[論文レビュー] Flexible Correct-by-Construction Programming

Tobias Runge, Tabea Bordis+3 more|arXiv (Cornell University)|Nov 28, 2022

Software Engineering Research参考文献 56被引用数 1

ひとこと要約

本稿は、正しさを構築によって保証する（CbC）プログラミングの柔軟な拡張として、CbC-Block および TraitCbC を導入し、正しさの保証を維持したままより柔軟なプログラム開発を可能にしている。CbC-Block では、一度に複数のステートメントを一度のステップで精錬できるようにし、従来の段階的で厳密な精錬の制約を緩和する。一方、TraitCbC はトレイトとメソッドの合成を用いて、モジュラーで再利用可能な正しさを保証する設計を可能にする。両アプローチとも、CbC の核となる構造的で段階的な正しさの利点を維持しつつ、使いやすさを向上させ、開発の負荷を軽減する。

ABSTRACT

Abstract. Correctness-by-Construction (CbC) is an incremental program construction process to construct functionally correct programs. The programs are constructed stepwise along with a specification that is inherently guaranteed to be satisfied. CbC is complex to use without specialized tool support, since it needs a set of predefined refinement rules of fixed granularity which are additional rules on top of the programming language. Each refinement rule introduces a specific programming statement and developers cannot depart from these rules to construct programs. CbC allows to develop software in a structured and incremental way to ensure correctness, but the limited flexibility is a disadvantage of CbC. In this work, we compare classic CbC with CbC-Block and TraitCbC. Both approaches CbC-Block and TraitCbC, are related to CbC, but they have new language constructs that enable a more flexible software construction approach. We provide for both approaches a programming guideline, which similar to CbC, leads to well-structured programs. CbC-Block extends CbC by adding a refinement rule to insert any block of statements. Therefore, we introduce CbC-Block as an extension of CbC. TraitCbC implements correctness-by-construction on the basis of traits with specified methods. We formally introduce TraitCbC and prove soundness of the construction strategy. All three development approaches are qualitatively compared regarding their programming constructs, tool support, and usability to assess which is best suited for certain tasks and developers.

研究の動機と目的

• 古典的な正しさを構築によって保証する（CbC）プログラミングの硬直性に対処すること。これは、開発者の柔軟性を制限する厳密で細分化された精錬ルールを強制する。
• CbC-Block を提案する。これは、複数のステートメント（例：代入、条件分岐、ループ）を一度の精錬ステップで導入できるようにする、CbC の拡張である。
• トレイトベースのアプローチとして、TraitCbC を設計する。これは、ルールに基づく精錬をメソッドの合成とパラメトリック仕様に置き換えることで、モジュラリティとコード再利用性を向上させる。
• TraitCbC の構築戦略の健全性を形式的に定義し、証明することで、合成によって構築された任意のプログラムがその仕様を満たすことを保証する。
• 開発の文脈に基づいた採用を支援するため、古典的 CbC、CbC-Block、TraitCbC の3つのアプローチについて、プログラミング構文、ツール支援、使いやすさの観点から定性的に比較する。

提案手法

• CbC-Block は、古典的 CbC を拡張し、複数のステートメント（例：代入、条件分岐、ループ）を一度の精錬ステップで導入できる新しい精錬ルールを導入する。
• CbC-Block の各ブロックは、事前条件／事後条件の仕様で注釈付けられており、複数のステートメントを一度に導入しても正しさが保たれることを保証する。
• TraitCbC は、メソッドを指定したトレイトを用いてプログラムをモデル化し、各メソッドが形式的な仕様に関連付けられている。これにより、モジュラーで合成可能な正しさを構築によって保証する開発が可能になる。
• このアプローチは、トレイトの事前／事後条件を表現するためのパラメトリック仕様言語を用いる。これにより、振る舞いの柔軟かつ拡張可能な仕様表現が可能になる。
• TraitCbC の構築戦略の健全性は形式的に証明されており、トレイトの合成によって構築された任意のプログラムがその仕様を満たすことを保証する。
• 本稿では、古典的 CbC、CbC-Block、TraitCbC の3つのアプローチを、プログラミング構文、ツール要件、実用的使いやすさの観点から定性的に比較する。

実験結果

リサーチクエスチョン

• RQ1 古典的な正しさを構築によって保証する（CbC）プログラミングの硬直性を、正しさの保証を損なわずにどのように軽減できるか？
• RQ2 CbC-Block の設計と形式的基盤は何か？ また、プログラム構築におけるより柔軟なブロック単位の精錬をどのようにサポートするか？
• RQ3 TraitCbC は、トレイトベースの合成とメソッド仕様を用いて、正しさを構築によって保証する仕組みをどのように実現するか？
• RQ4 古典的 CbC、CbC-Block、TraitCbC の間で、プログラミング構文、ツール支援、使いやすさの点でどのような主な違いがあるか？
• RQ5 3つのアプローチのうち、どのアプローチが異なるソフトウェア開発タスクやチームの文脈に最も適しているか？

主な発見

• CbC-Block は、複数のステートメントを一度のステップで導入できるようにすることで、精錬ステップの数を削減し、正しさを維持したまま開発の効率を向上させた。
• CbC-Block におけるブロック精錬ルールの導入により、正しさの保証を損なわずに、CbC アプローチに内在する正しさの保証を維持したまま柔軟性が向上した。
• TraitCbC は、トレイトとメソッドの合成を活用することで、モジュラーで再利用可能な正しさを構築によって保証するアプローチを提供し、より良いコードの整理と再利用性を実現した。
• TraitCbC の形式的定式化には健全性の証明が含まれており、これにより、そのルールに従って構築された任意のプログラムがその仕様を満たすことが保証された。
• 定性的な比較により、CbC-Block と TraitCbC は両方とも古典的 CbC より使いやすさに優れていることが示された。CbC-Block はステップの凝縮に重点を置き、TraitCbC はモジュラリティと再利用性に重点を置いている。
• 著者らは、今後の研究として、開発時間、エラー率、開発者好みを実証的に評価するユーザースタディを実施すべきだと結論づけている。