Size-change grafer

Bachelorprojekt
Size-change terminationsanalyse af et imperativt
programmeringssprog
af Jakob Uhd Jepsen & Claus Rørbech & Espen Suenson
Datalogisk Institut, Københavns Universitet
Forår 2001

Indhold
1 Sammenfatning 3
2 Indledning 3
3 Size-change terminationsprincippet for funktionelle programmeringssprog
4
3.1 Estimation af size-change grafer . . . . . . . . . . . . . . . . . . . 4
3.2 Uendelige kaldsekvenser . . . . . . . . . . . . . . . . . . . . . . . 5
4 Et imperativt programmeringssprog 6
4.1 Syntaks . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
4.2 Egenskaber . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
4.3 Forenklende begrænsninger . . . . . . . . . . . . . . . . . . . . . 7
4.4 Semantik . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
5 Size-change terminationsanalyse af et imperativt programmeringssprog
8
5.1 Programpunkter . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
5.2 Size-change grafer . . . . . . . . . . . . . . . . . . . . . . . . . . 9
5.2.1 Sikker estimering af værdier . . . . . . . . . . . . . . . . . 9
5.3 Tråde . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
5.4 Returværdier . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
5.5 Kaldsekvenser . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
5.5.1 Flowanalyse . . . . . . . . . . . . . . . . . . . . . . . . . . 11
5.6 Uendelige kaldsekvenser - simple og kombinerede cykler . . . . . 12
5.7 Realiserbare kaldsekvenser . . . . . . . . . . . . . . . . . . . . . . 13
5.8 Eksempel på size-change analyse . . . . . . . . . . . . . . . . . . 15
6 Implementation af size-change terminationsanalyse 16
7 Eksperimentelle resultater 16
7.1 Testprogrammer . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
7.1.1 Jones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
7.1.2 Wahlstedt . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
7.1.3 Glenstrup . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
7.2 Opsummering af resultater . . . . . . . . . . . . . . . . . . . . . . 19
8 Konklusion 20
A Testprogrammer 23
B Syntaks og semantik for et funktionelt programmeringssprog 29
2

1 Sammenfatning
På baggrund af size-change terminationsanalyse af funktionelle programmeringssprog
præsenteret i [POPL01] konstrueres en metode til size-change terminationsanalyse
af et imperativt sprog. Det viser sig, at analysen er en anelse
mere kompliceret i det imperative tilfælde. En implementation af metoden evalueres,
og eksperimenter viser, at metoden er brugbar om end ineffektiv til analyse
af større programmer.
2 Indledning
Bestemmelsen af hvorvidt et program terminerer, er en vigtig del af at skrive
meningsfyldte og korrekte programmer. Derfor er det eftertragtet at finde en
metode der på baggrund af programmets struktur kan sige noget om termination.
Det er imidlertid ikke muligt generelt automatisk at afgøre, om et givet program
terminerer for alle inddata. Terminationsanalyse går ud på at estimere terminationsegenskaben,
så man ved hjælp af en algoritme i visse tilfælde kan give et
positivt svar på terminationsspørgsmålet.
Denne rapport bygger på den gennemgang af size-change terminationsprincippet
anvendt på funktionelle programmeringssprog 1 , der præsenteres i artiklen
[POPL01]. Denne artikel forudsættes kendt af læseren. Motivationen for at beskæftige
sig med terminationsanalyse er, jvf. denne artikel, at terminationsanalyse
har anvendelse inden for blandt andet:
Programverifikation
Automatisk programtransformering
Partiel evaluering
Hertil kan tilføjes, at terminationsanalyse i sig selv er et videnskabeligt interessant
emne.
Formålet med denne rapport er at undersøge size-change terminationsprincippets
anvendelsesmuligheder for et imperativt programmeringssprog. Vi søger
at bestemme, i hvor høj grad fremgangsmåden i det funktionelle tilfælde kan
overføres, og hvor der i givet fald opstår problemer ved overgangen til imperative
programmeringssprog. Dette vil vi gøre ved at betragte et simpelt konkret
eksempel.
Derudover søger vi at afgøre, hvor anvendelig vores udviklede metode er i en
faktisk implementation. Specielt vil vi diskutere metodens egnethed i forbindelse
med større programmer.
Den resterende del af rapporten er struktureret således:
Afsnit 3 beskriver size-change termination for funktionelle sprog med henblik
på at give en basis for sammenligning med den imperative version,
som det er sigtet at udvikle. Afsnit 3 er en sammenfatning af de for os
væsentlige dele af artiklen [POPL01].
I afsnit 4 beskrives syntaks og semantik for det imperative sprog som tjener
til at illustrere size-change termination for imperative sprog. Dette er
kommenteret med overvejelser om centrale egenskaber ved sproget.
1 Vi vil overalt i denne rapport indskrænke os til at tale om første ordens programmeringssprog.
3

Afsnit 5 beskriver den udviklede analysemetode for sproget.
Afsnit 6 beskriver en implementation af metoden.
Afsnit 7 præsenterer eksperimentelle resultater ved anvendelse af analysemetoden
på testprogrammer.
3 Size-change terminationsprincippet for funktionelle
programmeringssprog
Den grundlæggende tankegang i size-change termination består i at betragte de
relative ændringer i værdier af et programs parametre under udførelsen. Hvis
det er muligt at opdage en tendens i denne udvikling, kan dette benyttes til at
komme med positive udsagn om hvorvidt programmet terminerer.
Size-change terminationspricippet antager, at der er en velfunderet ordning på
de værdier parametrene i et programmeringssprog kan antage. For hvert funktionskald,
der optræder i et givent program, konstrueres en size-change graf
ud fra et konservativt estimat af sammenhængen mellem parametre i programmet
mht. denne ordning. Size-change terminationskriteriet kan da formuleres
således:
Hvis der for enhver uendelig kaldsekvens, der kan opstå under udførelsen
af et program, i sammensætningen af de size-change grafer
der beskriver denne kaldsekvens (følge af funktionskald), findes en
uendelig nedadstigning i værdien af en parameter, er uendelig beregning
ikke mulig i dette program dvs. programmet terminerer for
alle inddata.
Første trin i size-change terminationsanalysen er at estimere size-change grafer
for programmet. Andet trin er at anvende ovenstående princip på de mulige
uendelige kaldsekvenser i programmet.
Dette kapitel sammenfatter den fremgangsmåde der er beskrevet i [POPL01]. I
denne artikel betragtes et simpelt første ordens funktionsprogrammeringssprog
med call-by-value evalueringsstrategi. Sprogets syntaks og semantik kan ses i
bilag B.
3.1 Estimation af size-change grafer
En size-change graf ¡£¢¥¤§¦©¨
fra funktionen ¤
til funktionen ¨ er en bipartit
graf fra parametre til ¤
til parametre til ¨ . Knuderne i grafen er parametre til
hhv. ¤ og ¨ , kanterne angivelser af ændringer i værdierne.
Da der ønskes et resultat, der med sikkerhed angiver om et program teminerer
for alle inddata, betragtes kun to typer af sammenhænge, nemlig og = . Disse
betyder med den benyttede ordning henholdsvis at værdien med sikkerhed bliver
mindre for eller at værdien bliver mindre eller forbliver den samme for = .
Hvis ikke en sådan sammenhæng kan påvises, udelades kanten fra size-change
grafen.
For et funktionskald fra til kan size-change grafen ¡ findes som alle de
sammenhænge mellem parametre i og , der opfylder betingelserne for og
=.
To eller flere size-change grafer kan sammensættes til multigrafer der beskriver
sammenhænge mellem parametre over flere funktionskald. Hvis size-change
4

