[论文解读] Class Invariants: Concepts, Problems, Solutions

Bertrand Meyer|arXiv (Cornell University)|Aug 27, 2016

Logic, programming, and type systems参考文献 21被引用 5

一句话总结

本文提出了一种模块化解决方案，用于解决面向对象验证中的两个主要挑战——通过回调的隐蔽访问和引用泄漏问题，采用O规则实现基本语义，通过抑制规则实现基于信息隐藏的引用泄漏防护。引入了'对象族'概念，并在不使用新语言特性、注解或复杂形式化体系的前提下，解决了链表和观察者模式等经典示例。

ABSTRACT

Class invariants are both a core concept of object-oriented programming and the source of the two key open OO verification problems: furtive access (from callbacks) and reference leak. Existing approaches force on programmers an unacceptable annotation burden. This article explains invariants and solves both problems modularly through the O-rule, defining fundamental OO semantics, and the inhibition rule, using information hiding to remove harmful reference leaks. It also introduces the concept of "object tribe" as a basis for other possible approaches. For all readers: this article is long because it includes a tutorial, covers many examples and dispels misconceptions. To understand the key ideas and results, however, the first two pages suffice. For non-experts in verification: all concepts are explained; anyone with a basic understanding of object-oriented programming can understand the discussion. For experts: the main limitation of this work is that it is a paper proposal (no soundness proof, no implementation). It addresses, however, the known problems with class invariants, solving such examples as linked lists and Observer, through a simple theory and without any of the following: ownership; separation logic; universe types; object wrapping and unwrapping; semantic collaboration, observer specifications; history invariants; "inc" and "coop" constructs; friendship construct; non-modular reasoning. More generally, it involves no new language construct and no new programmer annotations.

研究动机与目标

• 解决类不变式中长期存在的隐蔽访问问题，即外部代码的回调可能破坏不变式。
• 解决由于意外对象保留导致的引用泄漏问题。
• 提供一种模块化、轻量级的解决方案，避免使用分离逻辑或所有权模型等复杂形式化体系。
• 在不依赖程序员注解或语言扩展的同时保持正确性。
• 通过新颖的'对象族'概念，为未来验证技术奠定基础。

提出的方法

• 引入O规则，以定义防止隐蔽访问的方法调用上下文控制的面向对象基本语义。
• 提出抑制规则，通过封装强制信息隐藏，阻止有害的引用泄漏。
• 使用'对象族'概念将相关对象分组，并为不变式强制执行定义作用域。
• 将O规则与抑制规则应用于链表和观察者模式等实际示例。
• 通过避免依赖所有权、宇宙类型或包装机制等外部构造，确保模块化。
• 通过理论推理和示例说明正确性，无需形式化 soundness 证明或实现。

实验结果

研究问题

• RQ1 如何在不依赖程序员注解的前提下，防止通过回调的隐蔽访问？
• RQ2 何种机制可在保持模块化的同时消除面向对象系统中的引用泄漏？
• RQ3 是否可以不依赖分离逻辑或所有权等复杂形式化体系来验证类不变式？
• RQ4 如何利用信息隐藏来防止意外的对象保留并维护不变式完整性？
• RQ5 是否可以仅使用现有语言特性与语义规则，解决链表和观察者模式等经典不变式问题？

主要发现

• O规则通过强制执行正确的方法调用上下文，成功防止了隐蔽访问，确保在回调执行期间不变式不被破坏。
• 抑制规则通过基于封装限制对象访问，有效阻止了引用泄漏，防止了意外保留。
• 该解决方案在不引入新语言构造或注解的前提下，正确解决了链表和观察者模式示例。
• 该方法避免了对分离逻辑、宇宙类型或对象包装等高级形式化体系的依赖，简化了采纳过程。
• 对象族概念为未来基于对象分组与作用域的模块化验证技术提供了概念基础。
• 该方法仅使用现有OOP原则即实现了模块化与正确性，表明复杂验证问题可通过最小扩展解决。