چگونه اتصالات گالوا خطاهای پنهان تبدیل اعداد را در Rust می‌گیرند؟

تصور کنید یک سیستم تجاری حساس را مدیریت می‌کنید و یک تبدیل ساده‌ی عددی، باعث سقوط کل زیرساخت در محیط تولید (Production) می‌شود. اگر هنوز از عملگر as برای تبدیل انواع عددی در Rust استفاده می‌کنید، باید بدانید که این عملگر اغلب خطاهای گرد کردن یا اشباع را به‌طور خاموش پنهان می‌کند. این موضوع در سیستم‌های توزیع‌شده یا محاسبات مالی که دقت در آن‌ها حیاتی است، می‌تواند منجر به رفتارهای تعریف‌نشده یا از دست رفتن داده‌ها شود.

طبق مستندات این پروژه، کتابخانه connections برای حل این بحران، تبدیل‌های پیش‌بینی‌ناپذیر را با اتصالات گالوا (Galois Connections) جایگزین کرده است؛ ساختارهایی ریاضی که تبدیل‌های قانونی بین انواع دارای ترتیب جزئی را تضمین می‌کنند. این کتابخانه در واقع نسخه‌ی بومی Rust از کتابخانه‌ی connections در زبان Haskell است و هدف آن فراهم آوردن چارچوبی است که در آن تبدیل‌ها دیگر صرفاً جابجایی بیت‌ها نباشند، بلکه عملیاتی با ضمانت‌های ریاضی باشند.

بسیاری از برنامه‌نویسان بر ویژگی‌های From یا Into تکیه می‌کنند، اما این‌ها فقط تبدیل یک‌طرفه هستند و هیچ تضمینی درباره‌ی نحوه‌ی حذف داده‌ها یا گرد کردن مقادیر نمی‌دهند. عملگر استاندارد as نیز درباره‌ی اشباع (Saturation) یا تبدیل‌های tổn‌زننده (Lossy conversion) سکوت می‌کند و هیچ پیامی در زمان کامپایل یا اجرا ارسال نمی‌کند. connections این تبدیل‌ها را به عنوان مقادیر درجه اول (First-class values) در نظر می‌گیرد تا هر عملیات گرد کردن یا اشباع، دارای یک ناورده (Invariant) باشد که با تست‌های ویژگی (Property-testing) اعتبارسنجویی شده است. این رویکرد، بار اثبات را از عیب‌یابی در زمان اجرا (Runtime debugging) به تأیید در زمان کامپایل (Compile-time verification) منتقل می‌کند.

فرض کنید می‌خواهید یک عدد با دقت بالای f64 را به f32 تبدیل کنید. در Rust استاندارد، مقدار (x as f32) as f64 برای بسیاری از مقادیر x با خود x برابر نیست و این تفاوت در مقیاس‌های بزرگ می‌تواند فاجعه‌بار باشد. اما با استفاده از یک Conn، به یک قطعیت ریاضی می‌رسید: برای هر اتصال در این کتابخانه، دست‌کم یکی از این دو نابرابری تست شده است:

• Galois-left: ceil(a) ≤ b اگر و تنها اگر a ≤ upper(b)
• Galois-right: lower(b) ≤ a اگر و تنها اگر b ≤ floor(a)

همان‌طور که در تحلیل‌های پیشین ما درباره‌ی ایمنی حافظه و تایپ‌های سخت‌گیرانه در Rust اشاره کردیم، جابجایی تضمین‌ها به لایه‌ی کامپایل، تنها راه کاهش خطاهای بحرانی در سیستم‌های مقیاس‌پذیر است.

زمینه‌ی نظری: اتصالات چیستند؟

یک اتصال گالوا بین پیش‌ترتیب‌های A و B، جفتی از نگاشت‌های یکنواخته‌ی f: A → B و g: B → A است، به‌طوری که f(x) ≤ y ⇔ x ≤ g(y). در این رابطه، f پیوند چپ (پایین) و g پیوند راست (بالا) است. این ساختار تضمین می‌کند که انتقال بین دو دامنه با حفظ نظم ترتیب صورت گیرد.