graferne for to funktionskald giver anledning til kanter
¦
henholdsvis ¦ og
, vil sammensætningen indeholde
¦¦
sammenhængen . Sammenhænge
der på denne måde bliver forbundet af kanter fra de enkelte size-change
grafer kaldes for tråde, og beskriver sammenhænge og ændringer i parametre
over en given kaldsekvens.
I et program kan der nu for hvert funktionskald findes en size-change graf.
Disse grafer kan, ved at kombinere sammenhængene fra de enkelte size-change
grafer, sammensættes til size-change grafer for hele kaldsekvenser.
For at kunne udvide ovenstående pricip til en grafbaseret algoritme til terminationsbestemmelse
indføres også size-change grafkomposition (indeholder essentielt
samme information som multigrafer).
¡
Kompositionen af to grafer
indeholdende kanter
¦
henholdsvis
¦
og vil indeholde en kant
og ¡
¦
. Ændringen i værdien er da givet ud fra samme princip som allerede
introduceret: for værdier der er garanteret mindre og = for værdier der er
mindre eller forbliver den samme.
At der for en kaldsekvens findes en gennemgående tråd fra til i multigrafen
konstrueret ud fra de tilhørende size-change grafer svarer til, at der i komposi-
tionen af samtlige size-change grafer svarende til kaldsekvensen findes en kant
.
¦
3.2 Uendelige kaldsekvenser
Der benyttes transitiv closure til at finde alle grafer, der beskriver uendelige
kaldsekvenser (der er højst endeligt mange grafer). Metoden går ud på at oprette
en mængde af size-change grafer for alle funktionskald, der kan nås fra
indgangen af programmet. I denne mængde inkluderes også alle mulige kompositioner
af disse, dvs. for graferne ¡¢¤¦¨
¢¨¦
og i mængden tilføjes
også kompositionen ¡
i mængden.
Herefter kan alle uendelige kaldsekvenser findes ved at undersøge om en given
size-change graf i mængden er et fixpunkt. Fixpunkterne er size-change grafer
¡¢¤¦ ¤ hvor kompositionen ¡
¡¡
. Disse beskriver netop uendelige
kaldsekvenser som defineret i [POPL01].
Hvis alle fixpunkter har en nedadstigende sammenhæng i variable, size-change
terminerer programmet.
5

4 Et imperativt programmeringssprog
Den i afsnit 5 præsenterede analyse er baseret på et imperativt sprog defineret
ud fra overvejelser omkring imperative egenskaber, funktionalitet i forbindelse
med eksperimentel afprøvning samt simpelhed i beskrivelsen.
4.1 Syntaks
Sproget har følgende syntaks 2 :
¢¢
¢¢
x y
¢¢
x y
¢¢
pred
¢¢
else
¢¢
¢¢
if
while
skip
return
Alle navne på procedurer og variable er forskellige, og
4.2 Egenskaber
.
Vigtigst ved sproget er dets imperative kendetegn; disse er en iterativ kontrolstruktur
(while) samt tildelinger, dog med begræsning til globalt tilgængelige
variable. Sproget indeholder procedurekald af to grunde: For det første tillader
det lidt mere interessante testprogrammer, og for det andet kan testprogrammer
derved i højere grad komme til at ligne de tilsvarende funktionelle programmer.
Der er, for simpelhed i semantikkens skyld, dog den begrænsning i sproget, at
mens man kan overføre parametre til procedurekald (de bliver derved ’lokale’
variable i kaldet), er det kun muligt at tilskrive disse i selve kaldet, ikke i procedurens
krop.
Dermed opererer vi med to former for lager: Et store og et environment. Store
indeholder globale variable; symbolerne i dette vil være uændrede gennem hele
programkørslen. Environment indeholder lokale parametre. Environment oprettes
ved indgangen til en procedure og bortkastes ved udgangen af samme, og
symbolernes tilknyttede værdier vil ikke ændres undervejs. Mængden af stores
er og mængden af environments er .
Ligesom procedurekald er tilføjet for funktionalitet til interessante testprogrammer,
er betingede konstruktioner også medtaget. Procedurekald tillades desuden
at være rekursive. Denne funktionalitet tillader at testprogrammer fra funktionel
analyse lettere kan oversættes og resultaterne sammenlignes. Rekursion
medfører dog nogle komplikationer, se afsnit 5.7.
2 I den udviklede implementation forudsættes kommandoer nummererede, men dette fremgår
for overskuelighedens skyld ikke her. Se afsnit 5.1
6

