Noethersche Induktion

Transkript

1 Noethersche Induktion 166

2 Noethersche Relationen Definition (Noethersche Relationen) Sei A A. Die Relation heißt noethersch (oder wohlfundiert, engl. well-founded) wenn es keine unendlichen -Ketten gibt:... a 3 a 2 a 1 a 0 Beispiele: < auf natürlichen Zahlen ist noethersch, aber nicht > < auf ganzen Zahlen ist nicht noethersch m n n = m + 1 ist noethersch (nicht transitiv) (echte Teilmenge) ist noethersch auf endlichen Mengen 167

3 Eigenschaften noetherscher Relationen < ist immer irreflexiv Die Relation muss nicht transitiv sein, ihre transitive Hülle ist aber auch noethersch (und transitiv) deshalb häufig o.b.d.a nur noethersche Ordnungen betrachtet Die Relation muss kein kleinstes Element besitzen. Beispiel: echte Teilmenge auf nichtleeren Mengen kleinstes Element existiert noethersch. Beispiel: < auf rationalen Zahlen 0 Wenn < noethersch und stärker, i.e. x y x < y, dann erst Recht noethersch 168

4 Bedeutung noetherscher Relationen Bedeutung: betrachte Folge der Zustände, die ein Programm durchläuft. Definiere s s : s ist Nachfolgezustand von s Dann gilt: noethersch Programm terminiert immer stärkeres Induktionsprinzip als strukturelle Induktion: noethersche Induktion eingesetzt zum Beweis der Terminierung 169

5 Beispiele für noethersche Prädikate Ordnungsprädikate: Ordnungsprädikate < von Datendefinitionen sind noethersch. Zur Erinnerung: x < y x (als Konstr.term) ist echter Unterterm von y. Z. Bsp. bei Listen : x < a + x, x < a + (b + x), x [] [] < x keine Grössenordnung, nicht: a + x < a + b + x (ausser wenn a = b) Größenordnung: Sei size : s nat. Dann ist noethersch mit x y : size(x) < size(y). Lexikalische Ordnung: Betrachte Spezifikation Pair2 von vorher. Seien < 1 : elem1 elem1 und < 2 : elem2 elem2 noethersch. Dann auch mit mkpair(a,b) mkpair(a,b ) : a < 1 a (a = a b < 2 b ). 170

6 Noethersche Induktion Satz (Noethersche Induktion) Genau für noethersche Relationen gilt: Wenn für jedes a aus E(a ) für alle Elemente a a die Aussage E(a) gefolgert werden kann, so gilt E für alle Elemente: ( a. ( a. a a E(a )) E(a)) b. E(b) Definition (Noethersche Induktionsregel) Sei y := free(γ ) \ {x} und noethersch. Induktion über x: IND( ) y. x. x x ( Γ ) x x,γ Γ speziell für Formel: y. x. x x ϕ x x ϕ ϕ 171

7 Noethersche Induktion (Beispiele) Beispiel: Natürliche Zahlen n 0. n 0 < n ϕ(n 0 ) ϕ(n) n. ϕ(n) Beispiel: Listen l 0. (l 0 l) ϕ(l 0 ) ϕ(l) l. ϕ(l) 172

8 Noethersche Induktion in KIV In KIV ist die Regel induction für noethersche Induktion vorhanden Für Variablen x eines freien Datentyps wird angeboten Ind. über vordefiniertes Ordnungsprädikat (pro Sorte eines; Induktion über x wird angeboten) Ind. über vordedefinierte Grössenfunktion (pro Sorte eine Fkt. #; Induktion über # x) Grössenfunktionen für nichtfreie Datentypen kann man mit Unit-Add HeuristicInfo addieren es ist auch möglich einen Term anzugeben, über dessen Grösse induziert wird (z.bsp. # x # y) Die Induktionshypothese wird in KIV mit Ind-Hyp abgekürzt. Goal-Again with Ind-Hyp zeigt die Induktionshypothese an. Anwendung der Induktionshypothese mit apply induction (statt all left) 173

