Regra de quadro como um preservador de alterações?

Uma regra de quadro , como a fornecida abaixo, captura a idéia de que, dado um programa ccom pré-condição pque é mantida antes da execução e pós-condição qque é rmantida posteriormente, alguma condição de desarticulação deve ser mantida antes e depois da cexecução. (O *conectivo exige que seus argumentos sejam disjuntos.) Freqüentemente, as pré e pós-condições são estados de um heap e cé um programa eficaz que modifica o heap de alguma maneira.

    {p} c {q}
----------------- (where no free variable in r is modified by c)
{p * r} c {q * r}

As discussões sobre a regra de estrutura que eu sempre vi parecem focar em como a parte separada da pilha ré preservada. Isso permite o "raciocínio local": ao raciocinar sobre o efeito que isso ccausa, podemos desconsiderar a rparte do heap e nos preocupar apenas com a parte que realmente muda. Mas outra maneira de ver é que a mudança de pparaq é preservada, mesmo que ragora esteja lá. Em outras palavras, é importante que terminemos com a pós-condição {q * r}, e não {q' * r}com outras q'.

Então, minha pergunta é se existe qualquer tratamento da regra quadro que discute ou faz uso da preservação-de-change-de- pPara- qcoisa.

Mas essa mudança de qpropriedade não é realmente válida!

Considere {emp} x := alloc(0) {x |-> 0}. Agora, se eu enquadrar y |-> 3, eu recebo

{y |-> 3} x := alloc(0) {x |-> 0 * y |-> 3}

mas, pela regra da conseqüência, eu poderia mudar a pós-condição para

{y |-> 3} x := alloc(0) {(x |-> 0 /\ x != y) * y |-> 3}

Para tornar isso mais concreto, suponha que yseja o número 37. Quando eu executo o comando de alocação em uma pilha completamente vazio, é possível que eu vou acabar alocação de endereços 37, de modo que x = 37. Mas, se eu começar com um heap contendo uma única célula no endereço y = 37, esse resultado não será mais possível! A adição de um quadro à pré-condição eliminou parte do não-determinismo na pós-condição.

O artigo "Ação local e lógica abstrata de separação" (Calcagno, O'Hearn e Yang) trata da compreensão da regra do quadro a partir de uma perspectiva semântica mais profunda. A principal definição do artigo é localidade para "ações", onde uma ação é (a representação semântica de) um programa. A localidade diz que, quando você adiciona alguma pilha de quadros, a única maneira pela qual a pós-condição original pode ser alterada é removendo algum não-determinismo como acima. E, de fato, a poda só surge por causa da alocação.

$P \ast Q$

$$P \ast R \triangleq \{h_1 \cdot h_2 \;|\; h_1 \in P \;\wedge\; h_2 \in R \;\wedge\; \mathrm{dom}(h_1) \cap \mathrm{dom}(h_2) = \emptyset\}$$

Então, na regra do quadro

$$\frac{\{P\}c\{Q\}}{\{P\ast R\}c\{Q \ast R\}}$$

P $R$ (e e ) não estão falando sobre pilhas específicas - elas são propriedades das pilhas (já que subconjuntos e predicados são equivalentes). A melhor maneira de entender o que está acontecendo é analisando a definição do que significa para um Hoare triplo:$P$$Q$

$$\{P\}c\{Q\} \triangleq \forall h_1 \in P.\; \forall h' \in \mathrm{Heap}\;\mbox{s.t.}\; h' \# h_1.\;\exists h_2 \in Q.\; \left<h_1\cdot h'; c\right> \mapsto^\ast \left<h_2\cdot h'; \mathsf{skip}\right>$$

Essa definição basicamente diz que (1) se você executar com qualquer em , terminará em algum estado final em e (2) se adicionar alguma memória extra , essa memória permanecerá inalterada no final da corrida. Mas observe que o específico que você obtém pode diferir, para diferentes opções de --- o que está sendo garantido é que as propriedades e continuem sendo mantidas em extensão, não que você obtenha exatamente o mesmo resultado.h 1 P h 2 Q h $c$$h_1$$P$$h_2$$Q$$h'$ h $h_2$$h'$ $P$$Q$

Não é muito difícil, mas ainda vale a pena trabalhar, para ver como essa definição de Hoare tripla implica que a regra do quadro é válida. Como você observa, esse é um tipo de propriedade "preservação de alterações" e tem uma expressão particularmente vívida na declaração da regra de composição paralela na lógica de separação simultânea:

$$\frac{\{P_1\}c_1\{Q_1\} \qquad \{P_2\}c_2\{Q_2\}}{\{P_1 \ast P_2\}c_1 || c_2 \{Q_1 \ast Q_2\}}$$

Se e agirem em regiões separadas da memória, cada uma delas não interferirá nas propriedades da execução da outra quando executadas em paralelo.c $c_1$$c_2$

Há uma discussão sobre isso no artigo de Hoare et al., On Locality e Exchange Law for Concurrent Processes , onde eles mostram como fornecer uma álgebra mesclada de programas e asserções.

Embora não esteja 100% relacionado, isso tem o sabor da idempotência do contrato.

Se pensarmos em {p} como uma pré-condição em c e {q} como uma pós-condição em c, essa ideia de regra de quadro garantiria que as pré e pós-condições sejam válidas em todos os contextos computacionais, não o caso simples onde nada mais existe.

Dito isto, não posso dizer que vi uma regra desse tipo apresentada em qualquer uma das dezenas de documentos contratuais que li. É certamente uma ótima idéia, porém, e exigir tal mudança pode fazer muito para o desenvolvimento de um entendimento razoável e tangível dos contratos idempotentes .