4.3 Forenklende begrænsninger
For simpelheds skyld er værdier begrænset til de naturlige tal. Dette skyldes at
de naturlige tal er tilstrækkelige til at illustrere tanken i analysen, der blot skal
have et fladt domæne med en velfunderet ordning og en dekonstruktør. Vi har
da således en umiddelbar velfunderet ordning på værdier, og sprogets eneste
dekonstruktør er forgængeroperatoren pred.
For yderligere forenkling har vi valgt at begrænse os til kun at tillade simple
udtryk for parametre ved procedurekald for på denne måde ikke at ændre det
globale store i forbindelse med oprettelsen af den kaldte procedures environment.
For at simplificere kontrol-flowet kan procedurer kun forlades efter evaluering
af hele proceduren (derfor optræder den specielle kommando return altid som
sidste kommando). Da vi ikke tillader udtryk at være procedurekald indfører vi
desuden procedurekald ved en tildeling. Dette giver også en god mulighed for
at estimere sammenhænge ved returnering fra proceduren.
4.4 Semantik
Semantikken er som følger:
hvor modellerer fejltilstande.
¢
§
¦ ¢
¦ §¢
¢
¦
givet
og
hvis
hvis
§
pred
ellers.
hvis
§
Den semantiske funktion for et program er følgende:
Hvis
hvis
er defineret som
return
er
hvis
7

hvor
og
if
Lad
hvor
skip
else
while
1. Hvis
og
¦
¦
hvis
og
hvis
og
hvis
og
hvis
og
return
¢
og
hvor
¦
¦
siger vi, at terminerer med resultat for
inddata
og skriver
.
2. Hvis på noget tidspunkt evalueringen af et udtryk
værdi i
siger vi at terminerer med
.
Hvis ingen af de ovenstående tilfælde gælder, siger vi, at ikke terminerer, og
. Vi vil udvide notationen til at omfatte udsagn om for alle
inddata, så eksempelvis:
skriver
¢
.
resulterer i en
5 Size-change terminationsanalyse af et imperativt
programmeringssprog
Dette kapitel beskriver fremgangsmåden for size-change terminationsanalyse af
sproget præsenteret i afsnit 4.
I et funktionelt sprog ændres lageret kun ved funktionskald. I et imperativt
sprog, derimod, kan lageret ændres vilkårlige steder i programkoden. Vi må
derfor tage udgangspunkt i disse steder, som vi vil kalde programpunkter.
Da vi kun betragter ændringer af lageret, vil den her angivne fremgangsmåde
i visse tilfælde føre til det resultat, at et program sizechange
terminerer, hvor det ikke er tilfældet. Et program indeholdende
kommandoen terminerer åbenlyst ikke, men da
der ikke forekommer programpunkter i konstruktionen, vil metoden
ikke opdage dette. Problemet at finde “tomme løkker” er imidlertid trivielt,
og vi vil ikke behandle det yderligere.
Idet vi ikke beskæftiger os med datastrukturer (f.eks. lister og træer) og vores
estimat af størrelsændringer dermed begrænser sig til et åbenlyst estimat over
værdier, er det en forholdsvis simpel sag at opstille size-change grafer.
8

Det er mere kompliceret at beskrive mulige uendelige beregninger. Vi vil naturligt
nok tage udgangspunkt i programpunkterne og beskrive uendelig beregning
som en følge af programpunkter kaldet en kaldsekvens. Størrelsesændringer
over en hel programudførelse kan beskrives ved at sammensætte size-change
graferne for de relevante programpunkter.
De følger af programpunkter, der beskriver mulige programudførelser, findes
ved at betragte flow-grafen for et program. Da der er et endeligt antal programpunkter,
vil mindst et programpunkt optræde uendeligt mange gange i en følge,
der beskriver uendelig beregning. Kaldsekvensen for en uendelig beregning må
altså fra et vist punkt bestå udelukkende af sekvenser af programpunkter, der
svarer til cykler i flow-grafen.
5.1 Programpunkter
En tildelingskommando er en kommando af formen
eller
. Vi antager, at tildelingskommandoerne i et program er num-
mererede. En tilstandsændring er en
¦
funktion . Et programpunkt
er en tilstandsændring associeret med en tildelingskommando. Således vil kommandoen
fastlægge et ( programpunkt, noteret for assignment), der beskriver effekten
af at evaluere kommandoen. En kommando af formen
¢
¢
fastlægger to programpunkter, der noteres hhv. (call) og (return). beskriver
bindingen af formelle parametre til procedurekaldet i et environment.
beskriver tilskrivningen af returværdien til det globale store.
5.2 Size-change grafer
I det funktionelle tilfælde beskriver en size-change graf for et givent funktionskald
parametrene relativt til inddata til den kaldende funktion. For et imperativt
sprog beskriver en size-change graf for et givent programpunkt tildelingsvariablen
relativt til det globale store samt procedurens environment; for procedurekald
kan de enkelte parametre ses som tildelingsvariablen for det enkelte parameterudtryk.
En size-change graf involverer ét programpunkt og beskriver størrelsesændringen
i variable i forbindelse med programpunktet. Knuderne i grafen er variable
i lageret, og kanterne er som i det funktionelle tilfælde sammenhænge mellem
disse.
5.2.1 Sikker estimering af værdier
Vi har i denne rapport begrænset os til at se på et sprog hvor variable og parametre
kun antager værdier i . Med den sædvanlige ordning på giver dette
en naturlig udmåling af størrelser i variable og parametre.
Sproget er defineret med kun en destruktør, men har desuden sammenligningsoperatoren
og additionsoperatoren . Da vi ønsker at verificere termination
9