9 Sequentielle Programme, Hoare-Logik und Dynamische Logik 174

10 Was ist ein SW-System mathematisch? 1. Sicht: operational Ein SW-System ist ein Automat mit Zustand, Zustandsübergängen und mit Abläufen. 2. Sicht: algebraisch Ein SW-System ist eine Algebra, d. h. ein System von Daten und Operationen. 175

11 Grundidee für Programme Hilfsmittel: Begriffe von Signatur, Algebra und Belegung aus der Prädikatenlogik Datentypen in den Programmen sind beliebige algebraisch spezifizierte Datentypen (daher heißen die Programme abstrakte Programme) Programmvariablen sind Variablen der Prädikatenlogik Ein Zustand eines Programms ist eine Belegung der Prädikatenlogik Kopiersemantik, d.h. Änderung an einer Variablen ändert keine andere Variablen haben keine Adressen 176

12 Programme: Syntax Programme Prog(Σ,X) (Notation: α, β, γ) parallele Zuweisung: x 1 := t 1,x 2 := t 2,...,x n := t n Variablen aus X, Terme aus T(Σ,X), kurz: x := t { α;β } (geschachtelte { } weglassen) Schleife (ε ist quantorenfreie Formel): while ε do α Fallunterscheidung: if ε then α else β lokale Variablen: let x 1 = t 1,x 2 = t 2,...,x n = t n in α das Programm, das nichts tut: skip (Abkürzung: if ε then α if ε then α else skip) das Programm, das nie terminiert: abort (kann als Abkürzung definiert werden: while true do skip) Prozeduren später 177

13 Programme: Semantik (1) Für eine Σ-Algebra A betrachtet man die Menge ST:={v v : s S X s A s } der Variablenbelegungen. Für sequentielle Programme sind nicht alle Zwischenzustände interessant, es genügt, Anfangs- und Endzustände zu betrachten. Erster Versuch: Ein Programm überführt einen Anfangszustand in einen Endzustand: [[α]] : ST ST 178

14 Programme: Semantik (1) Für eine Σ-Algebra A betrachtet man die Menge ST:={v v : s S X s A s } der Variablenbelegungen. Für sequentielle Programme sind nicht alle Zwischenzustände interessant, es genügt, Anfangs- und Endzustände zu betrachten. Erster Versuch: Ein Programm überführt einen Anfangszustand in einen Endzustand: [[α]] : ST ST Probleme mit dieser Semantik: Was ist die Semantik von abort? Wie auf indeterministische Programme erweitern? 178

15 Programme: Semantik (2) Deshalb: relationale Semantik: [[α]] ST ST (v,v ) [[α]] bedeutet: Zustand v wird von α in v überführt Wenn zu v kein v mit (v,v ) [[α]] vorhanden ist: α terminiert nicht, wenn in v gestartet Wenn {(v,v ),(v,v )} [[α]], so ist das Programm mit v gestartet indeterministisch mit 2 möglichen Endzuständen: v und v derzeit betrachtete Programme sind deterministisch: Zu jedem v höchstens ein v 179

16 Programme: Semantik (3) Man definiert die relationale Semantik eines Programmes bzgl. der Algebra A rekursiv wie folgt: [[abort]] [[skip]] [[x := t]] [[α;β]] [[if ε then α else β]] := := {(v,v) v ST} := {(v,w) w = v [[t]] A,v x } := {(u,w) es gibt v : (u,v) [[α]] und (v,w) [[β]]} := {(v,w) A,v = ε und (v,w) [[α]] oder A,v = ε und (v,w) [[β]]} [[let x = t in α]] := {(v,wx v(x) ) (v [[t]] A,v x,w) [[α]]} [[while ε do α]] := [[(if ε then α) i ; if ε then abort ]] i N wobei α 0 := skip,α i+1 := α;α i 180

