{P} S {Q} {P} S {Q} {P} S {Q} Inhalt. Hoare-Kalkül. Hoare-Kalkül. Hoare-Tripel. Hoare-Tripel. Hoare-Tripel

Größe: px

Ab Seite anzeigen:

Download "{P} S {Q} {P} S {Q} {P} S {Q} Inhalt. Hoare-Kalkül. Hoare-Kalkül. Hoare-Tripel. Hoare-Tripel. Hoare-Tripel"

Juliane Ritter
vor 6 Jahren
Abrufe

1 Inhalt Hoare-Kalkül Formale Verifizierung Hoare-Kalkül while-sprache Terminierung Partielle / totale Korrektheit 4.0 Hoare-Kalkül entwickelt von C.A.R. (Tony) Hoare (britischer Informatiker), 1969 formales System zur Argumentation über Korrektheit imperativer, sequenzieller Computerprogramme sequenziell bedeutet: keine Parallelität aufgebaut auf mathematische Logik beschreibt, wie eine Codesegment den Zustand des Programms verändert P und Q sind Zusicherungen (Assertions) P: Precondition (Vorbedingung) Q: Postcondition (Nachbedingung) S ist ein Programm (eine oder mehrere Anweisungen) Interpretation: falls P vor der Ausführung von S gilt, dann gilt Q danach

2 zum Beispiel: {x = 5} x := x*2 {x > 0} {x = 5} x := x*2 {x > 5! x < 20} Notation hier Java Bedeutung {x = 5} x := x*2 {x = 10} := = Zuweisung = == Gleichheit if.. then.. else.. endif if (..) {.. } else {.. } if-anweisung while.. do.. while (..) {.. } while-schleife && und! nicht While-Programme zum Beispiel: {x = 42} y := x {y = 42} Wir benutzen eine einfache (idealisierte) Programmiersprache: die While-Sprache (idealisierte Sprachen zu benutzen ist eine beliebte Technik unter Programmiersprachentheoretikern)

3 While-Programme Wir haben: Integer-Ausdrücke Boolean-Ausdrücke Anweisungen While-Programme Integer-Ausdrücke aus Integerzahlen, Variablen und den üblichen Operatoren gebildet x (x + 17) * 2 While-Programme Boolean-Ausdrücke aus Booleankonstanten, Variablen und den üblichen Operatoren gebildet, z.b.: true B!B B & C E1 = E2 E1 < E2 While-Programme Anweisungen nur folgende: x := E C1;C2 if B then C1 else C2 endif while B do C While-Programme Beispiel: Fakultät Semantik der Anweisungen: wie gewohnt... Muss normalerweise definiert werden. n! 5! = 5 * 4 * 3 * 2 * 1 = 120 rekursive Definition: 0! = 1 (n+1)! = (n+1) * n!

Beispiel: Fakultät Beispiel: Fakultät In der While-Sprache (soll Fakultät von x berechnen und in y speichern): In der While-Sprache (soll Fakultät von x berechnen und in y speichern): Wir werden

4 Beispiel: Fakultät Beispiel: Fakultät In der While-Sprache (soll Fakultät von x berechnen und in y speichern): In der While-Sprache (soll Fakultät von x berechnen und in y speichern): Wir werden beweisen mit dem Hoare-Kalkül dass dies korrekt ist. Regeln im Hoare-Kalkül* Zuweisungsaxiom Sequenzregel if-regel Konsequenzregel while-regel (* für partielle Korrektheit) Zuweisungsaxiom { P[x/E] } x := E {P} P[x/E] ist die Aussage, die man bekommt, wenn man in P jedes Vorkommen von x durch E ersetzt. { y=99 } x := y {x=99} { y+1=16 } x := y+1 {x=16} Sequenzregel Sequenzregel {P} S {R} {R} T {Q} {P} S;T {Q} {P} S {R} {R} T {Q} {P} S;T {Q} Regeln: Wenn die oben stehenden Aussagen bewiesen sind, dann sind auch die unten stehenden Aussagen wahr. Wenn S den Zustand P in R überführt, und T den Zustand R in Q überführt, dann bringt die Ausführung von S gefolgt von T den Zustand P in Zustand Q.

5 Wenn Sequenzregel: Beispiel {P} S {R} {P} S;T {Q} { y+1=16 } x := y+1 {x=16} und { x=16 } z := x {z=16} {R} T {Q} dann: { y+1=16 } x := y+1; z := x {z=16} if-then-else-regel {P! B} S {Q}, {P! B} T {Q} {P} if B then S else T endif {Q} Konsequenzregel P " P, {P } S {Q }, Q " Q Die Konsequenzregel erlaubt es, die Vorbedingung zu verstärken und die Nachbedingung abzuschwächen. Dadurch können andere Beweisregeln angewendet werden. Z.B: Konsequenzregel { y < 2 } y := y+1 { y < 5 } Beweis: { y < 2 } { y+1 < 5 } Konsequenzregel y = y+1; { y < 5 } Zuweisungsregel while-regel {I! B} S {I} {I} while B do S {I! B} Idee hier: Wir haben eine Invariante I einen Ausdruck der sich durch die Ausführung von S nicht ändert. Schleifeninvarianten Eine Invariante ist eine Eigenschaft, die während der Ausführung des Schleifenrumpfes erhalten bleibt. Also: für Schleife while B do S ist eine Invariante jede Zusicherung I für die gilt { I B } S { I } Es gilt dann auch { I } while B do S { I }