for alle inddata, ønsker vi kun at repræsentere oplysninger vi med sikkerhed
kan fastslå. Streng nedadstigning i en variabel , hvis nye værdi afhænger af
en variabel , skrives
¦ . Vi estimerer nedadstigning som forekommende
netop hvis det udtryk, der tilskrives , er af formen
hvor kan være en formel parameter eller en global variabel.
¢¢
pred
pred
Vi skriver =
¦
¦
hvis værdien af tilskrives uforandret, og
=
ikke ændrer værdi (herunder hvis ikke optræder i tildelingskommandoen).
hvis
For udtryk bestående af og/eller kan vi ikke med sikkerhed sige noget ¦ om
. Hvis værdien
af
værdien af tildelingsvariablen, og vi vil her skrive
afhænger af flere variable vil der altid være en sådan usikker overgang.
Eksempel på size-change grafer
Ovenstående procedure giver anledning til følgende fire size-change grafer
= ¦
¦
¦
=
¦
¦
¦
=
¦
¦
¦
=
¦
¦
= ¦
Bemærk, at ikke indgår i den sidste graf. Dette skyldes, at er lokal for
, og
=
= ¦
derved ikke bevares ved udgangen af proceduren.
5.3 Tråde
=
¦
=
=
=
= ¦
I den funktionelle analyse indeholdt size-change graferne kun information om
parameterevalueringen ved funktionskald. Udover denne binding ved procedurekald
har vi også bindingen ved almindelige tildelinger samt bindingen af returværdier
til en variabel. Da vi benytter os af et globalt variabelrum, må dette
naturligvis influere på genereringen af tråde3 .
En bemærkelsesværdig egenskab ved en tildeling som f.eks. , er at
værdien af ikke ændres over evalueringen af tildelingen. Hvis er en parameter
til proceduren indeholdende
vil size-change grafen for programpunktet
give anledning til to sammenhænge, den ud fra tildelingen åbenlyse = ¦
og
bevarelsen af vores © environment = ¦
.
På samme måde skal der tages højde for overskrivning af vædier, så en senere
tildeling overskriver den tidligere sammenhæng med en ny. Hvis vi tilføjede programpunktet
, er det klart at der ikke ville forekomme en gennem-
3Tråde er defineret som i afsnit 3.
10
=

gående sammenhæng mellem og , som det var tilfældet ved programpunkt
Sammensætningen af size-change grafer samt genkendelse af tråde heri er altså
ikke væsentligt anderledes end i den funktionelle analyse.
En nedadstigende tråd er en tråd, der højst har endeligt mange usikre overgange
¦ og uendeligt mange nedadgående overgange
¦ .
5.4 Returværdier
I [POPL01] tages der ikke hensyn til funktioners returværdier. [Frederiksen]
benytter to algoritmer til udtrækning af size-change grafer; den ene tager hensyn
til returværdier og den anden gør ikke. Konklusionen heri er, at det er i de
færreste tilfælde, information om returværdier spiller nogen rolle for analysen.
Tilstedeværelsen af globale variable i et imperativt programmeringssprog ændrer
imidlertid på dette. Betragt følgende program:
Der er kun én mulig uendelig kaldsekvens i dette program, og den indeholder
en nedadstigende tråd i
, altså size-change terminerer programmet. Hvis vi
ikke kigger på returværdier kan vi imidlertid ikke foretage et bedre estimat end
¦
ved tildeligskommandoen 1, da
er en global variabel og som
sådan kan ændre værdi under evalueringen af . Det er klart, at en så triviel
tilføjelse som proceduren helst ikke burde påvirke resultatet af terminationsanalysen,
hvorfor vi er nødt til at inkludere returværdier i analysen.
5.5 Kaldsekvenser
En uendelig udregning er i vores analyse repræsenteret ved en uendelig sekvens
af programpunkter. Vi har tidligeret set, hvordan size-change grafer for programpunkter
estimeres, samt hvordan flere size-change grafer sammensættes til
en multigraf, der beskriver sammenhængen over en sekvens af programpunkter.
Ved at benytte flowanalyse kan vi lokalisere uendelige udregninger i vores
program, kombinere size-change graferne for de respektive programpunkter og
hermed afgøre om der eksisterer en nedadstigende tråd.
5.5.1 Flowanalyse
De mulige sekvenser i programmet findes ved for hvert program punkt at se
hvilke programpunkter der kan nås i et enkelt beregningsskridt. Hvis den efterfølgende
sætning er en tildeling vil det efterfølgende
programpunkt være eller
11

for henholdsvis variabeltildelinger eller procedurekald. Ved betingede sætnin-
ger som if-else og while vil både programpunktet for sand og falsk evaluering
være potentielle efterfølgere. Efterfølgende programpunkter til procedurekald
) vil være første programpunkt i den kaldte procedure.
(
Hvis et programpunkt i proceduren efterfølges af returnering fra
, er det
efterfølgende programpunkt tildelingen ved procedurekaldet
til . F.eks.
vil et kald til en procedure
¦ .
Vi kan udfra ovenstående fremgangsmåde nu finde sammenhængen mellem
give anledning til sammenhængen
programpunkter og deres potentielle efterfølgere.
Ved at lade programpunkterne være knuder og tilføje kanter til potentielle ef-
terfølgende programpunkter, kan vi lave en flow-graf for programmet. Program-
punkterne og
forbindes med en kant fra til netop hvis kan nås fra i et
beregningskridt.
Alle mulige uendelige kaldsekvenser i programmet kan nu findes ved at betragte
cykler (svarende til sekvenser af programpunkter) i flowgrafen.
5.6 Uendelige kaldsekvenser - simple og kombinerede cykler
Fremgangsmåden i lokaliseringen af cykler i flowgrafen tager udgangspunkt
i lokalisering af simple cykler heri. En simpel cyklus er en cyklus hvori alle
programpunkter er forskellige. I en flowgraf kan alle sådanne findes ved en
dybde-først søgning. Det er ikke tilstrækkeligt kun at kigge på simple cykler, da
to simple cykler, begge med en nedadstigende tråd, tilsammen kan danne en
cyklus (dog ikke simpel) uden en nedadstigende tråd. Et eksempel på dette kan
ses nedenfor.
Den simpleste løsning på dette problem er at undersøge enhver mulig kombination
af de simple cykler, der har programpunkter til fælles. Antallet af kombinationer
er eksponentielt i antallet af simple cykler, hvorfor vi her har en mulig
“kombinatorisk eksplosion” i algoritmen (det viser sig at være et reelt problem i
praksis, se afsnit 7).
12

Eksempel
Her er to simple cykler, ¦ ¦ og ¦ ¦ . I den første cyklus er
der en nedadstigende tråd i , og i den anden en nedadstigende tråd i .
Imidlertid giver den kombinerede cyklus ¦ ¦ ¦ ¦ ¦
også anledning til en mulig uendelig kaldsekvens, men denne indeholder ingen
nedadstigende tråd 4 .
5.7 Realiserbare kaldsekvenser
Ved genkendelse af uendelige kaldsekvenser, opstår der et problem. Det sker
i forbindelse med en uendelig sekvens af returneringer fra en procedure. Det
er intuitivt klart, at man ikke kan returnere fra en procedure uden først at
have kaldt den, men dette fanges ikke umiddelbart af vores metode. En uendelig
kaldsekvens, der indeholder både kald og returneringer eller kun kald,
kan imidlertid sagtens forekomme.
Betragt nedenstående program:
¥
Flowgrafen for dette program er vist i figur 1. Der ses at være to cykler i flowgrafen:
¦
og
¦ . Den første indeholder en nedadstigende tråd (i
),
men den anden gør ikke, hvorfor vi må konkludere, at programmet ikke sizechange
terminerer. Imidlertid vil en kaldsekvens der består af uendeligt mange
overgange ¦ aldrig kunne forekomme.
4 Bemærk, at programmet terminerer, men ikke size-change terminerer.
13