17 Korrektheitsbegriffe für Programme Partielle Korrektheit: ϕ {α} ψ Falls zu Beginn ϕ gilt und α terminiert, dann gilt anschließend ψ Semantik: A = ϕ {α} ψ für jedes v mit A,v = ϕ und jedes w mit (v,w) [[α]] gilt A,w = ψ Totale Korrektheit: ϕ α ψ Falls zu Beginn ϕ gilt, dann terminiert α und anschließend gilt ψ Semantik: A = ϕ α ψ für jedes v mit A,v = ϕ gibt es w mit (v,w) [[α]] es gilt A,w = ψ 181

18 Beispiele zur Korrekheit Partielle Korrektheit: = true { x:= 2 } x = 2 = x = 2 { x:= x+1 } x = 3 = x = y { x:= x +1} x 1 = y = x = a y = b { x:= y, y := x} x = b y = a = x = 2 { abort } x > 2 Unterschied partielle und totale Korrektheit: = true { if y=0 then abort else x:=1 } x = 1 = true if y=0 then abort else x:=1 x = 1 = y 0 if y=0 then abort else x:=1 x = 1 182

19 Der Hoare-Kalkül (1) Floyd, C. A. R. Hoare, Oxford 1969 SP HC ϕ{α}ψ HC : Besteht aus Regeln zur Behandlung von Programmen und den Regeln des Sequenzenkalküls 183

20 Der Hoare-Kalkül (2) skip-regel: abort-regel: ϕ {skip} ϕ ϕ {abort} ψ Zuweisungs-Regel: ϕ t x {x := t} ϕ compound-regel: ϕ {α} χ χ {β} ψ ϕ {α;β} ψ wobei die Zwischenbedingung χ selbst gesucht werden muss. 184

21 Der Hoare-Kalkül (3) conditional-regel: while-regel: ϕ ε {α} ψ ϕ ε {β} ψ ϕ {if ε then α else β} ψ ϕ INV INV ε {α} INV INV ε ψ ϕ {while ε do α od} ψ wobei die Schleifeninvariante INV selbst gesucht werden muss 185

22 Der Hoare-Kalkül (4) Wie immer: Ist der Kalkül korrekt? Ist er sogar vollständig? Korrektheit gilt, d.h. SP HC ϕ {α} ψ Mod(SP) = ϕ {α} ψ. Aber Vollständigkeit gilt nicht, d.h. Mod(SP) = ϕ {α} ψ impliziert nicht, daß SP HC ϕ {α} ψ gilt. Gegenbeispiel? 186

23 Der Hoare-Kalkül (5) Gegenbeispiel zur Vollständigkeit des Hoare-Kalküls: Nat = data specification nat = 0 +1 (-1 : nat) end data specification x = 0 y = y 0 { while y 0 do y := y -1; x := x +1 od } x = y 0 Schleifeninvariante? x + y = y 0? Eigentlich schon, aber keine Formel in Nat. 187

24 Der Hoare-Kalkül (6) Frage: Wie ändert sich der Kalkül, wenn man totale Korrektheit betrachtet? Antwort: Überall dort, wo Nichtterminierung auftreten kann (abort und while). Ersetze also die geschweiften Klammern durch spitze und ändere die abort- und while-regel ab, um Nichtterminierung zu verhindern. Dies ergibt den totalen Hoare-Kalkül (THC ): SP THC ϕ α ψ Wie müssen die abort- und while-regel geändert werden? 188

25 Der Hoare-Kalkül (7) Bedingung bei abort-regel: Vorbedingung darf nie auftreten! abort-regel: ϕ ϕ abort ψ 189

26 Der Hoare-Kalkül (8) Bedingung bei while-regel: Schleife darf nur endlich oft durchlaufen werden! Benutze dazu noethersche Ordnung und einen Term t (z.b. Länge einer Liste), der bzgl. kleiner wird, sowie eine Variable v Var(α). while-regel: ϕ INV INV ε v = t α INV t v INV ε ψ ϕ while ε do α od ψ wobei die Schleifeninvariante INV selbst gesucht werden muss Damit ist der totale Hoare-Kalkül korrekt, aber nicht vollständig. 190

