d'une règle de trame garantirait que les conditions préalables et postérieures sont valables dans tous les contextes de calcul, pas le cas simple où rien d'autre n'existe.

Cela dit, je ne peux pas dire que j'ai vu une telle règle de cadre présentée dans les dizaines de documents contractuels que j'ai lus. C'est certainement une excellente idée, cependant, et exiger un tel changement peut grandement contribuer à développer une compréhension raisonnable et tangible des contrats idempotents .