1
c
3 c
2 a
Figur 1: Flowgraf
Problemet løses ved en fremgangsmåde beskrevet i [Reps 98]. At finde kaldsekvenser
vha. en flowgraf er ikke præcist nok, så vi må sortere yderligere i de
kaldsekvenser, vi opdager. Pointen er kun at medtage kaldsekvenser, hvor hver
returnering fra en procedure tilsvarer et kald til samme procedure.
For et procedurekald forekommende ved kommandoen mærkes de tilhørende
programpunkter med parenteser:
markeres med og
tilsvarende bliver
markeret med 5 . Kaldsekvenser, der kan forekomme (kaldet realiserbare
kaldsekvenser),
er da dem, for hvilke den tilsvarende sekvens af parenteser udgør
et ord i sproget defineret ved følgende kontekstfri grammatik:
¢¢
¢¢
1 r
3 r
Genkendelse af kontekstfri sprog er imidlertid ikke trivielt. Vi bemærker dog,
at enhver kaldsekvens, der indeholder flere højreparenteser, , end venstrepa-
, for et givent , er ugyldig. Vi vil da bruge dette simplere kriterium
renteser,
for realiserbare kaldsekvenser, da det løser det i eksemplet ovenfor skitserede
problem6 Vores drøftelse af realiserbare kaldsekvenser er ikke komplet, men da
den simple løsning er brugbar, vil vi ikke behandle emnet yderligere.
5 Begrebet realizable i [Reps 98] er her oversat til realiserbar.
6 Som det vises i afsnit 7, giver denne indskrænkning os ikke problemer i praksis.
14

1
2
a
a
3
a
a
4
Figur 2: Flowgraf for
5.8 Eksempel på size-change analyse
Betragt følgende eksempel:
Der konstrueres en flowgraf, som viser de måder hvorpå programmet kan afvik-
les. For ser den således ud
De tilsvarende size-change grafer findes ud fra programpunkterne og flowgrafen.
Det resulterer i flg. size-change graf
¦
=
=
¦
¦ ¦
=
¦
¦
hvor vi kun har medtaget variable, der indgår direkte ved de respektive programpunkter.
Som det fremgår af flowgrafen, er der kun én mulig uendelig
kaldsekvens, nemlig den der modsvarer -løkken indeholdende programpunkter
og .
Ved at undersøge size-change graferne for disse overgange kan vi sammen sætte
dem til tråde. Det fører til flg. tråde
=
Nr. Tråd ¦
¦
15
6
5
a
a

Som det ses, er der i denne løkke en nedastigende tråd (nr. 2), og dermed kan
det konkluderes, at programmet size-change terminerer.
6 Implementation af size-change terminationsanalyse
For at kunne foretage praktiske eksperimenter er en implementation af den i
afsnit 5 præsenterede metode udviklet.
Der er selvfølgelig lagt vægt på korrektehed i implementationen, men overvejelser
om effektivitet og god programmeringsstil har ikke indgået; en såkaldt
quick-and-dirty implementation.
Programmet er skrevet i ML og er opbygget af følgende moduler:
Parser En parser, genereret med ML-YACC.
Flowgrafer Opbygning af flowgrafer sker ved for et hvert programpunkt
at finde de programpunkter der kan nås i et beregningsskridt.
Cykler De simple cykler i flowgrafen findes ved en dybde-først søgning.
Desuden indeholder modulet funktionerne til eliminering af ikke mulige
cykler, se afsnit 5.7.
Size-change grafer For programmet estimeres for hvert programpunkt
den tilhørende size-change graf. (Nedadstigende sammenhænge findes
netop ved udtryk kun indeholdende pred operatoren, værdier i udtryk
der involverer de øvrige operatorer kan ikke med sikkerhed beskrives).
Modulet indeholder funktioner til at finde tråde i en given kaldsekvens.
Verifikation Modulet undersøger, om der for enhver cyklus eksisterer en
nedadstigende tråd. Efter undersøgelse af de simple cykler undersøges alle
mulige kombinationer af cykler med fælles programpunkter. Hvis verifikationen
af en cyklus fejler, afbrydes med en udskrift af den funde cyklus.
Ved programmer der ikke size-change terminerer returneres altså kun den
først fundne cyklus uden en nedadstigende tråd. Hvis alle cykler indeholder
en nedadstigende tråd, returneres samtlige fundne mulige cykler.
7 Eksperimentelle resultater
7.1 Testprogrammer
Det udviklede program verificeres ved afprøvning med en række test-suiter,
der skal klarlægge termination for eksempelprogrammer. For at have en reference
at sammenligne resulteter med, hentes disse test-suiter fra kendte kilder.
Der er her tale om [POPL01] og dele af Wahlstedt og Glenstrup suiterne fra
[Frederiksen].
Der er dog problemer i dette, idet disse programmer ofte benytter lister, en
datatype der ikke findes i vores sprog. Løsningen består i at transformere programmerne
til en lignende funktionalitet der benytter heltal. Som eksempel kan
nævnes equal funktionen. Hvor den før testede om to lister var ens (indeholdt
de samme elementer), tester den nu om to tal er ens. Det tilstræbes at holde
virkemåden så tæt på det oprindelige program som muligt. Det hænder at de
16