27 Dynamische Logik A. Salwicki 1970 ( algorithmische Logik ), V.R. Pratt 1976, D. Harel 1977 Idee: Erfinde nicht einfach einen komplett neuen Kalkül für neue Objekte (hier: Hoare-Tripel) sondern bilde Programmformeln und erweitere Kalkül um diese neuen Formeln. 191

28 Dynamische Logik: Syntax Die Menge DLFor(Σ,X) der DL-Formeln über der Signatur Σ und der Variablenmenge X enthält alle prädikatenlogischen Formeln von For(Σ,X) für α DLProg(Σ,X) und ψ DLFor(Σ,X) auch [α]ϕ ( box alpha phi ) Informelle Bedeutung: Wenn α terminiert, gilt nachher ϕ α ϕ ( diamond alpha phi ) Informelle Bedeutung: α hält, und nachher gilt ϕ Klassifikation: Dynamische Logik ist eine (Multi-)Modallogik. Modallogik mit Formeln ϕ (und ϕ) stammen aus der Philosophie: ich weiss ϕ ich glaube ϕ, ϕ ist möglich Temporallogik: irgendwann wird ϕ wahr sein 192

29 Bemerkungen zur Syntax Boxen und Diamonds binden stärker als Aussagenlogik: [α]ψ χ bedeutet ([α]ψ) χ Schachtelung möglich: α β ψ bedeutet α ( β ψ ) auch gemischte Schachtelung ist erlaubt: [α] x. ϕ β ψ Auch in DL betrachtet man Sequenzen, z.b. α ψ,γ. Wenn x in α vorkommt, x 0 aber nicht, so besagt α x = x 0 : Am Ende von α hat x den Wert, den x 0 jetzt hat α x = x 0 β x = x 0 bedeutet: Wann immer α in x einen Wert x 0 ausrechnet so tut das auch β Man kann in DL also über Programmähnlichkeit reden Es gilt: [α]ψ α ψ Man könnte also Box mit Hilfe von Diamond definieren 193

30 Semantik der Dynamischen Logik Die Semantik von Formeln der Prädikatenlogik wird erweitert durch A,v = [α]ψ : für alle w : (v,w) [[α]] A,w = ψ. A,v = α ψ : es gibt w : (v,w) [[α]] und A,w = ψ. Damit gilt A,v = ϕ{α}ψ A,v = ϕ [α]ψ A,v = ϕ α ψ A,v = ϕ α ψ, Hoare-Tripel sind also spezielle Formeln der Dynamischen Logik. 194

31 Dynamische Logik: Beispiele = [x := 1] x = 1 = x = x0 [x := x + 1] x = x0 + 1 = x = x0 x := x + 1 x = x0 + 1 Unterschied Box/Diamond: = x = 5 [abort] x = 5 = x = 5 abort x = 5 Sequenzen mit Programmen, Programme auch im Antezedent: = x = x0 [x := x + 1] x = x0 + 1 = x > 0 while x > 1 do x := x -1 x = 1 = if x > 0 then y := 1 else abort y = y0 y0 = 1 x > 0 = [if x > 0 then y := 1 else abort] y = y0 y0 = 1 x > 0 x = 0 195

32 Kalkül für Dynamische Logik Grundidee: Symbolische Ausführung von Programmen Betrachte Ausführung des Programms α 1 ;α 2 ;...;α n (α i ohne ; (compound) auf top-level) Annahme: initialer Zustand erfüllt Vorbedingung ϕ 0 Berechne ϕ 1, die stärkste Formel, die nach α 1 gilt Berechne ϕ 2, die stärkste Formel, die nach α 1 ;α 2 gilt... solange bis das Programm verschwunden ist Zum Schluss: Teste ob ϕ n die Nachbedingung impliziert (nur noch PL) Gegenüber Hoare-Kalkül: kein Raten von Zwischenformeln bei seq. Ausführung, Zuweisung vorwärts ausführen! Symb. Ausführung geht sowohl im Antezedent als auch im Sukzedent! 196