6 Schleifeninvarianten Die Invariante zu finden, braucht menschliche Intelligenz (Einfallsreichtum,...) Für eine Zusicherung { P } while B do S { Q } wollen wir { P } { I } { I B } { Q } Wir werden normalerweise Invarianten wählen, die Beziehungen zwischen Variablen ausdrücken, die in der Schleife verändert werden. while-regel {I! B} S {I} {I} while B do S {I! B} Außerdem wissen wir, dass am Ende B wahr ist. Aber: siehe Partielle Korrektheit! Terminierung Partielle Korrektheit Es muss separat geprüft werden, ob S terminiert. Dies führt zur Unterscheidung zwischen partieller Korrektheit und totaler Korrektheit Angenommen, P ist wahr. Wenn S ausgeführt wird, und dann entweder S terminiert und Q wahr ist, oder S nicht terminiert dann ist S partiell korrekt. Totale Korrektheit Angenommen, P ist wahr. Wenn S ausgeführt wird, und es dann garantiert ist dass S terminiert und Q wahr ist dann ist S total korrekt. Totale Korrektheit Totale Korrektheit ist partielle Korrektheit plus Terminierung. Informell: Partielle Korrektheit: Falls wir eine Antwort bekommen, ist die Antwort korrekt. Totale Korrektheit: Wir bekommen immer eine korrekte Antwort.

7 Benutzung Um Programme zu beweisen, schreiben wir Zusicherungen zwischen die Anweisungen unseres Programms. Benutzung {Zusicherung1} anweisung1; {Zusicherung2} anweisung2; {Zusicherung3} anweisung3; {Zusicherung4} anweisung4; {Zusicherung5} Regel Regel Regel Regel Regel Wie soll man anfangen? Welche Preconditions? Welche Regeln anwenden? In welcher Reihenfolge? (Strategie) Automation? Regeln anwenden ist OK; Strategie ist schwer! Theorem Provers helfen mit Beweisen; Beweise müssen von Hand ausgeführt werden. Invarianten Wie finden wir Invarianten? Raten! { P } {?? } while B do { I B } Invariante S { I } { Q } Invarianten verifizieren { P } { I } Konsequenz while B do { I B } { I1 } Konsequenz S { I } { I B } { Q } Konsequenz Beispiel: Fakultät

8 Beispiel: Fakultät Post-Schleifen-Zustand prüfen { y = z! (z! x)} Konsequenz Invariante verifizieren { y = z! (z! x) } } { y = z! (z! x) } { y * z+1 = (z+1)! } { y*z = z! } Invariante verifizieren Konsequenz (leicht zu prüfen) Zuweisung Zuweisung... { y = z! (z! x) } Bisher... Pre-Schleifen-Zustand prüfen }...

9 Pre-Schleifen-Zustand prüfen { 1 = 0! } Konsequenz { y = 0! } Zuweisung Zuweisung { 1 = 0! } { y = 0! } { y = z! (z! x) } { y * z+1 = (z+1)! } { y*z = z! } { y = z! (z! x)} Nochmal alles zusammen Beweisstrategie Programm 1. Um to beweisen, raten wir erst eine Schleifeninvariante Wir wählen y = z! 2. Garantiert die Invariante am Ende der Schleife, dass y = x! ist? ja 3. Verifiziere, dass y = z! tatsächlich eine Invariante ist 4. Verifiziere, dass die Invariante vor der Schleife wahr ist Beweisstrategie (2) Schritte 3 und 4 sind ein Beweis durch Induktion Die Invariante wird bewiesen Wahl der Invarianten Die Invariante muss als Invariante bewiesen werden können Die while-regel ist wichtig für den Beweis Oft gibt die Nachbedingung nach der Schleife einen Hinweis Unsere Nachbedingung war y = x! Da am Ende z = x, und z wird in der Schleife verändert, wählen wir y = z! Totale Korrektheit

10 Korrektheit und Vollständigkeit Hoare-Kalkül ist korrekt : Alles, was bewiesen werden kann, ist korrekt Ein System ist vollständig, wenn alles, was wahr ist, bewiesen werden kann Kein formales System für Standardarithmetik ist vollständig (Gödel) (siehe auch Halteproblem )

Ähnliche Dokumente

Kurs 1612 Konzepte imperativer Programmierung Kurs 1613 Einführung in die imperative Programmierung

Kurs 1612 Konzepte imperativer Programmierung Kurs 1613 Einführung in die imperative Programmierung Aufgaben Aufgabe 1 Schreiben Sie eine PASCAL-Prozedur transponierematrix, die als Parameter eine quadratische Matrix von integer-werten erhält und diese Matrix transponiert, also die Zeilen und Spalten