変更保護者としてのフレームルール？

フレームルールは、下記のいずれかのように、プログラム与えられた、という考えキャプチャc前提でp、それを実行する前に保持し、事後条件q、その後保持している、いくつかの互いに素条件はr前と後の両方を保持する必要がありますc実行を。（コネクティブは*引数が互いに素であることが必要です。）多くの場合、事前条件と事後条件はヒープの状態でありc、何らかの方法でヒープを変更する効果的なプログラムです。

    {p} c {q}
----------------- (where no free variable in r is modified by c)
{p * r} c {q * r}

私が見たフレームルールの議論は、ヒープのばらばらの部分がどのようにr保存されるかに常に焦点を当てているようです。これにより、「ローカルな推論」が可能になります。効果について推論する場合、ヒープcのr部分を無視し、実際に変化する部分のみに関心を持つことができます。しかし、別の見方をすれば、現在そこに座っているにもかかわらず、からpへqの変更が保存されるというrことです。言い換えれば、それは我々が事後条件で終わることが重要だ{q * r}のではなく、{q' * r}他のいくつかのためにq'。

だから、私の質問は、議論したり作るが保存-の変更-from-の使用という枠ルールのいずれかの治療がありますかどうかであるp-to- q事。

しかし、この変更q不可プロパティは実際には保持されません！

検討してください{emp} x := alloc(0) {x |-> 0}。さて、でフレームy |-> 3を入れると、

{y |-> 3} x := alloc(0) {x |-> 0 * y |-> 3}

しかし、結果のルールにより、事後条件を

{y |-> 3} x := alloc(0) {(x |-> 0 /\ x != y) * y |-> 3}

これをより具体的にするために、がであるyとします37。完全に空のヒープで割り当てコマンドを実行すると、アドレスを割り当ててしまう可能性37がありx = 37ます。しかし、代わりにaddressの単一のセルを含むヒープから開始するとy = 37、この結果はもはや不可能です！前提条件にフレームを追加すると、事後条件の非決定性の一部が取り除かれました。

「ローカルアクションと抽象分離ロジック」（Calcagno、O'Hearn、およびYang）の論文は、すべてより深い意味論的な観点からフレームルールを理解することに関するものです。この論文の重要な定義は「アクション」の局所性であり、アクションはプログラム（の意味表現）です。局所性によると、フレームヒープを追加する場合、元の事後条件を変更できる唯一の方法は、上記のように非決定性をプルーニングすることです。実際、プルーニングは割り当てのためにのみ発生します。

まず、あなたの質問の文には小さな誤解があります。それは、アーロンが彼の答えでも得ていたものです。分離ロジックの述語は、ヒープのセット（または同等に、ヒープの述語）であり、分離論理積は次のように定義されます。$P \ast Q$

$$P \ast R \triangleq \{h_1 \cdot h_2 \;|\; h_1 \in P \;\wedge\; h_2 \in R \;\wedge\; \mathrm{dom}(h_1) \cap \mathrm{dom}(h_2) = \emptyset\}$$

だからフレームルールで

$$\frac{\{P\}c\{Q\}}{\{P\ast R\}c\{Q \ast R\}}$$

$R$（およびとQ）は特定のヒープについては言及していません---それらはヒープのプロパティです（サブセットと述語は同等であるため）。何が起こっているのかを理解する最良の方法は、Hoareトリプルが保持する意味を定義することです。$P$$Q$

$$\{P\}c\{Q\} \triangleq \forall h_1 \in P.\; \forall h' \in \mathrm{Heap}\;\mbox{s.t.}\; h' \# h_1.\;\exists h_2 \in Q.\; \left<h_1\cdot h'; c\right> \mapsto^\ast \left<h_2\cdot h'; \mathsf{skip}\right>$$

この定義は基本的に（1）Pのh 1 でを実行すると、Qの最終状態h 2で終了し、（2）追加のメモリh ′を追加すると、そのメモリは実行の終了時に変更されません。ただし、h ′の選択が異なると、特定のh 2が異なることに注意してください。保証されているのは、$c$$h_1$$P$$h_2$$Q$$h'$ $h_2$$h'$プロパティ とQが拡張下で保持されることであり、まったく同じ結果ヒープを取得することではありません。$P$$Q$

Hoare tripleのこの定義がフレームルールの成立をどのように示唆するかを確認することは、それほど難しくありませんが、まだ解決する価値があります。ご存じのとおり、これは一種の「変更の保存」プロパティであり、同時分離ロジックの並列構成ルールのステートメントに特に鮮明な表現があります。

$$\frac{\{P_1\}c_1\{Q_1\} \qquad \{P_2\}c_2\{Q_2\}}{\{P_1 \ast P_2\}c_1 || c_2 \{Q_1 \ast Q_2\}}$$

c 1の場合$c_1$及びメモリの互いに素な領域に作用し、それらを並列に実行されたとき、次にそれぞれが他方の実行の特性を妨害しないであろう。$c_2$

これについては、Hoare et alの「On Locality and the Exchange Law for Concurrent Processes」の論文で議論されており、プログラムとアサーションの代数をマージする方法を示しています。

100％関連しているわけではありませんが、これは契約のdem等性の特徴を持っています。

{p}をcの前提条件と考え、{q}をcの事後条件と考えると、フレームルールのこの考え方は、事前条件と事後条件が計算のすべてのコンテキストで成立することを保証します。他に何も存在しない単純なケース。

そうは言っても、私が読んだ数十件の契約書のいずれにも、そのようなフレーム規則が提示されているとは言えません。しかし、それは確かに素晴らしいアイデアであり、そのような変更を要求することは、dem等の契約の合理的で具体的な理解を深めるのに大いに役立つかもしれません。