[论文解读] New Lace and Arsenic: adventures in weak memory with a program logic

Richard Bornat, Jade Alglave+1 more|Middlesex University Research Repository (Middlesex University Of London)|Dec 4, 2015

Logic, programming, and type systems参考文献 55被引用 3

一句话总结

本文提出了 New Lace，一种基于线程内霍尔逻辑与线程间依赖/保证推理的弱内存并发程序逻辑。它引入了新型模态——B、sofar 和 ouat，以管理传播与全局一致性，实现了对弱内存临界测试和令牌环协议的正式验证，但目前仍不支持堆、数组以及像 CAS 这类同步指令。

ABSTRACT

We describe a program logic for weak memory (also known as relaxed memory). The logic is based on Hoare logic within a thread, and rely/guarantee between threads. It is presented via examples, giving proofs of many weak-memory litmus tests. It extends to coherence but not yet to synchronised assignment (compare-and-swap, load-logical/store-conditional). It deals with conditionals and loops but not yet arrays or heap. The logic uses a version of Hoare logic within threads, and a version of rely/guarantee between threads, with five stability rules to handle various kinds of parallelism (external, internal, propagation-free and two kinds of in-flight parallelism). There are $\mathbb{B}$ and $\mathbb{U}$ modalities to regulate propagation, and temporal modalities $\mathsf{since}$, $\mathbb{S}\mathsf{ofar}$ and $\mathbb{O}\mathsf{uat}$ to deal with global coherence (SC per location). The logic is presented by example. Proofs and unproofs of about thirty weak-memory examples, including many litmus tests in various guises, are dealt with in detail. There is a proof of a version of the token ring. In version 2: The correspondence with Herding Cats has been clarified. The stability rules have been simplified: in particular the sat and x= x tests have been eliminated from external stability checks. The embedding is simplified and has a more transparent relation to the mechanisms of the logic. Definitions of U, Sofar and Ouat have been considerably altered. The description of modalities and the treatment of termination has been reworked. Many proofs are reconstructed. A comprehensive summary of the logic is an appendix.

研究动机与目标

• 开发一种用于推理弱内存模型下并发程序的正式程序逻辑。
• 解决在松弛内存语义下验证并发程序的挑战，特别是传播与全局一致性问题。
• 扩展霍尔逻辑与依赖/保证推理，以处理弱内存行为，而无需完整建模硬件细节。
• 为在弱内存环境下验证并发算法（如令牌环）提供基础，采用一种最小但表达力强的形式化体系。

提出的方法

• 该逻辑采用线程本地的霍尔逻辑框架，并引入五条稳定性规则，以建模各种并行形式，包括外部并行、内部并行以及飞行中并行。
• 它引入 B 模态以捕捉干扰效应，以及 sofar 和 ouat 模态以推理传播与全局一致性。
• 该逻辑使用时间模态（如 since、sofar 和 ouat）来表达跨线程的内存顺序与可见性条件。
• 它定义了用于干扰与保证包含的效果关系，通过逻辑约束确保线程交互的正确建模。
• 该方法采用基于约束的嵌入方式表示内存状态与转换，显式处理复合写入与变量赋值。
• 通过一系列示例（包括临界测试与令牌环）构建证明，展示了该逻辑在真实弱内存模式中的适用性。

实验结果

研究问题

• RQ1 如何设计一种程序逻辑，使其能够推理弱内存并发行为，同时保持组合性与模块化？
• RQ2 在弱内存模型中，需要哪些模态才能捕捉传播与全局一致性？
• RQ3 能否将霍尔风格逻辑扩展以处理在松弛内存语义下存在干扰时的依赖/保证推理？
• RQ4 该逻辑如何应用于验证在弱内存环境下标准并发算法（如令牌环）？
• RQ5 当前逻辑在处理真实世界特性（如原子操作、堆与编译器优化）方面存在哪些局限性？

主要发现

• 该逻辑成功验证了一系列弱内存临界测试与令牌环算法，证明了其在常见并发模式中的实际适用性。
• 引入 sofar 与 ouat 模态使得无需显式内存屏障即可推理全局一致性和传播性。
• 稳定性规则有效建模了不同类型的并行（包括飞行中并行与无传播情形），增强了逻辑的表达力。
• 该逻辑将复合写入视为原子单位，确保了线程间内存更新的一致性。
• 尽管表达力强，但该逻辑目前仍无法验证 RDW 临界测试，也无法处理同步指令（如 CAS、lwarx/stwcx 或 ldrex/strex）。
• 该框架尚未完成严格证明，且缺乏对堆、数组与库抽象的支持，表明这些领域仍处于持续研究中。