[论文解读] A Better Reduction Theorem for Store Buffers

Ernie Cohen, Norbert Schirmer|ArXiv.org|Sep 25, 2009

Parallel Computing and Optimization Techniques参考文献 11被引用 5

一句话总结

本文提出了一种针对 x86/x64 系统在总存储顺序（TSO）模型下的新型并发纪律，该纪律在无需显式建模存储缓冲区的情况下确保顺序一致性。通过使用幽灵操作管理内存地址的所有权，并强制执行缓冲区刷新策略，该方法支持粗粒度和细粒度并发，同时允许使用 Isabelle/HOL 中的标准断言推理进行验证。

ABSTRACT

When verifying a concurrent program, it is usual to assume that memory is sequentially consistent. However, most modern multiprocessors depend on store buffering for efficiency, and provide native sequential consistency only at a substantial performance penalty. To regain sequential consistency, a programmer has to follow an appropriate programming discipline. However, naïve disciplines, such as protecting all shared accesses with locks, are not flexible enough for building high-performance multiprocessor software. We present a new discipline for concurrent programming under TSO (total store order, with store buffer forwarding). It does not depend on concurrency primitives, such as locks. Instead, threads use ghost operations to acquire and release ownership of memory addresses. A thread can write to an address only if no other thread owns it, and can read from an address only if it owns it or it is shared and the thread has flushed its store buffer since it last wrote to an address it did not own. This discipline covers both coarse-grained concurrency (where data is protected by locks) as well as fine-grained concurrency (where atomic operations race to memory). We formalize this discipline in Isabelle/HOL, and prove that if every execution of a program in a system without store buffers follows the discipline, then every execution of the program with store buffers is sequentially consistent. Thus, we can show sequential consistency under TSO by ordinary assertional reasoning about the program, without having to consider store buffers at all.

研究动机与目标

• 为解决在弱内存模型（如 TSO）上验证并发程序的挑战，其中存储缓冲区会破坏顺序一致性。
• 提供一种实用且灵活的并发纪律，避免依赖锁或显式存储缓冲区建模。
• 通过抽象化存储缓冲区的复杂性，使 TSO 程序的验证能够使用标准断言推理。
• 形式化并证明一种基于幽灵的所有权纪律的正确性，该纪律支持粗粒度和细粒度并发。
• 弥合实际底层系统编程与弱内存模型下形式化验证之间的差距。

提出的方法

• 引入幽灵操作以建模内存地址的所有权获取与释放，确保仅在拥有所有权时才允许独占写入。
• 定义缓冲区刷新策略：线程仅在拥有该共享地址或自上次向未拥有地址写入后已刷新其存储缓冲区时，才可读取该共享地址。
• 使用 Isabelle/HOL 形式化指定并发纪律，并证明：任何在无存储缓冲区情况下遵循该纪律的执行，在存在存储缓冲区时仍保持顺序一致性。
• 采用基于模拟的证明技术，表明虚拟机状态（在挥发性操作处刷新缓冲区）的约束性至多与实际存储缓冲区机器相当。
• 利用挥发性操作和原子操作作为同步点，延迟所有权释放，从而在验证过程中保持正确性。
• 依赖一阶逻辑与幽灵状态，避免对无界数据结构（如向量时钟）的需求，从而与标准程序逻辑保持兼容。

实验结果

研究问题

• RQ1 能否设计一种 TSO 的并发纪律，使其在不显式建模存储缓冲区的情况下仍能确保顺序一致性？
• RQ2 如何形式化所有权与缓冲区刷新机制，以同时支持基于锁和无锁的编程模式？
• RQ3 是否可能在不涉及存储缓冲区状态推理的情况下，使用标准断言推理验证 TSO 程序？
• RQ4 何种幽灵状态机制足以捕捉 TSO 下正确性所需的排序约束？
• RQ5 该纪律能否扩展以支持编译器优化，同时保持顺序一致性？

主要发现

• 所提出的基于幽灵的所有权纪律确保：任何在无存储缓冲区时保持顺序一致性的程序执行，在存在存储缓冲区时仍保持顺序一致性。
• 该方法支持使用标准程序逻辑对 TSO 程序进行验证，而无需显式建模存储缓冲区行为。
• 该纪律同时支持粗粒度并发（通过所有权）和细粒度并发（通过原子操作），具有广泛适用性。
• 在 Isabelle/HOL 中的证明表明，虚拟机模型（在挥发性操作处刷新缓冲区写入）是对实际 TSO 机器的保守近似。
• 该方法避免了对无界幽灵状态（如向量时钟）的需求，使其与一阶程序逻辑兼容，并支持可扩展的验证。
• 作者识别出一种潜在扩展，允许自由流动的所有权释放，这不会限制表达能力，但需要进一步形式化。