Chapter A. Korrekte Programme. Korrektes Programm. Lecture Algorithmen & Datenstrukturen

Transkript

1 Chapter A Lecture Algorithmen & Datenstrukturen Berner Fachhochschule Technik und Informatik A.1 Das Programm endet nach endlich viel Zeit.

2 Das Programm endet nach endlich viel Zeit. Damit dies erfüllt ist, müssen die Vorbedingungen am Anfang des Programms erfüllt sein Wir wollen nun an Hand eines Beispiels zeigen, wie die Korrektheit bewiesen werden kann. Als Beispiel dient das binäre Suchen Zur werden wir die ssprache JML (Java Modeling Language) benutzen. Zum Beweisen der Korrektheit wird das System Why3 zur Anwendung kommen. A.3 Ein Experiment Binäres Suchen Version 1 Beispiel: Binäres Suchen 1 1 class BS1 { In der Folge werden 3 Versionen des Algorithmus vorgestellt. Bei jeder Version haben Sie Minuten um es zu studieren. Entscheiden Sie dann, welche Version(en) korrekt sind. 8 while (l < u ) { 15 if (t[l] == v) 1 return -1; A.4 A.5

3 Binäres Suchen Version Binäres Suchen Version 3 Beispiel: Binäres Suchen Beispiel: Binäres Suchen 3 1 class BS { 8 while (l <= u ) { 15 if (l <= (t.length - 1) && t[l] == v) 1 return -1; 8 while (l < u ) { 15 if (l <= (t.length - 1) && t[l] == v) 1 return -1; A.6 A. Korrekte Version Precondition und Postcondition Wir wollen nun in der korrekten Version die des Programms einfügen: Als erstes fügen wir die Preconditions ein (jml: requires). Nur die Version 3 ist korrekt. In der Version 1 gibt es einen Illegalen Indexzugriff falls der Array die Länge 0 hat. In der Version gibt es einen unendlichen Loop. Die Version 3 ist korrekt und kann auch bewiesen werden. A.8 A.9

4 Precondition und Postcondition Precondition und Postcondition Wir wollen nun in der korrekten Version die des Programms einfügen: Als erstes fügen wir die Preconditions ein (jml: requires). Nun wird die Postcondition formuliert (jml: ensures). Beispiel: Einfügen der Preconditions 0 <= i && i <= j && j < t.length ==> t[i] <= t[j]); 6 static int binary_search(int t[], int v) { int u = t.length - 1; 8 int l = 0; 9 int m; while (l < u ) { 1 m = l + (u - l) / ; 13 if (t[m] < v) l = m + 1; 14 else if (t[m] >= v) { 15 u = m; 16 } 1 } 18 if (l <= (t.length - 1) && t[l] == v) 19 return l; 0 return -1; 1 } } A.9 A.10 Precondition und Postcondition Beweisen des Programms Nun wird die Postcondition formuliert (jml: ensures). Beispiel: Einfügen der Postconditions 4 0 <= i && i <= j && j < t.length ==> t[i] <= t[j]); ensures (-1 <= \result < && (\result >= 0 ==> t[\result] == v) && (\result == -1 ==> \forall integer k; 0 <= k < t.length ==> t[k]!= v); 11 static int binary_search(int t[], int v) { 1 int u = t.length - 1; 13 int l = 0; 14 int m; while (l < u ) { 1 m = l + (u - l) / ; 18 if (t[m] < v) l = m + 1; 19 else if (t[m] >= v) { 0 u = m; 1 } } 3 if (l <= (t.length - 1) && t[l] == v) 4 return l; 5 return -1; 6 } } Wir müssen nun Beweisen, dass der Code die erfüllt. Das heisst, wir müssen zeigen, dass am Ende des Programms die Postcondition erfüllt ist. Leider kann ein Theorem prover die Aussage nicht ohne Hilfe automatisch beweisen. For allem bei Loops braucht er zusätzliche Hilfe. Dazu führen wir die Loop Invariante und die Loop Varianz ein. Loop Invariante: Dies ist eine Bedingung, die nach jeder Iteration erhalten bleibt und somit die Wirkung des Loops beschreibt. Loop Varianz: Dies ist ein Integerausdruck V >= 0. Nach jeder Iteration muss gelten: V neu < V alt. Dies zeigt, dass der Loop endet. A.10 A.11

5 Beweisen des Programms Die Schwierigkeit besteht nun darin, die geeignete Loop Invariante/Varianz zu finden. Beweisen des Programms Die Schwierigkeit besteht nun darin, die geeignete Loop Invariante/Varianz zu finden. Beispiel: Einfügen der Postconditions A <= i && i <= j && j < t.length ==> t[i] <= t[j]); ensures (-1 <= \result < && (\result >= 0 ==> t[\result] == v) && (\result == -1 ==> \forall integer k; 0 <= k < t.length ==> t[k]!= v); 11 static int binary_search(int t[], int v) { 1 int u = t.length - 1; 13 int l = 0; 14 int m; 15 /*@ loop_invariant (0 <= l) && u <= t.length - 1 && ((\exists integer k; 0 <= k < t.length && t[k] == v) ==> (\exists integer k1; l <= k1 <= u && t[k1] == v)); loop_variant u-l ; while (l < u ) { 3 m = l + (u - l) / ; 4 if (t[m] < v) l = m + 1; 5 else if (t[m] >= v) { 6 u = m; } 8 } 9 if (l <= (t.length - 1) && t[l] == v) 30 return l; 31 return -1; 3 } 33 } A.1 Beweisen des Programms 3 Bei komplizierteren Algorithmen kann es vorkommen, dass die Prover mehr Informationen nötig haben. Mit Hilfe von Assertions kann den Provers die Aufgabe erleichtert werden. In unserem Fall genügen die Angaben um die Korrektheit von binary Search zu beweisen. Ablauf: Das Programm krakatoa generiert aus der Source Proof Obligations. Diese werden nun dem Why3 System übergeben. Mit Hilfe von automatischen Prover (Alt-Ergo, Z3, Yices,... ) wird nun versucht diese Formeln zu beweisen In gewissen Fällen braucht es auch die Hilfe von interactiven Prover (Coq, Isabelle/Hol,... ). Sind alle Obligations bewiesen, so ist auch das Programm bewiesen. A.13