panic: panic/Never와 내장 테스트 — 문법을 먼저 고치고 대조 장치가 파서를 지적했다

순서가 요점이다. 문법에 test_decl과 panic_expr을 넣고 파서는 안 고친 채로
대조 장치를 돌렸더니 즉시 잡혔다:

  문장 300개 중 파서가 거부한 것 140개
  [1] 선언 (fn, struct, enum, capability, const)이(가) 필요합니다 — test 발견

파서를 따라가게 하니 다시 0건. 문법과 구현이 어긋나는 상태가 관측 가능한
것이 되었다는 뜻이다.

panic:
- 키워드다. prelude가 없어 함수로 두면 쓸 때마다 import해야 한다
- effect가 아니다. 경계 검사 하나에 {Panic}이 호출자 전부로 전염되면
  effect 절은 신호가 아니라 잡음이 된다
- Never는 어떤 타입 자리에도 놓인다. 없으면 panic을 match 팔에서 못 쓴다
- 언어 수준 recover 없음. 되감기 없음. 자원 해제 여부는 열어둔다
- 0으로 나누기, assert 실패가 이 하나로 모인다

test:
- 파라미터가 없어 capability를 받을 수 없고, 만들 문법도 없다. 그래서
  effect-free임이 증명된다 — 관례가 아니라 검사다. 시험해 보니 실제로
  "테스트는 effect를 수행할 수 없습니다"로 거부한다
- 일반 코드와 같은 타입/effect/move 검사를 받는다
- interface hash에서 제외 — 테스트를 고쳤다고 downstream이 재검사되면 안 된다
- 격리는 런타임의 일이다. 하나가 죽어도 나머지는 돈다

assert는 std/test.cool에 coollang으로 쓰였다 — panic 위의 설탕임이 코드로
보이고, std에서 본문이 있는 첫 함수가 됐다. 그 바람에 std/런타임 양방향
테스트가 걸렸고(본문 있는 함수에 런타임 구현을 요구했다), 그 구분을 넣었다.

samples/app/config.cool에 첫 테스트 넷.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_019ZVDeU6KLuUVL3gs18Hm3E

docs/grammar.ebnf

@@ -55,7 +55,7 @@
  *   "pub" | "fn" | "struct" | "enum" | "capability" | "const" |
  *   "import" | "as" | "reexport" | "let" | "mut" | "own" | "affine" |
  *   "copyable" | "effects" | "return" | "if" | "else" | "match" |
- *   "scope" | "true" | "false"
+ *   "scope" | "panic" | "test" | "true" | "false"
  (* 생성 끝 *)
  *
  * 다중 줄 목록(파라미터, 인자, 필드, variant, 리스트 리터럴)은 후행 콤마가
@@ -98,11 +98,20 @@ brace_rest<item> = [ NEWLINE ] ,
 (* ------------------------------------------------------------------ *)
 
 module         = [ NEWLINE ] , { item } ;
-item           = ( import | reexport | decl ) , [ NEWLINE ] ;
+item           = ( import | reexport | test_decl | decl ) , [ NEWLINE ] ;
 
 import         = "import" , string_lit , "as" , ident ;
 reexport       = "reexport" , ident ;
 
+(* 테스트는 프로그램의 일부이고 같은 검사를 받는다. pub이 없다 — 밖에서
+ * 부르는 것이 아니다. 이름이 필수인 이유는 실패했을 때 무엇이 깨졌는지
+ * 말해야 하기 때문이다.
+ * 파라미터가 없으므로 capability를 받을 수 없고, capability를 만드는 문법도
+ * 없다. 따라서 테스트는 effect-free임이 증명된다 — 관례가 아니라 검사다.
+ * 그 결과 순서에 의존하지 않고, 병렬로 돌려도 같고, 캐시할 수 있다.
+ * interface hash에는 들어가지 않는다 (함수 본문과 같은 이유) *)
+test_decl      = "test" , string_lit , block ;
+
 decl           = [ "pub" ] , ( fn_decl | struct_decl | enum_decl
                              | capability_decl | const_decl ) ;
 
@@ -235,8 +244,26 @@ primary<s>     = literal
                | match_expr
                | scope_expr
                | "(" , expr , ")"
+               | panic_expr
                | name_or_struct<s> ;
 
