[論文レビュー] Class Invariants: Concepts, Problems, Solutions

Bertrand Meyer|arXiv (Cornell University)|Aug 27, 2016

Logic, programming, and type systems参考文献 21被引用数 5

ひとこと要約

本論文は、基本的な意味論としてのOルールと、情報隠蔽に基づく参照リーク防止のための抑制ルールを用いて、オブジェクト指向検証における2つの主要な課題——コールバックによる不顕在なアクセスと参照リーク——に対するモジュラーな解決策を提案する。『オブジェクトトライブ』という概念を導入し、新しい言語構文やアノテーション、複雑な形式的体系を用いずに、リンクリストやObserverパターンといった古典的例を解決する。

ABSTRACT

Class invariants are both a core concept of object-oriented programming and the source of the two key open OO verification problems: furtive access (from callbacks) and reference leak. Existing approaches force on programmers an unacceptable annotation burden. This article explains invariants and solves both problems modularly through the O-rule, defining fundamental OO semantics, and the inhibition rule, using information hiding to remove harmful reference leaks. It also introduces the concept of "object tribe" as a basis for other possible approaches. For all readers: this article is long because it includes a tutorial, covers many examples and dispels misconceptions. To understand the key ideas and results, however, the first two pages suffice. For non-experts in verification: all concepts are explained; anyone with a basic understanding of object-oriented programming can understand the discussion. For experts: the main limitation of this work is that it is a paper proposal (no soundness proof, no implementation). It addresses, however, the known problems with class invariants, solving such examples as linked lists and Observer, through a simple theory and without any of the following: ownership; separation logic; universe types; object wrapping and unwrapping; semantic collaboration, observer specifications; history invariants; "inc" and "coop" constructs; friendship construct; non-modular reasoning. More generally, it involves no new language construct and no new programmer annotations.

研究の動機と目的

• 外部コードからのコールバックによる不顕在なアクセスがクラス不変条件を破るという、長年の課題に取り組むこと。
• オブジェクト指向システムにおける意図しないオブジェクト保持によって引き起こされる参照リークを解消すること。
• 分離論理や所有権モデルのような複雑な形式的体系を避ける、モジュラーで軽量な解決策を提供すること。
• 正しさを保ちながら、プログラマーのアノテーションや言語拡張の必要性を排除すること。
• 『オブジェクトトライブ』という新概念を用いて、将来の検証技術の基盤を築くこと。

提案手法

• 不顕在なアクセスを防ぐために、メソッド呼び出しコンテキストを制御する基本的なオブジェクト指向意味論を定義するためのOルールを導入する。
• 情報隠蔽を強制することで、有害な参照リークをブロックする抑制ルールを提案する。
• 関連するオブジェクトをグループ化し、不変条件の適用範囲を定義するための『オブジェクトトライブ』概念を用いる。
• リンクリストやObserverパターンといった実世界の例にOルールと抑制ルールを適用する。
• 所有権、ユニバース型、ラッピング機構といった外部構成要素に依存しないように、モジュラリティを確保する。
• 形式的健全性の証明や実装を必要とせず、理論的推論と具体的な例を通じて正しさを示す。

実験結果

リサーチクエスチョン

• RQ1 プログラマーのアノテーションを必要とせずに、コールバックによる不顕在なアクセスをクラス不変条件で防ぐにはどうすればよいか？
• RQ2 モジュラリティを保ちながら、オブジェクト指向システムにおける参照リークを排除するメカニズムは何か？
• RQ3 分離論理や所有権のような複雑な形式的体系に依存せずに、クラス不変条件を検証することは可能か？
• RQ4 情報隠蔽をどのように活用すれば、意図しないオブジェクト保持を防ぎ、不変条件の整合性を維持できるか？
• RQ5 リンクリストやObserverにおける古典的不変条件の問題を、既存の言語機能と意味論ルールのみで解決することは可能か？

主な発見

• Oルールは、適切なメソッド呼び出しコンテキストを強制することで、コールバック実行中の不変条件違反を効果的に防ぐ。
• 抑制ルールは、カプセル化に基づくオブジェクトアクセス制限により、参照リークを効果的にブロックする。
• リンクリストやObserverパターンの例を、新しい言語構文やアノテーションを必要とせずに正しく解決する。
• 分離論理、ユニバース型、オブジェクトラッピングといった高度な形式的体系に依存せず、導入を簡素化する。
• 『オブジェクトトライブ』という概念は、オブジェクトのグループ化とスコープに基づく、将来のモジュラー検証技術の概念的基盤を提供する。
• 所有権やユニバース型、ラッピング機構といった外部要因に依存せず、既存のOOP原則のみでモジュラリティと正しさを達成しており、複雑な検証問題が最小限の拡張で解決可能であることを示している。