[论文解读] State and history in operating systems

Victor Yodaiken|ArXiv.org|May 18, 2008

Algorithms and Data Compression参考文献 7被引用 4

一句话总结

本文提出了一种形式化、基于序列的方法，用于对操作系统中复杂的状态转换进行建模与推理，通过事件序列和状态依赖函数来捕捉进程切换行为。它展示了如何利用抽象状态过程和Moore机表示来建模操作系统的并发与通信行为，其关键贡献在于为验证低层系统代码（如UNIX进程切换例程）的正确性提供了一个严谨的框架。

ABSTRACT

A method of using recursive functions to describe state change is applied to process switching in UNIX-like operating systems.

研究动机与目标

• 为理解操作系统中复杂的状态变化（尤其是UNIX进程切换等低层代码）提供一个形式化、数学上严谨的框架。
• 通过引入基于序列的形式化体系，解决经典操作系统代码（如丹尼斯·里奇著名的“你不会理解这个”）的晦涩与复杂性。
• 利用抽象状态过程和事件序列对进程调度与进程间通信进行建模，从而支持行为属性的验证。
• 建立序列依赖函数与经典Moore状态机之间的联系，为系统行为的形式化验证提供基础。

提出的方法

• 使用有限事件序列（w ∈ B*）来建模系统演化，其中w表示某一给定状态之前的所有事件历史。
• 定义状态依赖函数，如Loc(w; p)表示当前行号和函数，V(w; p; x)表示在进程p上下文中的变量值。
• 引入抽象状态过程f，其将序列映射到状态（如运行、等待、发送），并对转换和自消息施加约束。
• 应用Moore机形式化：每个序列函数f对应一个Moore机Mf = (B, Sf, [κ]f, δf, φf)，从而实现对系统行为的状态机建模。
• 构建状态机的一般乘积以建模相互连接的进程，其中转换依赖于其他进程的输出，通过函数ɣ实现。
• 使用同余类和幺半群等代数结构探索更深层次的性质，包括可逆性与半群结构。

实验结果

研究问题

• RQ1 我们如何利用基于序列的状态建模，正式指定并验证低层操作系统代码（如UNIX进程切换）的行为？
• RQ2 哪些形式化条件可确保进程切换在挂起和恢复后正确恢复执行？
• RQ3 如何组合抽象状态过程以建模并发系统中多个进程之间的同步通信？
• RQ4 序列依赖函数与经典Moore状态机在建模系统行为方面存在何种关系？
• RQ5 序列函数如何引出幺半群和同余类等代数结构？这些结构揭示了系统行为的哪些深层特性？

主要发现

• 本文证明了任意序列依赖函数f均可表示为Moore机，从而在函数模型与状态机模型之间建立了形式化的同构关系。
• 为UNIX进程切换提供了正式规格说明：若进程p1调用switch且next = p2，则p1仅在p2（或另一进程pk）恢复p1后才会返回，中间状态通过事件序列捕获。
• 该模型确保进程不能自我恢复，且通信通过状态转换实现正确同步，从而防止无效或死锁状态。
• 该框架支持对非确定性行为的形式化推理，而无需假设根本性的非确定性，而是将其视为一种方法论上的局限。
• 使用序列函数可实现对复杂属性（如正确恢复与消息传递）的验证，而无需枚举所有系统状态。
• 序列函数的代数结构在同余下构成幺半群，且在特定约束下（如无反馈），其与Krohn-Rhodes理论一致，暗示系统设计中存在更深层的代数不变量。