TLA+ 《Specifying Systems》翻译初稿——Section 5.6 A Write-Through Cache（一个Write-Through 缓存）

本节通过一个write-through缓存的例子，详细讲解了该规约的设计考虑及遇到的问题与其解决方式，引入了之前没有用到的LET/IN关键字，用于定义函数的局部变量，方便分层拆解大而复杂的规约。

现在我们来定义一个简单的$write-through$缓存，它实现内存规约，其系统架构图参见图$5.4$：每个处理器$p$与一个本地控制器通信，控制器维护三个状态组件：$buf[p]$、$ctl[p]$和$cache[p]$。$cache[p]$的值表示处理器的缓存；$buf[p]$和$ctl[p]$与其在内部内存规约（模块$InternalMemory$）中起相同的作用。（不过，正如我们将在后面看到的，$ctl[p]$会引入一个额外的值“$waiting$”。）这些本地控制器通过总线与主存储器$wmem$彼此通信。从处理器到主存的请求都进入长度为$QLen$的队列$memQ$。

处理器$p$的写请求是通过动作$DoWr(p)$来执行的。这是一个$write-through$缓存，这意味着每个写请求都会更新主存。因此，$DoWr(p)$操作将值写入$cache[p]$并将写请求添加到$memQ$的尾部。当写请求到达$memQ$的头部时，动作$MemQWr$将值存储到$wmem$中。$DoWr(p)$操作还会为其他在其缓存中有相同地址副本的处理器$q$更新$cache[q]$。

处理器$p$的读请求由动作$DoRd(p)$执行，它先从缓存中获取值。如果该值不在缓存中，动作$RdMiss(p)$将该读请求添加到$memQ$的尾部，并将$ctl[p]$的值设置为“$waiting$”，当排队中的请求到达$memQ$的头部时，动作$MemQRd$读取该值并将其放入$cache[p]$，同时使能$DoRd(p)$操作。

我们可能期望$MemnQRd$操作直接从$wmem$中读取值。但是，如果读请求后面的$memQ$队列中有对该地址的写操作，则可能会导致错误。在这种情况下。该操作可能导致两个处理器在其缓存中对同一地址有不同的值：一个是读请求的处理器获取到的内存值，另一个是其后发出写请求的处理器写入的值。因此，如果$memQ$队列中存在对该地址的写入请求，则$MemQRd$从中读取最后一个写入的值，否则从$wmem$中读取值。

从处理器$p$的缓存中清除某个地址的操作是由一个单独的动作$Evict(p)$表示的。由于所有缓存的值已写入内存，清除操作只是从缓存中删除地址就够了。在空间受限之前，没有理由删除一个地址，因此在实现中，只有当从处理器$p$处接收到对未缓存地址的请求且$p$的缓存已满时，才会执行此操作。不过这只是一个性能优化，它不影响算法的正确性，所以它没有出现在规约中。在规约中，我们允许$p$在任何时候清除一个缓存的地址——除非这个地址是为一个读请求$MemQRd$操作放入缓存的，而读请求的$DoRd(p)$操作还没有被执行。这是当$ctl[p]$等于“$waiting$”，而$buf[p].adr$等于缓存地址时的情况。

动作$Req(p)$和$Rsp(p)$，分别代表处理器$p$发出一个请求和内存回给处理器$p$一个应答的操作，与内存规约的相应动作相同，除了它们还保留了新的变量$cache$和$memQ$不变，还有保持不变的是变量$wmem$而不是$mem$。

要定义所有这些动作，我们必须确定处理器缓存和内存请求队列是如何由变量$memQ$和$cache$表示的。我们令$memQ$为$⟨p,req⟩$这种形式，其中，$reg$是一个请求，$p$是发出请求的处理器。对于任何内存地址$a$，我们让$cache[p][a]$为地址$a$在$p$的$cache$中的值（$a$在$p$的$cache$中的副本）。如果$p$的缓存中没有$a$的副本，我们让缓存$cache[p][a]=NoVal$。

实际的规约我们放在模块$WriteThroughCache$中，我现在带大家过一遍这个规约，解释一些我们以前没有遇到过的细节和符号。

$EXTENDS$、声明语句和$ASSUME$大家都很熟悉了，我们这里重用了来自$InternalMernory$模块的一些定义，通过一个$INSTANCE$语句实例化了该模块的一个副本，除了用$wmem$代替$mem$，模块$InternalMemnory$的其他参数都是由模块中同名参数实例化的。

初始谓词$Init$包含合取词$M!IInit$，它断言$ctl$和$buf$具有与内部内存规约相同的初始值，而$wmem$具有与$mem$在该规约中相同的初始值。$write-through$缓存允许$ctl[p]$拥有在内部内存规约中没有的值“$waiting$”，因此我们不能重用内部内存的类型不变式$M!TypeInvariant$。因此，公式$TypeInvariant$显式地定义了$wmem$、$ctl$和$buf$的类型。$memQ$的类型是$⟨p,req⟩$键值对序列的集合。

