[論文レビュー] Oxide: The Essence of Rust

Aaron Weiss, Gierczak, Olek+2 more|arXiv (Cornell University)|Mar 3, 2019

Logic, programming, and type systems参考文献 46被引用数 11

ひとこと要約

この論文では、Rustの borrow チェッカーのコア型システムを捉える形式的に指定された表面レベルのプログラミング言語である Oxide を紹介する。寿命を領域（メモリ領域の集合）としてモデル化することで、Oxide は制御フローに基づく部分構造型付けシステムを提供し、アリイアス制約を自動的に計算可能にする。これは、分離論理や低レベルのIRに依存せずに、非自己言及的寿命を含むコアRustの所有権モデルに対する、自己完結的で整合的かつ機械検証可能な形式的意味論を初めて提供するものである。

ABSTRACT

Rust claims to advance industrial programming by bridging the gap between low-level systems programming and high-level application programming. At the heart of the argument that this enables programmers to build more reliable and efficient software is the borrow checker - a novel approach to ownership that aims to balance type system expressivity with usability. And yet, to date there is no core type system that captures Rust's notion of ownership and borrowing, and hence no foundation for research on Rust to build upon. In this work, we set out to capture the essence of this model of ownership by developing a type systems account of Rust's borrow checker. We present Oxide, a formalized programming language close to source-level Rust (but with fully-annotated types). This presentation takes a new view of lifetimes as an approximation of the provenances of references, and our type system is able to automatically compute this information through a substructural typing judgment. We provide the first syntactic proof of type safety for borrow checking using progress and preservation. Oxide is a simpler formulation of borrow checking - including recent features such as non-lexical lifetimes - that we hope researchers will be able to use as the basis for work on Rust.

研究の動機と目的

• 研究者にとってアクセス可能な、Rustの所有権と借用モデルの形式的で高レベルの意味論を提供すること。
• Iris などの複雑な論理フレームワークや低レベルのIRに基づく先行の形式化の制限を克服すること。
• 静的型チェックや制御フロー解析と互換性を持つ形で、非自己言及的寿命をモデル化すること。
• 安全なコードや複雑な検証論理に依存せずに、Rustの安全性保証の本質を捉える表現力と使いやすさを兼ね備えた型システムを構築すること。
• 将来的なRust型システムに関する研究の基盤を提供するため、検証済みで自己完結的な形式的モデルを整備すること。

提案手法

• Oxide はRustの構文に近く、完全に型注釈が付加された型を持ち、型推論を一切行わない表面レベルの言語である。
• 寿命は、参照の起源を近似するメモリ領域の集合として再解釈される領域として扱われる。
• 新規の制御フローに基づく部分構造型付け判断により、領域の割り当てとアリイアス制約がコンパイル時に自動的に計算される。
• 型システムは、貸し出しベースのモデルを用いて、可変参照と共有参照を追跡する領域ベースのアリイアス管理メカニズムを採用している。
• 標準的な形式的手法（分離論理や証明支援ツールを用いない）を用いて、進行性と保存性の定理により整合性が証明されている。
• 非自己言及的寿命、タプルの分解、ドロップのセマンティクスといったRustの主要機能が、単一で統一された型システム内でサポートされている。

実験結果

リサーチクエスチョン

• RQ1 低レベルのIR や複雑な論理フレームワークに依存せずに、Rustの所有権と借用モデルを高レベルで表面レベルの言語で形式的に捉える方法は何か？
• RQ2 寿命を領域として再解釈することで、メモリ安全とアリイアスに関する自動的で制御フローに基づく推論が可能になるか？
• RQ3 標準的な型システム技法のみを用いて、分離論理や証明支援ツールに依存せずに、コアRustのborrowチェッカーに対する整合的で自己完結的な形式的意味論を構築できるか？
• RQ4 領域ベースのアプローチは、非自己言及的寿命と安全コードにおける参照の動的挙動をどのように扱うか？
• RQ5 この形式的モデルは、言語拡張や検証を含む、将来的なRust型システムに関する研究の基盤として機能できるか？

主な発見

• Oxide は、分離論理や証明支援ツールに依存せず、標準的な型システム技法のみを用いて検証済みで自己完結的な意味論を提供する、コアRust向けの最初の形式的型システムである。
• 寿命の領域ベースの解釈により、参照の起源と寿命に関する自動的で制御フロー駆動の解析が可能になり、非自己言及的寿命を整合的かつ直感的にサポートする。
• 進行性と保存性の証明により型安全性が確立されており、適切に型付けされたプログラムは値に評価されるか、発散せずに停止することが保証される。
• 型システムは、タプルの分解、参照のバインディング、ドロップのセマンティクスといったRustの主要機能を、一貫性のある単一の型システム内でサポートしている。
• このモデルにより、研究者が低レベルの表現（MIR や不安全コードの検証など）の複雑さを避けて、ソースレベルで安全なRustコードを推論できる。
• このアプローチは、将来的なRust型システムに関する研究、たとえば言語設計、検証、静的解析の基盤を提供する。