transformerede programmer ikke udfører noget meningsfyldt, f.eks. tæller sine
argumenter ned og returnere 0 i alle tilfælde.
Idet [Frederiksen] beskæftiger sig med funktionsbaseret terminationsanalyse
over funktionskald, tilstræbes det at de transformerede programmer så vidt
muligt benytter imperative konstruktioner, især -løkker. Det er ikke altid
muligt at lave en sådan omskrivning og bevare programmerne tæt nok op ad
hinanden til at de er sammenlignelige, og hvor dette er tilfældet har vi brugt en
mere funktionsbaseret tilgang, dvs. benyttelse af procedurekald og rekursion.
Testprogrammerne er alle oversat i hånden.
7.1.1 Jones
Denne suite indeholder 5 programmer, taget fra [POPL01]. At det ene program
er udeladt (den oprindelige suite indeholdt 6 programmer) skyldes at det ikke
kunne lade sig gøre lave et tilsvarende program i vores sprog. Det udeladte
program lavede liste-reversion.
Bemærkninger til suiten
Eksemplerne i denne testsuite terminerer alle af en simpel grund. Alle programmerne
består af rekursive procedurekald, hvor der ved hvert kald er en streng
nedgang i en af parametrene. Denne nedgang kan udtrækningen af size-change
graferne let detekterer og dermed vil det bliver markeret som en nedadstigende
tråd i den løkke der kommer til at repræsentere kaldet.
7.1.2 Wahlstedt
Wahlstedet eksemplerne er taget fra [Frederiksen] og oprindeligt designet af
David Wahlstedt [Wahlstedt]. Af eksemplerne i [Frederiksen] er udvalgt 6 programmer
der bl.a. udfører diverse aritmestriske funktioner (addition, division
o.s.v)
Bemærkninger til suiten
Mange af disse eksempler terminerer af samme grund som Jones eksemplerne,
nemlig fordi der er tale om procedurekald med en skarp dekrementering af en
eller flere parametre. Der er dog et par som skiller sig ud.
Wexadd Dette program terminerer fordi der i while løkken er en skarp nedgang
i betingelsesvariablen. Dermed afsluttes løkken og da programmet ikke
har andre potentielt uendelige kaldsekvenser, terminerer hele programmet.
Wexfgh Dette program size-change terminerer ikke. Det skyldes at vi har en
serie af tildelinger som ikke giver os sammenhængende information om de variables
relative størrelser. Den serie af tildelingerne der er tale om er 8, 9, 6, 3,
4, 3, 8, 2. I denne kaldsekvens er der ganske vist adskillige skarpe nedgange,
men da der ved enkelte kald lægges et tal til parametrene, kan vi ikke med sikkerhed
sige noget om deres størrelse. Dette forhindrer size-change analysen i at
bestemme termination.
17

Det kan dog ses at programmet vil terminere på trods af dette. Dette skyldes
at additionen i tildeling 9 (b+1) ikke influerer på returværdien af programmet,
idet det vi returnere 0 uanset hvad b er (idet a vil være nul). Ved næste kald
bliver b derfor 0 (den er ikke blevet ændret i det foregående kald) og dermed
terminerer programmet efter tildeling 2.
7.1.3 Glenstrup
Glenstrup eksemplerne er oprindeligt konstrueret af Arne Glenstrup [Glenstrup],
men er her taget fra [Frederiksen]
To programmer kræver en særlig kommentar. De er ikke hentet fra andre kilder
som de øvrige, men er nogle vi har lavet selv. Der er tale om Gexgcdimp og Gexpermute2.
Gexgcdimp er en iterativ version af Gexgcd. Gexpermute2 er lavet
for at demonstrerer hvorledes et program kan gå galt ved forkert brug af en global
variabel. Gexpermute genbruger én variabel, og som det fremgår nedenfor,
bevirker det at programmet ikke terminerer. Bruger man derimod to forskellige
variable, vil programmet size-change terminere. Det skal bemærkes at Gexpermute
ikke har den samme funktionalitet som den oprindelige funktion, hvorfor
resultaterne med [Frederiksen] for dette program ikke kan sammenlignes.
Bemærkninger til suiten
De programmer som terminerer her skyldes alle enten et rekursivt kald med en
direkte nedgang i et af parametrene eller en while løkke med en stadigt faldende
betingelse. 3 programmer i suiten size-change terminerer ikke, Gexincr, Gexspl
og Gextrick.
Gexspl og Gextrick Begge disse programmer har et rekursivt kald hvori der
ikke er en skarp nedgang. I Gexspl er det ved tildeling 5 og i Gextrick er det
sekvensen 2, 5, 6 der afstedkommer problemet. Grunden er i Gextrick at ved
at dele beregningerne over to betingede sætninger mister vi sammenhængen
imellem dem.
Gexgcdimp Dette program blev konstrueret for at undersøge om det ville være
muligt at bestemme size-change termination for gcd ved brug af en iterativ metodik
istedet for den rekursive. Dette viste sig ikke at være tilfældet. Grunden
skal søges i sammenhængen mellem parametre og returværdier. Under kald til
hjælpeprocedurer kan vi miste sammenhængen mellem disse, f.eks. hvis vi returnerer
en værdi, der ikke har nogen relation til de parametre proceduren blev
kaldt med. En sådan situation er kun mulig på grund af eksistensen af globale
variable.
Testprogram antal simple løkker SCT? SCT? fra [Frederiksen]
Jex2 2 Ja Ja
Jex3 8 Ja Ja
Jex4 6 Ja Ja
Jex5 6 Ja Ja
Jex6 4 Ja Ja
Wexadd 1 Ja Ja
18

