[论文解读] Oxide: The Essence of Rust

Aaron Weiss, Gierczak, Olek+2 more|arXiv (Cornell University)|Mar 3, 2019

Logic, programming, and type systems参考文献 46被引用 11

一句话总结

本文提出了 Oxide，一种形式化指定的、表面级编程语言，其捕捉了 Rust 借用检查器的核心类型系统。通过将生命周期建模为区域（即内存位置的集合），Oxide 实现了一种基于控制流的子结构类型系统，可自动计算别名约束，从而首次提供了核心 Rust 所有权模型的自包含、正确且机器可检查的形式语义，包括非 lexical 生命周期，且无需依赖分离逻辑或低级中间表示（IR）。

ABSTRACT

Rust claims to advance industrial programming by bridging the gap between low-level systems programming and high-level application programming. At the heart of the argument that this enables programmers to build more reliable and efficient software is the borrow checker - a novel approach to ownership that aims to balance type system expressivity with usability. And yet, to date there is no core type system that captures Rust's notion of ownership and borrowing, and hence no foundation for research on Rust to build upon. In this work, we set out to capture the essence of this model of ownership by developing a type systems account of Rust's borrow checker. We present Oxide, a formalized programming language close to source-level Rust (but with fully-annotated types). This presentation takes a new view of lifetimes as an approximation of the provenances of references, and our type system is able to automatically compute this information through a substructural typing judgment. We provide the first syntactic proof of type safety for borrow checking using progress and preservation. Oxide is a simpler formulation of borrow checking - including recent features such as non-lexical lifetimes - that we hope researchers will be able to use as the basis for work on Rust.

研究动机与目标

• 为 Rust 的所有权和借用模型提供一种形式化、高层级的语义，使其对研究人员易于理解。
• 克服先前形式化方法的局限性，例如基于低级中间表示（IR）或复杂逻辑框架（如 Iris）的方法。
• 以一种与静态类型检查和控制流分析兼容的方式建模非 lexical 生命周期。
• 设计一种既表达能力强又实用的类型系统，捕捉 Rust 安全保证的本质，而无需依赖不安全代码或复杂验证逻辑。
• 通过提供一个经过测试、自包含的形式化模型，为未来关于 Rust 类型系统的研究奠定基础。

提出的方法

• Oxide 是一种表面级语言，其语法与 Rust 非常接近，具有完全标注的类型，且不支持类型推断。
• 生命周期被重新解释为区域（即内存位置的集合），以近似引用的来源。
• 提出一种新颖的基于控制流的子结构类型判断，可自动计算区域分配并强制执行别名约束。
• 该类型系统采用基于区域的别名管理机制，通过基于借用的模型追踪可变引用和共享引用。
• 通过标准的进展（progress）和保持（preservation）定理证明了类型系统的正确性，使用常规形式化方法，而非分离逻辑或证明助手。
• 该系统支持 Rust 的关键特性，如非 lexical 生命周期、元组解构和 drop 语义，所有功能均统一于单一类型系统中。

实验结果

研究问题

• RQ1 如何在不依赖低级中间表示（IR）或复杂逻辑框架的情况下，以高层级、表面级语言形式化捕捉 Rust 的所有权和借用模型？
• RQ2 是否可以将生命周期重新解释为区域，以实现对内存安全和别名的自动、基于控制流的推理？
• RQ3 是否能够仅使用标准类型系统技术，构建一个自包含、正确的形式语义，用于核心 Rust 的借用检查器？
• RQ4 基于区域的方法如何处理非 lexical 生命周期以及安全代码中引用的动态行为？
• RQ5 该形式化模型是否可作为未来关于 Rust 类型系统研究（包括语言扩展和验证）的基础？

主要发现

• Oxide 是首个为核心 Rust 提供形式化类型系统的语言，其语义完全自包含、经过测试，仅使用标准类型系统技术，不依赖分离逻辑或证明助手。
• 基于区域的生命周期解释使得对引用来源和生命周期的自动、基于控制流的分析成为可能，以一种安全且直观的方式支持非 lexical 生命周期。
• 该系统通过进展和保持定理证明了类型安全性，表明类型正确的程序要么计算为值，要么中止，而不会发生无限运行。
• 该形式化支持 Rust 的关键特性，如元组解构、引用绑定和 drop 语义，所有功能均统一于一个一致的类型系统中。
• 该模型使研究人员能够基于源代码级别对安全 Rust 代码进行推理，避免了 MIR 等低级表示或不安全代码验证的复杂性。
• 该方法为未来关于 Rust 类型系统的研究（包括语言设计、验证和静态分析）提供了坚实基础。