از نظر بصری، این ساختار شبیه به یک لنز بین مجموعه‌هاست. برای مثال، در یک اتصال با ۳ عضو، امضای هندسی این پیوندها با منحنی‌های غیرمتلاقی بین ردیف‌ها نمایش داده می‌شود. فلش‌های تک‌جهته، نگاشت‌های ساده را نشان می‌دهند (مثلاً f(1) = 1 یا g(2) = 2)، در حالی که فلش‌های دوجهته را به جفت‌هایی اختصاص می‌دهند که هر دو پیوند در آن‌ها توافق دارند (مثلاً f(3) = 3 و g(3) = 3).

این نگاشت‌ها تعیین می‌کنند که مقادیر چگونه بین دامنه‌ها جابجا شوند در حالی که ترتیب پیش‌ترتیب‌ها حفظ شود. این ساختار دقیقاً همان شکلی است که برای تبدیل‌های استاتیک و قانونی بین تایپ‌های دارای ترتیب جزئی نیاز داریم؛ مانند تبدیل f64 → f32 یا Duration → seconds یا زنجیره‌های پیچیده‌تری مثل f32 → u32 → IpAddr که در آن هر لینک را می‌توان در زمان کامپایل مشخص کرد.

پیاده‌سازی فنی: سه‌گانه پیوندی

این کتابخانه برای جلوگیری از سوءاستفاده از API و خطاهای انسانی در هنگام فراخوانی متدها، نگاشت‌ها را در تایپ‌ها و ویژگی‌های خاصی سازمان‌دهی کرده است:

• ConnL: یک ویژگی قابلیت‌محور (Capability trait) است که متدهای .ceil() (برای گرد کردن به بالا) و .upper() را ارائه می‌دهد. این ویژگی از طریق conn_l() به یک Conn<A, B, L> اشاره می‌کند و تایپ‌های مرتبط A: Copy و B: Copy را تعریف می‌نماید.
• ConnR: ویژگی متقارن که متدهای .floor() (برای گرد کردن به پایین) و .lower() را فراهم می‌کند و از طریق conn_r() به یک Conn<A, B, R> متصل می‌شود.
• ConnK: یک فوق-ویژگی (ConnL + ConnR) برای اتصالات «دو‌رو» یا دوجهته (Ambidextrous) است. این‌ها به صورت استراکچرهای نشانگر با اندازه صفر (Zero-sized marker structs) پیاده شده‌اند تا دسترسی به هر دو پیوند (چپ و راست) برای یک جفت (A, B) فراهم شود.

ساختار داخلی Conn<A, B, K> به صورت یک استراکچر تعریف شده که شامل دو اشاره‌گر به تابع (f و g) و یک تگ نوع فانتوم (Phantom kind tag) به نام K است که مقادیر آن در مجموعه {L, R} قرار دارد. این تگ تعیین می‌کند کدام API در دسترس باشد؛ برای مثال، تگ L متدهای .ceil() و .upper() را فعال می‌کند، در حالی که تگ R متدهای .floor() و .lower() را ارائه می‌دهد. این نظم ساختاری تضمین می‌کند که اگر برنامه‌نویس سعی کند متد .floor() را روی یک اتصال از نوع L فراخوانی کند، با خطای کامپایل مواجه شود.

اتصالات معمولی به صورت مقادیر pub const تعریف شده‌اند. اما اتصالات دوطرفه‌ی ConnK به صورت pub struct (تایپ‌های نشانگر) تعریف شده‌اند. این تفکیک اجازه می‌دهد برنامه‌نویس در یک نگاه متوجه شود با چه نوع اتصالی روبروست. نکته‌ی فنی این است که هیچ استراکچری در این کتابخانه سه اشاره‌گر تابع را ذخیره نمی‌کند؛ بلکه پیاده‌سازی‌های ویژگیِ این نشانگرها، به توابع آزاد (Free functions) در قلمرو ماژول ارجاع می‌دهند.

نابرابری ساندویچی

برای ساخت یک نشانگر ConnK (اتصال دوطرفه)، کتابخانه به یک «سه‌گانه پیوندی» شامل سه تابع ceil ،inner و floor نیاز دارد. علاوه بر قوانین استاندارد گالوا، این توابع باید از یک شرط سخت‌گیرانه به نام نابرابری ساندویچی پیروی کنند: برای هر مقدار a در دامنه، باید شرط floor(a) ≤ ceil(a) برقرار باشد.