Wexdiv2 2 Ja Ja
Wexeq 2 Ja Ja
Wexfgh 1165 Nej Nej
Wexoddeven 2 Ja Ja
Wexpermut 2 Ja Ja
Gexbinom 10 Ja Ja
Gexdecr 1 Ja Ja
Gexgcd 23 - Ja
Gexgcdimp 18 Nej -
Gexincr 1 Nej Nej
Gexmatch 6 Ja Ja
Gexnestdec 2 Ja Ja
Gexnolexicord 6 Ja Ja
Gexpermute 5 Nej -
Gexpermute2 5 Ja -
Gexspl 10 Nej Nej
Gextrick 5 Nej Nej
7.2 Opsummering af resultater
Som det fremgår af tabellen følger resultaterne af vores test meget godt de
resultater som [Frederiksen] har opnået med size-change termination, hvor der
tages hensyn til returværdier. Dette er forventeligt, idet programmerne har en
lignende opbygning.
Det er ikke lykkedes at afgøre om Gexgcd size-change terminerer. Kombinationen
af simple cykler giver eksponentielt mange cykler, og da Gexgcd indeholder
23 simple cykler, har det ikke været muligt at afgøre termination grundet det
store hukommelsesforbrug. At vi ikke kan afgøre size-change termination for
Gexgcd er ikke et udtryk for at den udviklede algoritme ikke er korrekt, men
dog at den ikke er effektiv.
Til sammenligning med Gexgcd kan der kigges på Wexfgh, som har et meget
stort antal simple cykler. Denne terminerer hurtigt, med negativt resultat, men
det skyldes netop at der i den findes en simpel cyklus uden nedadstigende tråd,
hvilket betyder at vi kan afgøre termination uden at checke alle kombinationerne
af de 1165 simple cykler. Det samme er tilfældet med Gexgcdimp.
Denne eksponentielle eksplosion er et oplagt punkt til forbedring. Det viser sig
i praksis at vores metode, selv for små programmer med nedadstigende tråde i
alle simple cykler, ikke kan bestemme termination indenfor overkommelig tid.
At den mangel på sammenhæng mellem parametre og returværdier vi oplever i
Gexgcdimp giver ikke-termination, for et program som vil terminere, skyldes at
vores analyse ikke benytter sammenhængen mellem betingede sætninger og variables
værdier til at udelukke umulige kombinerede cykler. I Gexgcdimp er den
cyklus der resulterer i ikke-termination umulig, fordi betingelsen i proceduren
mul fejler uden at cyklusen bliver udført; en situation der ikke er mulig i den
kontekst hvor proceduren kaldes.
19

8 Konklusion
Vores analyse adskiller sig væsentligt fra den funktionelle på følgende punkter.
Det er nødvendigt at indføre den mere omfattende definition på programpunkter
da vi tillader ændringer i lageret andre steder end ved procedurekald.
Vi må, for lokalisering af uendelige kaldsekvenser, anvende metoder indenfor
flowanalyse, herunder flowgrafer og genkendelse af kontekstfire
sprog.
Tilstedeværelsen af de globale variable tvinger os til at se og udmåle sammenhængene
i returværdier, som i [Frederiksen].
Processen ved lokalisering af alle mulige kaldsekvenser, er mere omstændelig,
da vores metode ikke bygger på grafkomposition.
Den udviklede analysemetode er mindst lige så stærk som den tilsvarende metode
for funktionelle sprog i [POPL01]. I praktisk afprøvning får vi resultater
tilsvarende dem, der findes i [Frederiksen].
Imidlertid viser implementationen, at metoden er for ineffektiv til behandling af
eksempler i selv moderat størrelse, som illustreret ved testprogrammet Gexgcd.
Til trods for, at hastigheden formentlig kunne forbedres væsentligt ved en mere
effektiv implementation, er analysemetoden dog den egentlige begrænsning.
Problemet er, at antallet af kombinationer af cykler, der skal gennemsøges, er
eksponentielt i antallet af simple cykler. Fremgangsmåden i [POPL01] angiver
en algoritme med eksponentiel tidskompleksitet. Ligeledes vises det her, at sizechange
terminationsanalyse er PSPACE-komplet. Vi kan altså ikke gøre os håb
om at finde en metode med bedre worst-case tidskompleksitet. Det betyder dog
ikke, at man ikke kan udvikle en metode med betydelig bedre effektivitet i praksis
end vores.
Forbedringer kunne være:
Undersøgelse af sammenhængen mellem size-change grafer og kaldsekvenser,
for at afgøre om det er muligt at kombinere cykler på en mere
effektiv måde.
Optimering ved bedre repræsentation af cykler, på en måde så redundansen
fra næsten identiske cykler minimeres.
Bedre opstillling af kaldsekvenser, evt. ved brug af automatteori.
Muligheden for at gøre brug af grafkomposition, i stil med [POPL01], hvilket
ville mindske specielt pladsforbrug.
Vores fremgangsmåde er temmelig ligetil; derfor må vi afsøge mange tilfælde,
der kunne udelukkes på forhånd. Det største problem ved vores fremgangsmåde
er antallet af cykler, der skal kombineres med hinanden. Vi finder ukritisk alle
simple cykler i et program, og det kan være mange hvis programmet indeholder
indlejrede forgreninger. Mange af disse vil dog minde temmelig meget om hinanden
set ud fra et size-change synspunkt, men de bidrager ikke desto mindre
til problemets størrelse.
En lovende forbedring af metoden er at søge en bedre måde, hvorpå man kan
opstille kaldsekvenser. Automatteori kunne muligvis være til nytte her.
20

Den umiddelbart mest frugtbare vej at gå er at lede efter en bedre måde at
kombinere cyklerne på, idet man herved ville reducere antallet af kombinationer
uden at skulle løse potientelt svære problemer som flow-analyse e.l.
Ud over den manglende effektivitet er vores fremstilling af size-change terminationsanalyse
temmelig uformel. Der ligger et oplagt arbejde i at formulere
metoden stringent matematisk set.
21

Litteratur
[POPL01] Chin Soon Lee m.fl.: The Size-Change Principle for Program Termination,
Principles of Programming Languages, 2001
[Winskel] Glynn Winskel: The formal Semantics of Programming Languages,
MIT Press, 1996
[Reps 00] Thomas Reps: Undecidability of Context-Sensitive Data-
Dependence Analysis, ACM Transactions on Programming
Languages and Systems 22, 2000
[Reps 98] Thomas Reps: Program analysis via graph reachability, Information
and Software Technology 40, 1998
[Frederiksen] Carl Christian Frederiksen: A Simple Implementation of the Size-
Change Termination Principle, Skriftligt arbejde på DIKU, 2001
[Wahlstedt] David Wahlstedt: Detecting termination using size-change in parameter
values, Speciale, Chalmers University of Technology,
2000
[Glenstrup] Arne J. Glenstrup: Terminator II: Stopping Partial Evaluation of
Fully Recursive Programs, Speciale, DIKU, 1999
22

