Кадровое правило как хранитель изменений?

Правило рамки , как приведенному ниже, отражает идею , что, учитывая программу cс предварительным условием , pчто имеет место , прежде чем он работает и постусловии qчто держит позже, некоторые непересекающиеся условие rследует держать как до , так и после того, как cработает. ( *Соединение требует, чтобы его аргументы были непересекающимися.) Часто предварительные и постусловия являются состояниями кучи и cпредставляют собой эффективную программу, которая каким-то образом модифицирует кучу.

    {p} c {q}
----------------- (where no free variable in r is modified by c)
{p * r} c {q * r}

Обсуждение правила фрейма, которое я видел, всегда фокусируется на том r, как сохраняется непересекающаяся часть кучи . Это позволяет «локально рассуждать»: рассуждая о влиянии, cкоторое мы имеем, мы можем игнорировать rчасть кучи и заботиться только о той части, которая действительно изменяется. Но другой способ взглянуть на это состоит в том, что изменение с pнаq сохраняется, даже если rсейчас там сидят. Другими словами, важно, чтобы мы в конечном итоге получили постусловие {q * r}, а не {q' * r}какое-то другое q'.

Итак, мой вопрос , есть ли какое - либо лечение правила кадра, обсуждаемые или используют сохранение его изменения-from- p-До- qвещи.

Но это без изменений в qсобственности на самом деле не имеет места!

Посмотрим {emp} x := alloc(0) {x |-> 0}. Теперь, если я в кадре y |-> 3, я получаю

{y |-> 3} x := alloc(0) {x |-> 0 * y |-> 3}

но по правилу следствия я мог изменить постусловие на

{y |-> 3} x := alloc(0) {(x |-> 0 /\ x != y) * y |-> 3}

Чтобы сделать это более конкретным, предположим, что yэто число 37. Когда я запускаю команду выделения в совершенно пустой куче, возможно, что я в конечном итоге выделю адрес 37, так что x = 37. Но если я вместо этого начну с кучи, содержащей одну ячейку по адресу y = 37, этот результат больше невозможен! Добавление рамки к предварительному условию исключило некоторые недетерминированности в постусловии.

Статья «Локальное действие и абстрактная логика разделения» (Calcagno, O'Hearn и Yang) посвящена пониманию правила фрейма с более глубокой, семантической точки зрения. Ключевым определением статьи является локальность для «действий», где действие - это (семантическое представление) программы. Локальность говорит, что когда вы добавляете кучу кадров, единственный способ изменить исходное постусловие - это обрезать некоторый недетерминизм, как описано выше. И, на самом деле, обрезка возникает только из-за выделения.

Во-первых, в формулировке вашего вопроса есть небольшое заблуждение, на которое Аарон также понял в своем ответе. Предикаты в логике разделения - это наборы куч (или, что то же самое, предикаты в кучах), и разделяющее соединение определяется как:$P \ast Q$

$$P \ast R \triangleq \{h_1 \cdot h_2 \;|\; h_1 \in P \;\wedge\; h_2 \in R \;\wedge\; \mathrm{dom}(h_1) \cap \mathrm{dom}(h_2) = \emptyset\}$$

Так в правиле кадра

$$\frac{\{P\}c\{Q\}}{\{P\ast R\}c\{Q \ast R\}}$$

(и P и Q ) не говорят о конкретных кучах - они являютсясвойствамикуч (поскольку подмножества и предикаты эквивалентны). Лучший способ понять, что происходит - взглянуть на определение значения тройки Хоара:$R$$P$$Q$

$$\{P\}c\{Q\} \triangleq \forall h_1 \in P.\; \forall h' \in \mathrm{Heap}\;\mbox{s.t.}\; h' \# h_1.\;\exists h_2 \in Q.\; \left<h_1\cdot h'; c\right> \mapsto^\ast \left<h_2\cdot h'; \mathsf{skip}\right>$$

Это определение в основном говорит, что (1) если вы запустите с любым h 1 в P , то вы закончите в каком-то конечном состоянии h $c$$h_1$$P$$h_2$ в , и (2) если вы добавите в любую дополнительную память h ′ , эта память будет быть неизменным в конце пробега. Но обратите внимание, что конкретное значение h 2, которое вы получаете, может различаться для разных вариантов выбора h ′ --- что гарантировано, так это то, что свойства P и Q будут продолжать сохраняться при расширении, а не то, что вы получите точно такую ​​же кучу результатов.$Q$$h'$ $h_2$$h'$ $P$$Q$

Это не слишком сложно, но все же стоит потрудиться, чтобы увидеть, как это определение тройки Хоара подразумевает, что правило фрейма выполнено. Как вы заметили, это своего рода свойство «сохранения изменений», и оно особенно ярко выражено в формулировке правила параллельной композиции в логике параллельного разделения:

$$\frac{\{P_1\}c_1\{Q_1\} \qquad \{P_2\}c_2\{Q_2\}}{\{P_1 \ast P_2\}c_1 || c_2 \{Q_1 \ast Q_2\}}$$

Если и c 2 действуют на непересекающиеся области памяти, то каждый из них не будет мешать свойствам выполнения другого, когда они выполняются параллельно.$c_1$$c_2$

Об этом говорится в статье Хоара и др. « О локальности и законе обмена для параллельных процессов» , где они показывают, как дать объединенную алгебру программ и утверждений.

Хотя это не связано на 100%, это имеет вид идемпотентности контракта.

Если мы будем думать о {p} как о предварительном условии на c и {q} как о постусловии на c, эта идея правила фрейма обеспечит выполнение предварительных и постусловий в любом контексте вычисления, а не простой случай, когда ничего не существует.

Тем не менее, я не могу сказать, что я видел такое рамочное правило, представленное в любом из десятков контрактных документов, которые я прочитал. Это, безусловно, отличная идея, и требование такого изменения может многое сделать для выработки разумного, осязаемого понимания идемпотентных контрактов.