این نابرابری معادل با این است که تابع inner باید «بازتاب‌دهنده‌ی ترتیب» (Order-reflecting) باشد. اگر این ویژگی نقض شود، اتصال از نظر ریاضی معکوس می‌شود. این یک شکست آکادمیک ساده نیست؛ در این حالت توابع کمکی دوطرفه مانند round() یا truncate() به‌طور فعال رفتار نادرستی نشان می‌دهند. برای مثال، اگر نابرابری ساندویچی نقض شود، متد round() ممکن است نقاط انتهایی را برابر ببیند و به اشتباه به truncate() ختم شود و مقداری را برگرداند که هیچ سیگنال داخلی مبنی بر شکست منطق ریاضی ندارد.

مثال ضرورت نابرابری ساندویچی:
موردی را در نظر بگیرید که در آن مجموعه A = {a} (تک‌عضوی) و مجموعه B = {b₁ < b₂ < b₃} باشد و تابع inner یک نگاشت ثابت باشد. در این حالت، قانون گالوا-چپ تحمیل می‌کند که ceil(a) = b₁ و قانون گالوا-راست تحمیل می‌کند که floor(a) = b₃. در اینجا می‌بینیم که floor(a) > ceil(a) است. با وجود اینکه هر دو پیوند به طور جداگانه تست‌های خود را پاس می‌کنند، اما «ساندویچ گرد کردن» معکوس شده است. این ثابت می‌کند که نابرابری ساندویچی یک الزام حیاتی برای پایداری ConnK است.

اکوسیستم تبدیل‌ها

این کتابخانه مجموعه‌ای گسترده و سازمان‌یافته از ماژول‌های تخصصی را با استفاده از پیشوندهای متمایز (برای جلوگیری از تداخل نام‌ها؛ مثل Q برای فرمت Q، I/U برای اعداد صحیح، N برای NonZero و F برای اعشار) ارائه می‌دهد:

• پایه (Core Primitives):

  • تبدیل‌های گسترش (Widening)، محدودسازی (Narrowing) و تبدیل‌های بین اعداد علامت‌دار و بدون علامت (I###I###, U###I###, U###U###, I###U###) از i008/u008 تا i128/u128 (موجود در core::{i008,…,u128}).
  • تصویرسازی‌های iN/uN ↔ NonZero<{i,u}N> از طریق I###N### و U###N###.
  • تبدیل‌های اشباع‌شونده (Saturating casts) متناسب با پهنای اشاره‌گر برای usize (از USZEU008 تا USZEU128) و isize (از ISZEI008 تا ISZEI128)؛ هرچند تبدیل‌های isize به i32/i64 به تعویق افتاده‌اند.
  • رمزگذاری‌های بایتی قابل مرتب‌سازی برای bool و اعداد صحیح (مانند U008BE01 و I128LE16 تا I128BE16) در دسترس هستند.

• اعشار و ممیز ثابت (Floating Point & Fixed Point):

  • محدودسازی اعشار: تبدیل‌های f64 ↔ f32 ↔ f16 تحت شبکه N5 از طریق F064F032, F032F016, و F064F016 در core::{f032,f064}.
  • نردبان‌های ممیز ثابت باینری فرمت-Q و پل‌های ارتباطی float → Q با استفاده از پوشاننده‌های Q###Q### برای انواع پایه از i8 تا i128 در fixed::{i008,…,u128}.
  • ایزومورفیسم‌های بین‌کتابخانه‌ای (cross-crate isos) بین Fixed{I,U}<U0> و بیت‌های نرمال شده علامت‌دار (مثلاً از Q007I008 تا Q127I128).

• زمان، شبکه و کاراکترها:

  • خانواده‌ی std::time::Duration شامل SDURU064, SDURU128, F064SDUR, و F032SDUR.
  • انواع کتابخانه time برای تقویم‌های مدنی و سطوح ساعت (DATEJDAY, TIMENANO, TIMESECS, TDURSECS و موارد دیگر).
  • دقت نانوسانی hifitime و پل‌های دوران اپوک (EUNXNANO, ETAINANO, F064ETAI, EGPSNANO) و پل‌های تقویمی مانند MONTU008 و WKDYU008.
  • اتصالات ساعت منطقی-ترکیبی (uhlc): تبدیل NTP64 به u64 (NDURU064) و پل شناسه‌ی HLC (HLIDLX16).
  • آدرس‌های شبکه شامل U032IPV4, U128IPV6 و تبدیل‌های بین نسخه‌ها مانند IPV6IPV4, IPVXIPV4, IPVXIPV6, SOVXSOV4, و SOVXSOV6.
  • تصویرسازی‌های کدپوینت char (U032CHAR) که نسبت به شکاف‌های Surrogate آگاه هستند.