接下来模块定义了谓词$Coherence$，声明了$write-through$缓存基本的一致性属性：对于任意处理器$p$和$p$和任意地址$a$，如果$p$和$q$的缓存中都有地址$a$的副本，那么这些副本是相等的。注意这个技巧，我们用 $x\notin \{y,z\}$而不是等价但更长的公式$(x\ne y)\wedge (x\ne z)$。



动作$Req(p)$和$Rsp(p)$表示处理器发送了一个请求和接收到一个应答，它们本质上与模块$InternalMemory$中定义的相应的动作相同。但是，它们还必须指明不存在于模块$InternalMemory$中的变量$cache$和$memQ$保持不变。

在$RdMiss$的定义中，表达式$Append(memQ，⟨p,buf[p]⟩)$是通过将元素$⟨p,buf[p]⟩$附加到$memQ$队尾而获得的序列。

动作$DoRd(p)$表示从$p$的缓存中读的操作，如果$ctl[p]="busy"$，则该地址最初位于缓存中。如果$ctl[p]="waiting"$，则该地址刚从内存中读入缓存。

动作$DoWr(p)$将值写入到$p$的缓存中，并在其他具有相同副本的处理器缓存中更新该值。它还将写请求放入$memQ$队列。在一个实现中，请求被放到总线上，总线将它传送到其他缓存和$memQ$队列。在我们对系统的高一级视图中，我们将所有这些表示为一个单一步骤。

$DoWr$的定义引入了$TLA+$的$LET/IN$结构。$LET$子句由一系列定义组成，其定义域一直延伸到$IN$子句的末尾。在$DoWr$的定义中，$LET$子句定义：在$IN$子句的范围内，$r=buf[p]$。观察$r$的定义包含了在$DoWr$定义的参数$p$。因此，我们不能把$r$的定义移到$DoWr$的定义之外。

$LET$中的定义与模块中的普通定义一样，特别是，它可以有参数。这些局部定义可以通过使用运算符替代常见的子表达式来缩短表达式。在$DoWr$的定义中，我用单独的符号$r$取代了缓冲区的五个实例，这是一个愚蠢的做法，因为它几乎没有缩短定义的长度还要求读者记住新的符号$r$的定义。但使用$LET$子句消除常见的子表达式通常可以大大缩短和简化表达式。

一个$LET$子句还可以使一个表达式更容易阅读，即使它定义的操作符只在$IN$表达式中出现一次。我们使用一系列定义来编写规约，而不是仅仅定义一个单一的整体公式，因为以小块形式呈现公式更容易让人理解。$LET$构造使得将一个公式分解成更小的部分的过程更有层次性。$LET$可以作为$IN$表达式的子表达式出现，嵌套的$LET$在大型复杂的规约中很常见。

接下来是状态函数$vmem$的定义，在其后的动作$MemQRd$的定义中会用到它。它等于执行了当前$memQ$中所有写操作之后，主存$wmem$将拥有的值。回顾一下，动作$MemQRd$读取的值必须为最接近一次的写入该地址的值——一个可能仍在$memQ$中的值，该值是$vmem$中的一个。函数$vmem$是根据递归定义的函数$f$定义的，其中$f[i]$是执行完$memQ$中的第一个$i$操作后$wmem$的值。注意，$memQ[i][2]$是序列$memQ$中的第$i$个元素$memQ[i]$的第二个组件（请求）。

接下来的两个动作$MenQWr$和$MemQRd$表示在$memQ$队列头部处理请求的操作：$MemQWr$用于写请求，$MemQRd$用于读请求。这些动作还使用$LET$来进行局部定义。在这里，$p$和$r$的定义可以在$MemQWr$的定义之前挪动。事实上，我们可以通过用一个全局定义（在模块内）替换$r$的两个本地定义来节省空间。但是，以这种方式将$r$定义为全局的话会有点分散注意力，因为$r$只用在$MemQWr$和$MemQRd$的定义中。相反，将这两个动作合并为一个可能更好。不管您是将定义放入$LET$中，还是作为全局变量，都应该取决于怎样才能使规约更易于阅读。

动作$Evict(p,a)$表示从处理器$p$的缓存中移除地址$a$的操作。如上所述，我们允许在任何时候删除一个地址，除非这个地址只是为了满足一个挂起的读请求而写的，这是当且仅当$ctl[p]="waiting"$和$buf[p].adr=a$的情况。注意在动作的第二个合取词的$EXCEPT$表达式中使用了“双下标”，这个合取词是“给$cache[p][a]$赋值$NoVal$”。如果地址$a$不在$p$的缓存中，那么$cache[p][a]$已经等于$NoVal$，一个$Evict(p,a)$步骤是一个重叠本周。

下一状态动作$Next$和完整规约$Spec$的定义很简单。该模块以下面讨论的两个定理结束。