高完整性系统工程（十二）：Separation Logic for Automated Verification

目录

1. INTRODUCTION TO SEPARATION LOGIC 分离逻辑

1.1 霍尔推理（Hoare Reasoning）

1.2 堆指针的影响

1.3 全局和局部推理（Global and Local Reasoning）

1.4 组合推理（Compositional Reasoning）

1.5 The Frame Rule

1.6 The Side Condition 

1.7 Validity of Triples 三元组的有效性

1.8 Memory Safety 内存安全性

2. A LITTLE MORE FORMALLY

2.1 Expressions, Commands

2.2 Heap Read Rule (Simplified)

2.3 Assignment Rules

2.4 Frame Rule

2.5 Example Proof 

​编辑

2.6 Inductive Predicates 

2.7 Example: Tail

---

1. INTRODUCTION TO SEPARATION LOGIC 分离逻辑

1.1 霍尔推理（Hoare Reasoning）

霍尔推理是一种用于推理程序正确性的形式化方法，其主要组成部分是霍尔三元组（Hoare Triple）：{P} prog {Q}，表示在前置条件P成立的情况下，执行程序prog，之后后置条件Q会成立。对于局部变量x和y，这种推理方式在x和y不相互引用（即不能为别名）的情况下才有效。

• 赋值规则（ASSIGN）：{Q[e/x]} x := e {Q}，这个规则表示，如果在赋值后的状态Q中将x替换为表达式e可以得到前置状态，那么这个霍尔三元组是有效的。

• 顺序规则（CONSEQ）：(P → P’ {P’} prog {Q’} Q’ → Q) / ({P} prog {Q})，这个规则表示，如果从前置条件P可以推导出另一个前置条件P’，并且从后置条件Q’可以推导出另一个后置条件Q，那么原本的霍尔三元组的效果可以通过新的三元组来实现。

这两个规则在处理基本赋值语句和逻辑推导时十分有用。但是，它们在处理指针和别名等更复杂的数据结构时会变得不够用。

1.2 堆指针的影响

在处理像 *x := 2 这样的语句时，我们需要引入一种新的断言，称为映射断言（Maps-To Assertion）：p ↦ e，表示通过p识别的堆位置保存了值e。但这并不能完全解决问题，因为当x和y指向同一个位置，也就是别名的情况时，这个霍尔三元组就会失效。因此，我们需要一种能够处理别名情况的方法。

1.3 全局和局部推理（Global and Local Reasoning）

在霍尔逻辑中，谓词P和Q都是对全局状态进行描述的。这在处理全局变量或者独立的局部变量时没有问题，但是在处理像堆这样的共享结构时就会变得复杂。

为了解决这个问题，分离逻辑引入了一种新的想法：谓词P只描述它关心的状态部分，这部分被称为谓词的领域（也叫足迹），记作 dom(P)。对于映射断言 p ↦ e，它的领域就是{p}。

1.4 组合推理（Compositional Reasoning）

分离逻辑引入了一种新的连接符：分离连词 P ⋆ Q，表示P和Q各自描述了各自的状态部分，并且这两部分是分离的。这就为处理别名问题提供了一种手段。在 P ⋆ Q 中，如果 P 和 Q 有共同的领域，那么 P ⋆ Q 就无法成立。这可以用来表达 x 和 y 不可能是别名的情况。

<