تست و تأیید رسمی با SMT

هر اتصال در این کتابخانه در CI و در گیت پیش از ارسال (Pre-push gate)، تحت آزمایش‌های سخت‌گیرانه‌ی prop::conn::law_battery! قرار می‌گیرد. این شامل ۱۰ قانون ریاضی دقیق است:

• conn_galois_l/r: تعاریف اصلی پیوندها (ceil(a) ≤ b ⇔ a ≤ inner(b) و inner(b) ≤ a ⇔ b ≤ floor(a)).
• conn_closure_l/r: ویژگی‌های واحد (Unit) و هم-واحد (Counit) مانند a ≤ inner(ceil(a)).
• conn_kernel_l/r: ویژگی‌های هسته (ceil(inner(b)) ≤ b و b ≤ floor(inner(b))).
• conn_monotone_l/r: حفظ یکنوایی ترتیب (مثلاً اگر a₁ ≤ a₂ باشد، آنگاه ceil(a₁) ≤ ceil(a₂)).
• conn_idempotent: تضمین می‌کند که ترکیب inner ∘ ceil روی تصویر خود Idempotent باشد.
• conn_floor_le_ceil: به‌طور خاص برای اتصالات ConnK که inner آن‌ها یک جاسازی تزریقی (Injective embedding) است، تأیید می‌شود.

برای تایپ‌های اعشاری، از یک شبکه N5 (N5 lattice) استفاده شده که در آن NaN بازتابی است و بین ±∞ قرار می‌گیرد. مولدهای داده به‌طور عمدی روی مقادیر بحرانی مانند NaN، ±∞، ±0، اعداد زیر-نرمال (Denormals) و مقادیر مرزی ULP متمرکز هستند تا مرزهای اشباع را در هر اجرا به چالش بکشند. مولدهای ممیز ثابت نیز روی 0 و ±PREC و ±i64::MAX/PREC هدف‌گذاری شده‌اند.

فراتر از نمونه‌برداری، این پروژه از Kani (یک حل‌کننده SMT) برای تأیید رسمی (Formal Verification) استفاده می‌کند:

• اثبات کامل پهنای بیت: اعداد صحیح با پهنای ثابت، فرمت Q، NonZero و خانواده‌های iso دارای هارنس‌های Kani هستند که گزاره‌های قوانین گالوا را در کل دامنه‌ی پهنای بیت اثبات می‌کنند. این‌ها در src/kani.rs قرار دارند و پشت #[cfg(kani)] هستند تا روی بیلد‌های Release اثر نگذارند.
• سیر اعشاری ULP: به‌دلیل بزرگی فضای بیت‌های IEEE، اثبات کامل غیرممکن است. بنابراین، مسیر f64 → f32 (به‌ویژه ceil_f64_f32 / floor_f64_f32) ثابت می‌کند که همگرایی در حداکثر ۲ تکرار برای هر f64 متناهی و غیر-NaN رخ می‌دهد. این با سه سطح هارنس t0 (دامنه کامل)، t1 (|x| ≤ 1e6) و t2 (بازه binade [1, 2)) تأیید شده است.
• استثنائات: خانواده‌های usize و isize به دلیل اینکه مدل‌های CBMC در هر اجرا یک پهنای مشخص را بررسی می‌کنند، توسط proptest روی هدف میزبان پوشش داده شده‌اند. نتایج SMT اعشار را پوشش نمی‌دهند و برای تبدیل اعشار به عدد صحیح یا ممیز ثابت، از تست‌های ویژگی و یونیت-تست‌ها استفاده شده است.

گردش‌کار توسعه‌دهنده: ترکیب و ارتقاء

کتابخانه دو رویکرد اصلی (Heuristics) را برای جلوگیری از دست رفتن تضمین‌های استاتیک توصیه می‌کند:

۱. ترکیب در محل (Compose at the site): استفاده از ماکروهایی مانند compose!, compose_l, compose_r, یا compose_k برای تبدیل زنجیره‌ای از اتصالات دو-به-دو به یک Conn<Src, Dst> واحد در زمان کامپایل. یک اتصال ترکیب‌شده طبق ساختار خود، همان ویژگی‌های اجزایش را دارد. اگر متدهایی مانند .upper() یا .floor() را زودتر از موعد فراخوانی کنید، از «جبر اتصالات» خارج شده و مقداری عینی تولید می‌کنید که باعث می‌شود تضمین‌های استاتیک را از دست بدهید. توصیه می‌شود اتصالات در سطح کتابخانه اکسپورت شوند و از APIهای ConnL/ConnR/ConnK به جای توابع ساده get/set استفاده شود.

