TLA+ 《Specifying Systems》翻译初稿——Section 4.1 The Inner Specification（内部规约）

本节介绍了FIFO缓冲区规约，重点说明了如何引入其他模块的实例，例如
$InChan \triangleq \text{INSTANCE } Channel \text{ WITH } Data \leftarrow Message, chan \leftarrow in$还顺带介绍了 $Sequences$模块的几个运算符。

FIFO规约首先 $Extends$了模块 $Naturals$和 $Sequences$。 $Sequences$模块定义有限序列上的运算。我们把一个有限序列表示成一个元组，所以三个数3，2，1的序列是三元组 $\langle 3,2,1\rangle$， $Sequences$模块对序列定义了如下运算符:

• $Seq(S)$ 集合 $S$中任意元素组成的所有序列的集合，例如， $\langle3,7\rangle$是 $Seq(Nat)$的一个元素。
• $Head(s)$ 序列 $s$的第一个元素。例如， $Head(\langle 3,7\rangle)$ = 3。
• $Tails(s)$ 序列s的尾部，它由去掉头部的序列s组成。例如， $Tail(\langle 3,7\rangle) = \langle 7 \rangle$。
• $Append(s,e)$ 将元素e附加到 $s$的尾部得到的序列，例如， $Append(\langle 3,7\rangle,3) =\langle 3.7.3\rangle$
• $s \circ t$ 将序列s和t串联起来得到的序列，例如 $\langle 3,7\rangle \circ \langle 3\rangle =\langle 3,7,3\rangle$。(我们在ASCIl中输入o作为\o。)
• $Len(s)$ 序列 $s$的长度，例如， $Len(\langle 3,7\rangle) = 2$

FIFO规约继续声明常量 $Message$，其表示所有可发送消息的集合，接下来声明三个变量： $in$和 $out$代表通道，第三个变量 $q$代表缓冲消息队列。 $q$的值是发送方已发送但接收方尚未接收的消息序列。(第4.3节对这个额外变量 $q$有更多说明)。

我们希望使用 $Channel$模块中的定义来指定 $in$和 $out$通道上的操作。这需要该模块的两个实例：在其中一个实例中， $Channel$模块的变量 $chan$替换为当前模块的变量 $in$, 另一个实例的 $chan$替换为 $out$。在这两个实例中， $Channel$模块的常量 $Data$被替换为 $Message$。我们使用下列语句描述第一个实例：
$InChan \triangleq \text{INSTANCE } Channel \text{ WITH } Data \leftarrow Message, chan \leftarrow in$

定义在模块 $Channel$中的任意符号 $\sigma$，与定义在当前模块中的 $InChan!\sigma$有相同的含义，只除了 $Message$代替的 $Data$和 $in$代替的 $chan$。例如下列语句定义 $InChan!TypeInvariant$等于
$in \in [val:Message,rdy:\{0,1\},ack:\{0,1\}]$

(该语句没有定义 $InChan!Data$，是因为 $Data$是在 $Channel$模块中声明而不是定义的。)我们用类似的语句引入 $Channle$模块的第二个实例：
$OutChan \triangleq \text{INSTANCE } Channel \text{ WITH } Data \leftarrow Message, chan \leftarrow out$
$in$和 $out$通道的初始状态由 $InChan!Init$和 $OutChan!Init$指定。最初，没有消息被发送或接收，所以 $q$等于空序列。空序列是0元组(只有一个，它被写为 $\langle \rangle$）。所以我们将初始谓词定义为：
$\begin{aligned} Init \triangleq & \land InChan!Init \\ &\land OutChan!Init \\ &\land q=\langle \rangle \end{aligned}$

接下来定义类型不变量。 $in$和 $out$的类型不变量来自 $Channle$模块，而 $q$的类型是消息的有限序列的集合。因此，FIFO规约的类型不变量是
$\begin{aligned} TypeInvariant \triangleq & \land InChan!TypeInvariant \\ &\land OutChan!TypeInvariant \\ &\land q\in Seq(Message) \end{aligned}$
下一状态动作所允许的四种非重叠步骤由下列四个动作来描述:

• $SSend(msg)$ 发送方在 $in$通道上发送消息；
• $BufRcv$ 缓冲区从 $in$通道上接收消息，并将之放入 $q$的队尾；
• $BufSend$ 缓冲区在 $out$通道发送 $q$的队首并将之从 $q$删除；
• $RRcv$ 接收方从 $out$通道接收消息；

这些动作的定义，以及规约的其余部分，见下一页图4.1的模块 $InnerFIFO$，下文第4.3节解释形容词 $Inner$。