Лекция 20. Правильные программы. Императивные программы. Задача верификации программ... (1161890), страница 2

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 2)

. . }, {+, −, ×}, <, >, =, ≥, ≤i.Для этого достаточно установить истинность в интерпретацииI0 всех формул, стоящих в листьях построенного вывода.1. I0 |= ϕ(x, y , z) → ϕ(x, y , z)Очевидно.2. I0 |= ϕ0 (x, y , z)&¬¬(x = y ) → (z = x), т. е.I0 |= (x > 0)&(y > 0)&(x = y )&GCD(x, y , z) → (z = x).Верно.ЛОГИКА ХОАРАПример3. I0 |= ϕ0 (x, y , z)&¬(x = y )&(x > y ) →→ ϕ0 (x − y , y , z), т. е.I0 |= (x > 0)&(y > 0)&(x > y )&GCD(x, y , z) →→ (x − y > 0)&(y > 0)&GCD(x − y , y , z).Верно.4. I0 |= ϕ0 (x, y , z)&¬(x = y )&¬(x > y ) →→ ϕ0 (x, y − x, z), т. е.I0 |= (x > 0)&(y > 0)&(y > x)&GCD(x, y , z) →→ (x > 0)&(y − x > 0)&GCD(x, y − x, z).Верно.5.

I0 |= true.Очевидно.Таким образом, все листовые формулы вывода истинны винтерпретации I0 . Значит, вывод триплета ϕ0 {π0 } ψ0 являетсяуспешным выводом в интерпретации I0 .ЛОГИКА ХОАРАТеорема корректностиДля любой интерпретации I и для любого правила выводалогики ХоараΦ,ΨΦ,ϕесли I |= Ψ,I |= ϕ,Φ,Ψ1 , Ψ2I |= Ψ1 ,I |= Ψ2 ,Φ,ϕ, Ψ, ψ I |= ϕ,I |= Ψ,I |= ψ,то I |= Φ.Доказательство.Рассмотрим поочередно все правила вывода логики Хоара.ЛОГИКА ХОАРАДоказательство.ПравилоASS:ϕ{x/t} {x ⇐ t} ϕ.trueПокажем, что в любой интерпретации I верноI |= ϕ{x/t} {x ⇐ t} ϕ.(∗)Пусть θ — произвольная оценка переменных, и пустьI |= ϕ{x/t}θ.Тогда согласно операционной семантике императивныхпрограмм имеется единственное вычислениеhx ⇐ t, θi −→I h∅, ηi,и при этом η = {x/t}θ.Очевидно, I |= ϕη, и это доказывает (∗).ЛОГИКА ХОАРАДоказательство.Для остальных правил доказательство корректностипроводится по той же схеме, но более изощренно.Попробуйте завершить доказательство самостоятельно.Следствие.Если триплет ϕ{π}ψ имеет успешный в интерпретации I вывод,то программа π частично корректна в интерпретации Iотносительно предусловия ϕ и постусловия ψ.В частности, это означает, что исследованная нами программавычисления наибольшего общего частично корректна варифметической интерпретации I0 .АВТОМАТИЧЕСКАЯ ПРОВЕРКАПРАВИЛЬНОСТИ ПРОГРАММКак автоматизировать верификацию программ?Для этого нужно выяснить1.

Полна ли система правил вывода логики Хоара?2. Существует ли алгоритм построения успешного вывода?АВТОМАТИЧЕСКАЯ ПРОВЕРКАПРАВИЛЬНОСТИ ПРОГРАММВопрос о полноте правил вывода Хоара.На самом деле, здесь не один а три вопроса.1. Верно ли, что для каждой интерпретации I существуетсистема правил вывода, позволяющая для каждого триплетаΦ = ϕ{π}ψ построить успешный вывод Φ в интерпретации I идоказать его успешность в случае I |= Φ?Ответ отрицательный . Следует из теоремы Геделя о неполноте.АВТОМАТИЧЕСКАЯ ПРОВЕРКАПРАВИЛЬНОСТИ ПРОГРАММВопрос о полноте правил вывода Хоара.2.