A Testprogrammer
Jex2
¤¦¥ ¤ ¡£¢
¤
¡£¢¡ ¤ §©¨
¢ ¨
¦
¡¡ ¤¥
¨
¡ ¤
¦
Jex3
¡ ¤¥
¤
§©¨
¤
¤ ¡ § ¤ ¨
¡ ¤¤
¨
¤ ¡ ¤
¨
¦
Jex4
¡ ¡ ¤¥
¤
¡
¤ ¡ ¤
§©¨
¤
¡ ¤ ¡ ¤
¨
¨
¦
Jex5
¤¥ ¢¡£
¤
§©¨ ¢
¢ ¤
¡
¤¤
¨
¡
¢ ¤¤
¨
Jex6
¦
¡ ¤¥
¤
§©¨
¤ ¡
¨
¦
¤¥ ©¡
¤
¤ ¡
¤¤
¨
¤ ¡
¤ ¤
¨
¦
Wexadd
¢¡ ¤¥
¤ ¢
§©¨
¥
¢ ¨
¨
¤¤¥
¨
§
¨
¨
¦
¤
23

Wexdiv2
¤¥
¤
§©¨
¥
¤ ¤
¨
¤¤¤
¨
§ ¨
¦
Wexeq
¡ ¤¥
¤
¤
§©¨§
¨
¤
¨
¤ ¡
¤¤
¨
¦
Wexfgh
¡ ¤¥
¤
§©¨
¤
¨
¥ ¨
¤ ¡ ¤
¡ ¤¤
¨
¨
¤
¡ ¦
¡ ¤¥
¤
¨
¤
¨
¥ ¡ ¤
¨
¤ ¡ § ¤
¨
¨
¡ ¤
§
¦
¡ ¤¥
¤
§§©¨
¤
§¦¨
¤ ¤ ¡ §¦¨
Wexoddeven
¦
¦
¤¥
¤
§©¨§
¤¤
¨
¦
¤¥
¤
¨
¨
¤¤
Wexpermut
¦
24

¡ ¤¥
¤
§©¨
¡
¤¤
¨
¦
Gexbinom
¡£ ¤¥
¤
§©¨
¤
¨
¥
¤ ¡
¤¤
¨
¨
¨
¦
Gexdecr
¢ ¤¥
¤ ¢
§©¨
¢ ¨
¤¥
¨
¤
¨
¦
Gexgcd
¢¡£ ¤¥
¤ ¢
¨
¤
¨
¢¡£ ¤
¨
¤
¢ ¨
¢ ¤¥
¨
¢¡ ¤
¡ ¤ ¨
¥ ¨ ¡£¢ ¤
¡ ¤
¨
¦
¡ ¤¥ ¦
¤
¤
§©¨§
¨
¨
¦
¡ ¤¥
¤
¤ ¡ ¤
¨
¤ §
¤ ¡
¤¤
§§¨
¦
25

Gexgcdimp
¡ ¤¥
¤
¢ §©¨
¤
¢ ¨
¥
¨
¢ ¨
¨
¢ ¤¤¥
¨
¢ ¡ ¢ ¤
¢
¡ ¢ ¤
¨
¢ ¡
¤
¨
¢ ¢ ¨
§ ¨ ¢
¢ ¦
¡ ¤¥
¨
§©¨
¤¤¥
¦ ¤
¨
¤
¨
¨
¦
¡ ¤¥
§ ¨
§¨
¨
¤
¤
¤
¨
¤¥
¡ ¤
§©¨
§ ¨
¦
¡ ¤¥
¨
¨
¤¤¥
¨
¨
¦
Gexincr
¢ ¤¥
¤ ¢
§©¨
¢ ¨
¤¥
¨ §
¤
26

¦
Gexmatch
¡ ¤¥ §©¨
¡ ¡ ¡ ¤ ¦
¡ ¡ ¤¥ ¡
¤
¨§
¤
¨
¤
¨
¤ ¡
¤ ¡ ¡ ¤
¨
¡
¤ ¡ ¡
¤¤
Gexnestdec
¦
¢ ¤¥ ¦
¤
¢
§©¨§
¥
¢ ¤ ¨
¨
¦
¤¥
¨
¢ ¤ ¢
Gexnolexicord
¦
¤
¡¡¡ ¡
¡ ¤¥
¤ ¢
§©¨§
¤
¦
¤ ¡
¤ ¡
¤ ¡
¤ ¡
¤ ¡
¤¤
¨ ¢
¤¤
¢ ¨
¦
Gexpermute
¦
¢¡ ¤¥
§¨
¢
¤
¨
¨
¦
¤¤¥
¨
¡¢ ¤
¨
¤
¦
¡ ¤¥
¤
¨
¨
¨
¤¤¥
¨
¨
¦
Gexpermute2
¦
¢¡ ¤¥
§¨
¢
¤
¤
¤ ¡
¤ ¡
27
¤ ¡
¤ ¡
¤ ¡

¨
¨
¤¤¥
¡¢ ¤
¨
¤ ¨
¦
¡ ¤¥
¤
¨
¨
¨
¤¤¥
¨
¨
¦
Gexspl
¤¥
¢¡£ ¤
§©¨
¢ ¤ ¢¡£
¨
¦
¤¥
¢¡£ ¤ ¢
¤
¢¡ ¤
¢¡£ ¤ ¨
¤ ¢¡ ¨
¦
¤¥ ¢¡£ ¤
¨
¢ ¤ ¢¡£
¨
¦
¢¡ ¤
¤¥ ¨ ¢ ¦
¢¡£
Gextrick
¤¥ ¢¡£
¤
§©¨§
¥
¤
¨
¢ ¢
¢ ¤
¨
¤
¨
¢ ¤
¨ §
¡ ¤
¨
¦
¤¥ ¢¡£
¤
¨§
¤ ¢
¨
¢¡
¤¤
¢ ¤ ¡ § ¤
¨
¦
28

B Syntaks og semantik for et funktionelt programmeringssprog
Syntaks
¢¢ ¤ ¤
¢¢ ¤
¤
¢¢
¤
¢¤
¦ ¢¢ ©
¤ ¢¢
¢¢
Semantik
Domains
Types
Semantic operator
Auxiliary operations
Assumption
identifier not in Parameter
primitive operator
(a flat domain).
, where
for all
.
¢¦¦
¢¦¦
¢ ¦
¦ ¢
¦ ¦
¤ £
¦
(the natural injection)
¦
£¤
¤
¦
True is a distinguished element of Value.
if
or ,
if ,
otherwise.
for
if
and
for each else
least index such that
29
where