[论文解读] A high-level operational semantics for hardware weak memory models

Robert J. Colvin, Graeme Smith|arXiv (Cornell University)|Dec 3, 2018

Parallel Computing and Optimization Techniques参考文献 27被引用 5

一句话总结

本文提出了一种基于宽谱语言的硬件弱内存模型的高层次操作语义，该语言支持抽象数据操作和底层汇编。它引入了一种基于语义约束的成对指令重排序机制，通过在 Maude 中对 18,000 个 litmus 测试进行模型检查来验证，并应用于验证并发数据结构，包括一个修正后的 ARM 特定实现的 Chase-Lev deque。

ABSTRACT

Modern processors deploy a variety of weak memory models, which for efficiency reasons may execute instructions in an order different to that specified by the program text. The consequences of instruction reordering can be complex and subtle, and can impact on ensuring correctness. In this paper we build on extensive work elucidating the semantics of assembler-level languages on hardware architectures with weak memory models (specifically TSO, ARM and POWER) and lift the principles to a straightforward operational semantics which allows reasoning at a higher level of abstraction. To this end we introduce a wide-spectrum language that encompasses operations on abstract data types as well as low-level assembler code, define its operational semantics using a novel approach to allowing reordering of instructions, and derive some refinement laws that can be used to explain behaviours of real processors. In this framework memory models are mostly distinguished via a pair-wise static ordering on instruction types that determines when later instructions may be reordered before earlier instructions. In addition, memory models may use different types of storage systems. For instance, non-multicopy atomic systems allow sibling processes to see updates to different variables in different orders. We encode the semantics in the rewriting engine Maude as a model-checking tool, and develop confidence in our framework by validating our semantics against existing sets of extit{litmus tests} -- small assembler programs -- comparing our results with those observed on hardware and in existing semantics. We also use the tool as a prototype to model check implementations of data structures from the literature against their abstract specifications.

研究动机与目标

• 为弱内存模型提供一种高层次、可组合的操作语义，抽象出低层硬件细节，同时保留关键的重排序行为。
• 通过基于成对指令排序约束和存储系统属性的语义定义，实现对并发程序的正式推理。
• 通过大规模 litmus 测试集对语义进行验证，并将其应用于验证真实世界的并发数据结构。
• 通过精确的模型检查识别并修正细微的并发错误，例如在 ARM 优化的 Chase-Lev deque 中发现的问题。
• 支持代数和基于规约的推理，以验证 TSO、ARM 和 POWER 架构上的并发算法正确性。

提出的方法

• 作者定义了一种宽谱语言，统一了高层数据操作和底层汇编指令，支持在抽象层次之间进行推理。
• 他们提出了一种新颖的操作语义，使用 Dijkstra 的受控命令语言中的带标签转移和守卫来建模推测执行和重排序。
• 指令重排序由指令类型的成对静态排序关系控制，确保在需要时保持顺序一致性。
• 通过存储系统属性（如非多份原子性）来区分内存模型，这些属性会影响更新在不同线程间的可见性。
• 该框架在 Maude 重写引擎中实现，以支持并发程序和 litmus 测试的自动化模型检查。
• 推导出规约定律，以支持定理证明，并对高层算法与其抽象规范之间的正确性进行验证。

实验结果

研究问题

• RQ1 如何设计一种高层次的操作语义，以准确建模 TSO、ARM 和 POWER 等弱内存架构中的指令重排序？
• RQ2 对指令施加何种成对排序约束，才能在保留顺序意图的同时实现性能优化的重排序？
• RQ3 所提出的语义能否在大规模、多样的 litmus 测试集上得到验证，并重现已知的硬件行为？
• RQ4 该语义在多大程度上能够检测并解释真实世界并发数据结构中的细微并发错误？
• RQ5 使用带标签的追踪和受控转移如何提高传统操作语义在推理精度和组合性方面的表现？

主要发现

• 该语义在超过 18,000 个 litmus 测试中成功重现了已知行为，显示出与实际硬件和先前形式化模型的强一致性。
• 该模型正确识别出在 ARM 优化的 Chase-Lev deque 中，控制屏障是冗余的，因为它可以被重排序到更早的屏障之后，从而暴露出此前未被发现的错误。
• Maude 中的工具支持对 litmus 测试进行高效模型检查，其测试覆盖率优于先前工具，并能处理地址偏移等复杂约束。
• 该语义揭示了 Chase-Lev deque 实现中的某些重排序未被屏障阻止，导致在弱内存序下出现错误行为。
• 该框架支持代数推理和规约，能够对并发算法（如 Treiber 栈和简单锁）进行正式正确性证明。
• 使用带标签的追踪和守卫可精确追踪指令语义，克服了传统 Plotkin 风格语义在捕捉重排序约束方面的局限性。