¿Regla de trama como conservador de cambios?

Una regla de trama , como la que se muestra a continuación, captura la idea de que, dado un programa ccon una condición previa pque se cumple antes de que se ejecute y quna condición posterior que se cumple después, alguna condición disjunta rdebe mantenerse antes y después de las cejecuciones. (El *conectivo requiere que sus argumentos sean disjuntos). A menudo, las condiciones previas y posteriores son estados de un montón, y ces un programa eficaz que modifica el montón de alguna manera.

    {p} c {q}
----------------- (where no free variable in r is modified by c)
{p * r} c {q * r}

Las discusiones sobre la regla del marco que he visto siempre parecen centrarse en cómo rse preserva la parte disjunta del montón . Esto permite el "razonamiento local": cuando razonamos sobre el efecto que ctiene, podemos ignorar la rparte del montón y solo preocuparnos por la parte que realmente cambia. Pero otra forma de verlo es que el cambio de paq se conserva, a pesar de rque ahora está sentado allí. En otras palabras, es importante que terminemos con la condición posterior {q * r}, en lugar de {q' * r}por alguna otra q'.

Entonces, mi pregunta es si hay algún tratamiento de la regla del marco que discuta o haga uso de la preservación del cambio de puna qcosa a otra.

¡Pero este no-cambio-a- qpropiedad en realidad no se cumple!

Considere {emp} x := alloc(0) {x |-> 0}. Ahora, si enmarco y |-> 3, me sale

{y |-> 3} x := alloc(0) {x |-> 0 * y |-> 3}

pero, por regla de consecuencia, podría cambiar la condición posterior a

{y |-> 3} x := alloc(0) {(x |-> 0 /\ x != y) * y |-> 3}

Para hacer esto más concreto, supongamos que yes el número 37. Cuando ejecuto el comando de asignación en un montón completamente vacío, es posible que termine asignando direcciones 37, de modo que x = 37. Pero, si en cambio empiezo con un montón que contiene una sola celda en la dirección y = 37, ¡este resultado ya no es posible! Agregar un marco a la condición previa ha eliminado parte del no determinismo en la condición posterior.

El documento "Acción local y lógica de separación abstracta" (Calcagno, O'Hearn y Yang) trata de comprender la regla del marco desde una perspectiva semántica más profunda. La definición clave del documento es localidad para "acciones", donde una acción es (la representación semántica de) un programa. La localidad dice que cuando agrega un montón de marcos, la única forma en que se puede cambiar la condición posterior original es podando algo de no determinismo como se indicó anteriormente. Y, de hecho, la poda solo surge debido a la asignación.

Primero, hay un pequeño error en la declaración de su pregunta, que es a lo que Aaron también se refería en su respuesta. Los predicados en la lógica de separación son conjuntos de montones (o equivalente, predicados en montones), y la conjunción de separación se define como:$P \ast Q$

$$P \ast R \triangleq \{h_1 \cdot h_2 \;|\; h_1 \in P \;\wedge\; h_2 \in R \;\wedge\; \mathrm{dom}(h_1) \cap \mathrm{dom}(h_2) = \emptyset\}$$

Entonces en la regla del marco

$$\frac{\{P\}c\{Q\}}{\{P\ast R\}c\{Q \ast R\}}$$

(y P y Q ) no están hablando de montones específicos: sonpropiedadesde montones (ya que los subconjuntos y predicados son equivalentes). La mejor manera de entender lo que está sucediendo es ver la definición de lo que significa para un Hoare triple:$R$$P$$Q$

$$\{P\}c\{Q\} \triangleq \forall h_1 \in P.\; \forall h' \in \mathrm{Heap}\;\mbox{s.t.}\; h' \# h_1.\;\exists h_2 \in Q.\; \left<h_1\cdot h'; c\right> \mapsto^\ast \left<h_2\cdot h'; \mathsf{skip}\right>$$

Esta definición básicamente dice que (1) si ejecuta con cualquier h 1 en P , entonces terminará en algún estado final h 2 en Q , y (2) si agrega cualquier memoria adicional h ′ , esa memoria permanecer sin cambios al final de la carrera. Pero tenga en cuenta que el h 2 específico que obtiene puede diferir, para diferentes opciones de h ′ --- lo que se garantiza es que las propiedades P y Q continuarán manteniéndose bajo extensión, no que obtenga exactamente el mismo montón de resultados.$c$$h_1$$P$$h_2$$Q$$h'$ $h_2$$h'$ $P$$Q$

No es demasiado difícil, pero vale la pena resolverlo, para ver cómo esta definición de Hoare triple implica que se cumple la regla del marco. Como observa, este es un tipo de propiedad de "preservación de cambios", y tiene una expresión particularmente vívida en la declaración de la regla de composición paralela en la lógica de separación concurrente:

$$\frac{\{P_1\}c_1\{Q_1\} \qquad \{P_2\}c_2\{Q_2\}}{\{P_1 \ast P_2\}c_1 || c_2 \{Q_1 \ast Q_2\}}$$

Si y c 2 actúan sobre regiones disjuntas de memoria, entonces cada uno no interferirá con las propiedades de la ejecución del otro cuando se ejecutan en paralelo.$c_1$$c_2$

Hay una discusión sobre esto en el documento de Hoare et al, sobre la localidad y la ley de intercambio para procesos concurrentes , donde muestran cómo dar un álgebra combinada de programas y afirmaciones.

Si bien no está 100% relacionado, tiene el sabor de la idempotencia contractual.

Si pensamos en {p} como una condición previa en c y {q} como una condición posterior en c, esta idea de una regla de trama garantizaría que las condiciones previas y posteriores se mantengan en cada contexto de cálculo, no El simple caso donde nada más existe.

Dicho esto, no puedo decir que haya visto tal regla marco presentada en ninguna de las docenas de documentos contractuales que he leído. Sin embargo, es una gran idea, y requerir tal cambio puede hacer mucho para desarrollar una comprensión razonable y tangible de los contratos idempotentes .