+(* panic은 복구 불가능한 실패다. 되돌아올 수 없으므로 타입이 Never이고,
+ * Never는 어떤 타입 자리에도 놓일 수 있다 — 그래야 match 팔에서 쓸 수 있다.
+ *
+ * effect가 아니다. 경계 검사 하나 넣었다고 {Panic}이 호출자 전부로
+ * 전염되면 effect 절은 신호가 아니라 잡음이 된다. 발산이 effect가 아닌
+ * 것과 같은 이유다 — 무한 루프도 추적하지 않는다.
+ *
+ * 언어 수준 recover가 없다. 붙잡는 것이 있으면 그것은 예외이고, 예외는
+ * 시그니처에 안 적히므로 철학 1과 충돌한다. 런타임은 격리 경계를 가질 수
+ * 있다 (테스트 러너가 첫 사례).
+ *
+ * 되감기를 하지 않는다. panic 시 자원 해제 여부는 자원 모델과 함께
+ * 결정한다 — 지금은 열어둔다.
+ *
+ * 키워드인 이유: prelude가 없어서 함수로 두면 쓸 때마다 import해야 한다 *)
+panic_expr     = "panic" , "(" , expr , ")" ;
+
 (* ident 하나로는 이름인지 struct 리터럴인지 갈리지 않는다. "{"를 보고
  * 갈리므로 왼쪽으로 인수분해해 적는다 — 파서가 실제로 하는 일이다 *)
 name_or_struct<yes> = ident , [ struct_body ] ;

docs/thesis.md

@@ -338,6 +338,40 @@ L2 빠른 테스트 / L3 fuzzing / L4 formal proof → 요청 시, 분리 실행
 invalidation 범위를 넓히는가? / unrelated code 의미를 바꾸는가? /
 기존 개념의 중복 표현인가? → 강한 이유 없으면 거절
 
+■ 복구 불가능한 실패 — panic
+panic(message) -> Never. 키워드다 (prelude가 없어 함수로 두면 매번 import).
+- effect가 아니다. 경계 검사 하나에 {Panic}이 호출자 전부로 전염되면
+  effect 절은 신호가 아니라 잡음이 된다. 발산이 effect가 아닌 것과 같은
+  이유다 — 무한 루프도 추적하지 않는다.
+- Never는 어떤 타입 자리에도 놓인다. 그래야 match 팔에서 쓸 수 있고,
+  그게 없으면 panic은 식 자리에서 못 쓴다.
+- 언어 수준 recover가 없다. 붙잡는 것이 있으면 그것은 예외이고, 예외는
+  시그니처에 안 적히므로 철학 1과 충돌한다.
+  런타임은 격리 경계를 가질 수 있다 — 테스트 러너가 첫 사례이고, 서버가
+  두 번째가 될 것이다. 죽은 것을 되살리는 게 아니라 죽었음을 관찰한다.
+- 되감기를 하지 않는다. ※ panic 시 자원 해제 여부는 자원 모델과 함께
+  결정한다 — 지금은 열어둔다.
+- 0으로 나누기, assert 실패, 미래의 범위·오버플로가 전부 이 하나로 모인다.
+※ panic은 프로그램의 버그를 말한다. 예상되는 실패는 Result다. 호출자가
+   대처할 수 있는 것을 panic으로 처리하면 오용이다.
+
+■ 내장 테스트
+test "이름" { ... }. 파라미터가 없으므로 capability를 받을 수 없고,
+capability를 만드는 문법도 없다. 따라서 effect-free임이 증명된다 —
+관례가 아니라 검사다. 그 결과:
+- 파일도 시계도 못 건드린다. 같은 입력이면 같은 결과다
+- 순서에 의존하지 않고 병렬로 돌려도 같다 → 결과를 캐시할 수 있다
+  (인터페이스 해시가 안 변하면 재검사하지 않는 것과 같은 논리)
+- 자원을 가질 수 없다 (획득에 effect가 필요하므로). 그래서 "테스트가
+  죽으면 자원은?"이라는 질문이 애초에 생기지 않는다
+interface hash에 들어가지 않는다 — 테스트를 고쳤다고 downstream이
+재검사되면 안 된다.
+컴파일 타임 메타프로그래밍 없음. assert는 std/test.cool에 coollang으로
+쓰인다 (panic 위의 설탕) — std에서 본문이 있는 첫 함수다. 실패 메시지에
+값이 안 나오는 것은 의도다. 표현식 텍스트를 잡으려면 매크로가 필요하다.
+※ effect 있는 코드는 테스트할 수 없다. 가짜 capability를 만드는 수단이
+   없기 때문이다. 실제로 불편해진 뒤에 판단한다.
+
 ■ lint (오류다, 경고가 아니다)
 - 미사용 import: 쓰지 않는 모듈의 시그니처가 바뀌면 이 모듈이 재검사된다.
   증분 루프의 비용을 이유 없이 넓히는 선언은 남겨둘 수 없다.