[논문 리뷰] Class Invariants: Concepts, Problems, Solutions

Bertrand Meyer|arXiv (Cornell University)|2016. 08. 27.

Logic, programming, and type systems참고 문헌 21인용 수 5

한 줄 요약

이 논문은 기본적인 의미 체계를 위한 O-규칙과 정보 은닉 기반 참조 누출 방지를 위한 금지 규칙을 사용하여, 콜백을 통한 은밀한 접근과 참조 누출이라는 객체 지향 검증의 두 주요 과제에 대한 모듈러한 해결책을 제안한다. '객체 부족'(object tribe) 개념을 도입하여 기존 언어 구문, 주석, 또는 복잡한 형식적 체계 없이도 연결 리스트와 옵저버 패턴과 같은 고전적 예제를 해결한다.

ABSTRACT

Class invariants are both a core concept of object-oriented programming and the source of the two key open OO verification problems: furtive access (from callbacks) and reference leak. Existing approaches force on programmers an unacceptable annotation burden. This article explains invariants and solves both problems modularly through the O-rule, defining fundamental OO semantics, and the inhibition rule, using information hiding to remove harmful reference leaks. It also introduces the concept of "object tribe" as a basis for other possible approaches. For all readers: this article is long because it includes a tutorial, covers many examples and dispels misconceptions. To understand the key ideas and results, however, the first two pages suffice. For non-experts in verification: all concepts are explained; anyone with a basic understanding of object-oriented programming can understand the discussion. For experts: the main limitation of this work is that it is a paper proposal (no soundness proof, no implementation). It addresses, however, the known problems with class invariants, solving such examples as linked lists and Observer, through a simple theory and without any of the following: ownership; separation logic; universe types; object wrapping and unwrapping; semantic collaboration, observer specifications; history invariants; "inc" and "coop" constructs; friendship construct; non-modular reasoning. More generally, it involves no new language construct and no new programmer annotations.

연구 동기 및 목표

• 외부 코드에서의 콜백을 통한 은밀한 접근으로 인해 발생하는 클래스 인variant 위반 문제를 오랫동안 해결하지 못한 문제를 해결한다.
• 객체 지향 시스템에서 의도하지 않은 객체 유지로 인한 참조 누출 문제를 해결한다.
• 분리 논리나 소유 모델과 같은 복잡한 형식적 체계를 요구하지 않는 모듈러하고 가벼운 해결책을 제공한다.
• 정확성을 유지하면서 프로그래머 주석이나 언어 확장 기능이 필요 없도록 한다.
• 새로운 '객체 부족' 개념을 통해 향후 검증 기법의 기반을 마련한다.

제안 방법

• 은밀한 접근을 방지하기 위해 메서드 호출 컨텍스트를 제어하는 기본 객체 지향 의미 체계를 정의하기 위해 O-규칙을 도입한다.
• 정보 은닉을 강제하여 유해한 참조 누출을 차단하기 위해 금지 규칙을 제안한다.
• 관련된 객체들을 그룹화하고 인variant 강제의 범위를 정의하기 위해 '객체 부족' 개념을 사용한다.
• 연결 리스트와 옵저버 패턴과 같은 실제 예제에 O-규칙과 금지 규칙을 적용한다.
• 소유, 유니버스 유형, 또는 랩핑 메커니즘과 같은 외부 구성 요소에 의존하지 않도록 모듈성을 확보한다.
• 형식적 타당성 증명이나 구현이 필요 없이 이론적 추론과 구체적 예제를 통해 정확성을 입증한다.

실험 결과

연구 질문

• RQ1 프로그래머 주석 없이도 콜백을 통한 은밀한 접근을 클래스 인variant에서 방지할 수 있는가?
• RQ2 모듈성을 유지하면서 객체 지향 시스템에서 참조 누출을 제거할 수 있는 메커니즘은 무엇인가?
• RQ3 분리 논리나 소유 모델과 같은 복잡한 형식적 체계에 의존하지 않고도 클래스 인variant를 검증할 수 있는가?
• RQ4 정보 은닉을 어떻게 활용하여 의도하지 않은 객체 유지와 인variant 무결성을 유지할 수 있는가?
• RQ5 기존 언어 기능과 의미 체계 규칙만으로도 연결 리스트와 옵저버 패턴과 같은 고전적인 인variant 문제를 해결할 수 있는가?

주요 결과

• O-규칙은 메서드 호출 컨텍스트를 철저히 제어함으로써 은밀한 접근을 성공적으로 방지하여, 콜백 실행 중에도 인variant가 위반되지 않음을 보장한다.
• 금지 규칙은 캡슐화 기반으로 객체 접근을 제한함으로써 참조 누출을 효과적으로 차단하여 의도하지 않은 유지 방지를 가능하게 한다.
• 해결책은 연결 리스트와 옵저버 패턴 예제를 새로운 언어 구문이나 주석 없이도 정확히 해결한다.
• 분리 논리, 유니버스 유형, 또는 객체 랩핑과 같은 고급 형식적 체계에 의존하지 않아 도입을 단순화한다.
• '객체 부족' 개념은 향후 객체 그룹화와 범위 기반의 모듈러 검증 기법을 위한 개념적 기반을 제공한다.
• 기존 OOP 원칙만을 사용하여 모듈성과 정확성을 달성함으로써, 복잡한 검증 문제도 최소한의 확장으로 해결할 수 있음을 입증한다.