Durezza computazionale di programmi per computer "reali"

Ho sentito spesso dire che non è possibile scrivere un programma per rilevare bug in un browser Web, elaboratore di testi o sistema operativo, a causa del teorema di Rice: qualsiasi proprietà semantica per un linguaggio completo di Turing è indecidibile.

Tuttavia, non sono sicuro fino a che punto questo si applichi ai programmi operativi come i programmi del mondo reale. Questi tipi di programmi necessitano della piena forza della completezza di Turing? Esistono modelli più semplici di calcolo (come PR) in cui è possibile scrivere queste applicazioni? In tal caso, in che misura ciò consente la decidibilità della correttezza del programma?

Sicuramente puoi scrivere programmi che catturano i bug: esiste una comunità ampia e attiva di persone che scrivono programmi per fare esattamente questo. Tuttavia, ciò che il teorema di Rice ti impedisce di scrivere è quello di scrivere acchiappasogni che siano allo stesso tempo sani e completi (cioè, cattura tutti i bug di una certa classe senza falsi positivi).

Detto questo, ingenui limiti al modello di calcolo non ti aiutano molto a migliorare la praticità dell'analisi del programma. Il motivo è che è possibile ottenere programmi che "fanno quasi la stessa cosa" girando mentre sono in loop

while P do 
   C

in for-loop con una grande costante di iterazione:

for i = 0 to BIGNUM do 
  if P then 
    C
  else
    break

Ora questo programma non ha nemmeno bisogno di tutta la forza del ricorsivo primitivo (dal momento che il for-loop può essere espanso in macro in un'enorme istruzione if-then-else nidificata), ma nella maggior parte dei casi pratici si comporterà esattamente come prima. Nota che in teoria aiuta la decidibilità: il programma è totale, quindi puoi rispondere alle domande eseguendo il programma e vedendo cosa succede. Questo non è ciò che vogliamo effettivamente, ovvero ottenere risposte più velocemente dell'esecuzione del programma: la terminazione artificiale introdotta non aiuta in realtà l'analisi del programma in pratica, poiché i bug si verificano a causa di errori nella logica del programma reale e non abbiamo " Non l'ho toccato affatto.

Inoltre, l'aggiunta di strutture di astrazione a un linguaggio di programmazione può peggiorare radicalmente la complessità del problema di analisi, facilitando nel contempo la verifica pratica dei programmi. Ad esempio, la dimostrazione della terminazione del calcolo lambda tipizzato in modo semplice con numeri naturali richiede l'induzione fino a , ma aggiungendo il polimorfismo del tipo si ottiene il Sistema F, la cui prova di terminazione è forte quanto la coerenza dell'aritmetica di secondo ordine. Tuttavia, in pratica i programmi scritti in F sono molto più facili da verificare, poiché le proprietà di modularità della quantificazione del secondo ordine rendono molto più semplice la scrittura di programmi strutturati e prove di correttezza.$\epsilon_0$

Dato che hai chiesto informazioni sulla correttezza del programma di programmi del mondo reale come i sistemi operativi, potresti essere interessato al progetto seL4 ( journal , pdf , conference ).

Il team NICTA ha preso un microkernel di terza generazione di 8700 linee di C e 600 linee di assemblatore implementate secondo una specifica astratta in Haskell. Hanno fornito una prova formale, controllata a macchina (in Isabelle / HOL) che l'implementazione segue rigorosamente le specifiche. Dimostrando così che il loro programma è privo di bug.

Quindi, proprio come il problema di arresto, anche se non può essere risolto in generale, può essere risolto per alcuni casi specifici. In questo caso, sebbene non sia possibile dimostrare che il codice C arbitrario sia privo di bug, potrebbero farlo nel caso del microkernel seL4.

Le domande che fai sono in realtà abbastanza diverse.

Tuttavia, non sono sicuro fino a che punto questo si applichi ai programmi operativi come i programmi del mondo reale. Questi tipi di programmi necessitano della piena forza della completezza di Turing?

Ci vuole davvero poco perché un modello di calcolo sia completo di Turing. Ad esempio, vari modelli con contatori possono simulare le macchine di Turing. Se ritieni che il tuo software richieda più di due contatori che puoi manipolare arbitrariamente, stai usando un linguaggio completo Turing. Sebbene i numeri interi di macchina siano limitati ad apriori, le strutture dati allocate in heap di solito non lo sono. Se il tuo software necessita di elenchi, alberi e altri dati allocati dinamicamente, stai utilizzando un linguaggio completo Turing.

Esistono modelli più semplici di calcolo (come PR) in cui è possibile scrivere queste applicazioni? In tal caso, in che misura ciò consente la decidibilità della correttezza del programma?

È importante riconoscere che non vogliamo controllare le proprietà arbitrarie del nostro software. Il controllo di proprietà molto specifiche e ristrette (nessun overflow del buffer, nessuna dereferenza con puntatore nullo, nessun loop infinito, ecc.) Migliora immensamente la qualità e l'usabilità del software. In teoria, tali problemi sono ancora indecidibili. In pratica, concentrarsi su proprietà specifiche ci consente di scoprire la struttura dei nostri programmi che spesso possiamo sfruttare per risolvere il problema.

In particolare, è possibile modificare la domanda originale in

Esiste un'astrazione del mio software che posso analizzare in modo efficiente in un modello completo senza Turing?

Un'astrazione è un modello che include il comportamento del software originale e probabilmente molti altri comportamenti. Esistono modelli come macchine a un contatore o sistemi pushdown che non sono completi di Turing e che possiamo analizzare. L'approccio standard nella verifica del programma con strumenti automatizzati consiste nel costruire un'astrazione in un tale modello e verificarlo algoritmicamente.

Ci sono applicazioni in cui le persone si preoccupano delle proprietà sofisticate del loro hardware o software. Le aziende produttrici di hardware desiderano che i loro chip implementino correttamente algoritmi aritmetici, le aziende automobilistiche e avioniche desiderano software correttamente certi. Se è così importante, è meglio usare un essere umano (addestrato).