۲. ارتقاء از طریق اتصال (Lift through the Conn): یک Conn مانند یک جعبه سیاه عمل می‌کند. توابع کمکی با درجه بالاتر (مثلاً ceil2(t, h, b1, b2)) مقادیر را ابتدا از طریق پیوند بالایی g به یک دامنه‌ی با دقت بیشتر (Higher-fidelity domain) منتقل می‌کنند، سپس محاسبات ریاضی را در آن دامنه‌ی گسترده‌تر (از طریق closure h) انجام داده و در نهایت از طریق f دوباره گرد می‌کنند. برای مثال، ceil2 مقدار f(h(g(b1), g(b2))) را محاسبه می‌کند. این کار از سرریز (Overflow) یا افت دقتی که در صورت پیاده‌سازی دستی ریاضیات در یک تایپ محدودتر رخ می‌داد، جلوگیری می‌کند.

ایمنی، نصب و محدودیت‌ها

ایمنی در DNA این کتابخانه نهادینه شده است. پروژه با #![forbid(unsafe_code)] علامت‌گذاری شده، فاقد تخصیص حافظه در Heap است، از ویژگی Copy بهره می‌برد و از ساختار const پشتیبانی می‌کند.

جزئیات پیکربندی:

• MSRV: نسخه Rust 1.88 (Edition 2024). ارتقای MSRV به عنوان تغییرات نسخه‌ی Minor تلقی می‌شود؛ مثلاً اگر pin connections = "0.1" باشد، ارتقای MSRV به صورت نسخه 0.2 منتشر می‌شود تا شکست‌های پچ خاموش رخ ندهد.
• ویژگی‌های Cargo (Features):
  • fixed: فعال‌سازی نردبان‌های فرمت Q، پل‌های float→Q، ایزومورفیسم‌های Q.0 و بیت‌های نرمال شده.
  • time: فعال‌سازی اتصالات تقویم مدنی و بازه‌های زمانی با پشتیبانی کتابخانه time.
  • hifi: فعال‌سازی اتصالات Epoch و hifitime::Duration با دقت نانوسانی.
  • f16: فعال‌سازی اتصالات IEEE binary16 (نیازمند nightly #![feature(f16)]).
  • try_trait: فعال‌سازی پشتیبانی از ?-operator (Try / FromResidual) روی Interval, Extended و N5 (نیازمند nightly #![feature(try_trait_v2)]). در این حالت Interval و Extended در مرزها Short-circuit می‌کنند، اما N5 خطا‌ناپذیر (Infallible) است.
  • proptest: باز-صادرات (Re-export) استراتژی‌های connections::prop::arb برای استفاده در تست‌های پایین‌دستی.

این معماری، فرض اساسی تبدیل‌های عددی را از «امید به هم‌راستایی بیت‌ها» به «تأیید مرزهای ریاضی» تغییر می‌دهد. برای برنامه‌نویسی سیستم‌هایی که دقت در آن‌ها غیرقابل‌مذاکره است، تبدیل‌ها را از یک منبع ناپایداری به یک ناورده‌ی اثبات‌شده تبدیل می‌کند.

گام بعدی شما

• اگر در پروژه‌ی Rust خود از as برای تبدیل‌های حساس عددی استفاده می‌کنید، مستندات connections را برای جایگزینی آن با Conn بررسی کنید.
• برای تأیید رسمی توابع تبدیل شخصی خود، ابزار Kani را برای اثبات پهنای بیت (Bit-width proof) مطالعه کنید.
• از ماکروی compose! برای ساخت زنجیره‌های تبدیل بدون افت دقت استفاده کنید.

اما تأثیر این دقت ریاضی بر مدیریت حافظه در سخت‌افزارهای نسل جدید حتی پیچیده‌تر است — به تحلیل ما درباره‌ی معماری Blackwell مراجعه کنید.