33 DL-Kalkül: Normalisierung normalize right normalize left Γ α β ψ, Γ α;β ψ, Γ [α][β]ψ, Γ [α;β]ψ, α β ψ,γ α;β ψ,γ [α][β]ψ,γ [α;β]ψ,γ In KIV: Nie explizit angewandt, die erste Anweisung wird bei jeder Regelanwendung (in allen Programmformeln) immer automatisch abgespalten. KIV rotiert immer die Programmformeln nach vorne. 197

34 DL-Kalkül: Zuweisungen (1) assign right (Hoare-Regel in DL) assign right (Dynamische Logik) Γ ψ τ x, Γ [x := τ]ψ, Γ,x = τ [α x x ]ψ x x, Γ [x := τ][α]ψ, wobei x eine neue Variable ist (bezeichnet den neuen Wert von x) Beachte: Programmvariablen werden umbenannt! 198

35 DL-Kalkül: Zuweisungen (2) in KIV: assign right kombiniert beide Regeln: Original-Hoare-Regel, falls nach der Zuweisung ψ kein Programm mehr enthält sonst die DL Regel Die Regel gilt genau gleich auch für Diamonds statt Boxen Die Regel für Zuweisung auf der linken Seite sieht genauso aus: assign left wobei x eine neue Variable ist x = τ,[α x x ]ψ x x,γ [x := τ][α]ψ,γ 199

36 DL-Kalkül: if Der Kalkül der dynamischen Logik besteht u.a. aus den Regeln des Hoare-Kalküls, wie z.b. if right if positive right Γ,ε [α]ψ, Γ, ε [β]ψ, Γ [if ε then α else β]ψ, Γ,ε [α]ψ, Γ ε, Γ [if ε then α else β]ψ, analog: if negative right, if left etc.. KIV versucht immer die Tests zu entscheiden (per Simplifier), damit nur eine Prämisse entsteht. 200

37 DL-Kalkül: while invariant right invariant right Γ INV, INV,ε [α]inv INV, ε ψ Γ [while ε do α]ψ, Γ INV, INV,ε,v = t α (INV t v) INV, ε ψ Γ while ε do α ψ, KIV: Die Schleifeninvariante INV und im zweiten Fall auch die Schranke t muss von Hand eingegeben werden (v ist neue Variable) 201

38 DL-Kalkül: abort abort right abort left Γ Γ abort ψ, Γ [abort]ψ, abort ψ,γ Γ [abort]ψ,γ 202

39 DL-Kalkül: skip skip right skip left Γ ψ, Γ skip ψ, Γ ψ, Γ [skip]ψ, ψ,γ skip ψ,γ ψ,γ [skip]ψ,γ 203

40 DL-Kalkül: lokale Variablen vardecls right x = τ,γ α x x ϕ Γ let x = τ in α ϕ vardecls left α x x ϕ,x = τ,γ let x = τ in α ϕ,γ x sind neue Variablen (bezeichnen die lokalen Variablen). Dieselbe Regel auch für Boxen. 204

41 Beispiel zur Korrekheit Liste nat. Zahlen x: m := x.first, x0 := x.rest; while x0 [] do { if x0.first > m then m := x0.first ; x0 := x0.rest } 205

42 Beispiel zur Korrekheit Maximum einer nichtleeren Liste nat. Zahlen x: x [] m := x.first, x0 := x.rest; while x0 [] do { if x0.first > m then m := x0.first ; x0 := x0.rest } m = maxl(x) wobei maxl([]) = 0, maxl(n + x) = max(n,maxl(x)) 205

43 Zur nächsten Aufgabe Invarianten vorher überlegen!!! 206