Верно ли, что для каждой интерпретации I существуетсистема правил вывода, позволяющая для каждого триплетаΦ = ϕ{π}ψ построить успешный вывод Φ в интерпретации I(но не гарантирующая доказательства его успешности) вслучае I |= Φ?Ответ отрицательный . Базовые предикаты сигнатуры σ могутбыть недостаточно выразительными для представления всехтех отношений между переменными программы, которыенужны для построения успешного вывода.В результате не найдется нужных формул ϕ0 , ψ 0 дляприменения правилаϕ{π}ψCONS:.ϕ → ϕ0 , ϕ0 {π}ψ 0 , ψ 0 → ψАВТОМАТИЧЕСКАЯ ПРОВЕРКАПРАВИЛЬНОСТИ ПРОГРАММВопрос о полноте правил вывода Хоара.3. Верно ли, что для некоторых интерпретаций I существуетсистема правил вывода Хоара, которая позволяет для каждоготриплета Φ = ϕ{π}ψ построить успешный вывод Φ винтерпретации I в случае I |= Φ?Ответ положительный . Достаточно, чтобы для любого циклаπ = while C do π 0 od существовал такой терм tπ , что длялюбой оценки переменных θ значение терма tπ θ равно n + 1тогда и только тогда, когда цикл π в вычислении hπ, θiсовершает n итераций.АВТОМАТИЧЕСКАЯ ПРОВЕРКАПРАВИЛЬНОСТИ ПРОГРАММЧто нужно для построения успешного вывода?IНеобходимо иметь эффективный прувер для проверкиистинности формул в разных интерпретациях:I |= ϕ ..CONS:ϕ{π}ψ,ϕ → ϕ0 , ϕ0 {π}ψ 0 , ψ 0 → ψпоскольку неясно, какие формулы ϕ0 , ψ 0 нужно выбирать вкаждом случае.АВТОМАТИЧЕСКАЯ ПРОВЕРКАПРАВИЛЬНОСТИ ПРОГРАММСтратегия вывода в логике Хоара.ОпределениеПусть заданы интерпретация I , императивная программа π ипостусловие ψ.

Тогда формула ϕ0 называется слабейшимпредусловием (weakest postcondition) для программы π ипостусловия ψ, еслиI I |= ϕ0 {π}ψ,1.2. для любой формулы ϕ, если I |= ϕ{π}ψ, то I |= ϕ → ϕ0 .Слабейшее предусловие для программы π и постусловия ψусловимся обозначать wpr (π, ψ).АВТОМАТИЧЕСКАЯ ПРОВЕРКАПРАВИЛЬНОСТИ ПРОГРАММКакая польза от слабейшего предусловия?ТеоремаI |= ϕ{π}ψ ⇐⇒I |= wpr (π, ψ){π}ψ,I |= ϕ → wpr (π, ψ).Таким образом, задача построения успешного вывода сводитсяк задаче вычисления wpr (π, ψ).АВТОМАТИЧЕСКАЯ ПРОВЕРКАПРАВИЛЬНОСТИ ПРОГРАММА как вычислять слабейшее предусловие?Теоремаwpr (x ⇐ t, ψ) = ψ{x/t},wpr (π1 ; π2 , ψ) = wpr (π1 , wpr (π2 , ψ)),wpr (if C then π1 else π2 fi, ψ) =C &wpr (π1 , ψ) ∨ ¬C &wpr (π2 , ψ),ДоказательствоСамостоятельно.Таким образом, для многих операторов (программ) слабейшеепредусловие вычисляется автоматически.АВТОМАТИЧЕСКАЯ ПРОВЕРКАПРАВИЛЬНОСТИ ПРОГРАММНеужели все так просто?Увы, нет.

Главную трудность представляет оператор циклаwhile C do π od. Единственный способ верифицировать этотоператор — это воспользоваться производным правилом:WHILE-GEN:ϕ {while C do π od} (ψ).ϕ → χ, (χ&C ) {π} χ, (χ&¬C ) → ψЭто правило требует введения вспомогательной формулы χ,которая называется инвариантом цикла .

Инвариант циклазависит от программы π и условия C .Автоматическая генерация инвариантов цикла — это ключеваязадача в решении проблемы автоматической верификациипрограмм.КОНЕЦ ЛЕКЦИИ 20..

Характеристики

Список файлов лекций