程序设计方法学PPT课件

2024/6/6
8
⑵ 代数方法
通过联系不同的操作间的行为关系给出操作的隐 式定义，未给出并发的显式表示。
如：OBJ、Larch
⑶ 过程代数方法
给出并发过程的一个显式模型，并通过过程间允 许的可观察的通信上的限制来约束表示行为。
如：CSP（通信顺序进程）和CCS（通信系统计算）
⑷ 基于逻辑的方法
采用逻辑来描述系统的特性，包括程序行为的低 级规范和系统时间的行为规范。
– 形式化的级别，应先确定应用的关键程度、项 目规模、可用资源等确定采用非、半或高度形 式化的描述
2024/6/6
22
– 使用范围，尽管形式化可以适应所有的开发阶 段，但通常应有选择的使用，对那些安全性、 可信性要求高的构件应用高度的形式化
– 工具，工具的支持在形式化方法中具有重要的 位置，应根据具体项目，综合上述因素选择合 适的工具
(1) 双重类：此类方法兼具二者的特点，如：扩展状 态机/实时时态逻辑等。
Байду номын сангаас
2024/6/6
14
形式化规范的成功案例
• IBM商用信息系统，牛津大学和Hursley实验室使用Z 语言。总体成本降低9％，获皇家技术成就奖。
• Praxis公司使用VDM开发的伦敦机场信息显示系统， 软件质量大为提高，故障率0.75(2~20)每K行代码。
2024/6/6
21
五、认识
• 形式化方法成长至今争议声不断，应正确地认识 形式化方法，在结合到具体的软件开发过程时应 考虑：
– 应用的类型，考虑问题领域的特点和模型的复 杂性
– 规模和结构，较适应中等规模的系统，大型系 统应考虑具有良好的结构
– 类型的选择，应从所确定的目标出发考虑采用 的形式化方法的类型
• 操作类：此类方法基于状态和转移，通过可执行 模型来描述系统，模型本身能够采用静态分析和
模型执行而得到验证。如：有限状态机、 Statecharts、Petri网等。
• 描述类：此类方法基于数学公理和概念，通过逻 辑或代数给出系统状态空间，具有高度抽象的特
点，便于通过自动工具进行验证。如：基于代数 的Z、VDM、Larch等，基于逻辑的命题线性时态 逻辑、一阶线性时态逻辑、计算树逻辑等。
– 交互式定理证明系统需要与用户进行交互，要 求用户能提供验证中创造性最强的部分（如断 言等），因此效率较低，较难用于大系统的验 证。
2024/6/6
18
– 现有的定理证明器有：
– 用户导引自动推理工具，如：ACL2，Eves、 LP、Nqthn和RRL等它们由引理或定义序列导 引，每一个定理采用已建立的推演、引理驱动 重写和简化启发式来自动证明。
• 开发过程中的任务为：
• 模型获取：从现实世界向模型表示的过程，涉及如何 提取、表示模型。对应需求分析、设计等活动。
• 模型验证：对得到的模型表示进行检验，判断是否捕 获了所有的需求，该模型是否具有所期望的特性。
(1) 模型变换：是向计算机系统变换的过程， 关键的任 务是一致性检测。对应实现和测试。
2024/6/6
5
• 因此，形式化方法是在软件系统的开发过程中使用 一种形式系统来表示模型的方法。
• 形式系统是二元组（L，Cn） – L：语言（形式规范语言）
– Cn：对应关系，由推理规则构成 • 在软件规范方法方面的代表性成果有：
⑴ 基于异调代数的代数方法
特点：用抽象代数中的公理化方法来刻画抽象数 据类型中运算的性质，而不涉及数据的具 体表示。
• 从软件功能、性能规范 软件设计 从“做什么” “如何做“
• 从软件设计规范 高级语言 已有相当的进展，出现了许多工具……
2024/6/6
3
§1 概述
一、重要意义 • 软件发展中的问题：
– 整体功能不强、缺乏智能、质量欠佳、生产效 率低
– 软件自动化是提高软件生产率的根本途径 – 软件自动化的前提是形式化 • 因此将形式化的理论和方法用于需求分析与规格 说明是实现软件自动化的前提
行为一致检验工具，如：FRD、Cospan/Formal Check等
复合检验工具，如：HSIS、VIS、STcP等
– 贝尔实验室用FormalCheck对其高级数据链路控 制器进行验证，从6个性能的规范中发现一个失 败，进而发现一个影响信道流量的Bug。
– 基于SMV输入语言建立了IEEE Futurebus＋－ 1991标准下cache一致协议精确模型，通过SMV 的验证，发现了原先未找到和潜在的错误。此工 作是第一次从IEEE标准中发现错误。
2024/6/6
7
• 在软件规范语言方面的代表性成果有： – 一阶谓词演算组成语言 – 80年代：Z语言、Larch语言、VDM语言 – 90年代：面向实时及分布式的LOTOS语言、 面向对象的Z++、Object-Z、VDM++等
三、分类 ⑴ 基于模型的方法
给出系统（程序）状态和状态变换与操作的显式的 表示但亦是抽象的定义，不涉及并发的行为。 如：Z、VDM
– 有序二叉决策图（Ordered Binary Decision Diagrams) 是一种表述状态转移系统的高效率 的方法。目前可以处理100～200个状态变量、 状态数达10120的系统。
2024/6/6
16
– 模型检验需要工具的支持，已有的工具有：
时态逻辑模型检验工具，如：EMC、CESAR、 SMV、Nurphi、SPIN、UV等。
作用：定义了类型的语义 限制说明－给出各种限制，防止二义性
作用：和语义定义一起给出重写规则 基础抽象是整数集，函数定义了它们之间的相互关系，
这样规范的值与函数形成一个抽象代数。
2024/6/6
26
• 形式定义：
代数规范是三元组（S、、E） 其中：S、 是标记，S是类集，是操作集，E是有 限个方程的集合，形式为L=R，其中L、RS，称 为项。
式规范后就进行形式验证。
– 形式验证主要技术包括模型检验和定理证明。
• 模型验证是一种基于有限状态机模型并检验该模 型的期望特性的技术。即对模型的状态空间进行
搜索，以确认该系统具有某些性质。终止性依赖
于模型的有限性。优点是：完全自动化、速度快，
可用于系统的部分规范。缺点是：“状态爆炸问 题”因而极大地限制其实际使用范围。
如：时态逻辑、模态逻辑
2024/6/6
9
⑸ 基于网络的方法 根据网络中的数据流显式地给出系统的并发模
型，包括数据从一个结点流向另一个结点的条件。 如：Petri网、谓词变换网
2024/6/6
10
四、形式化软件开发方法
• 采用软件生命周期的变换模型，其实质是将现实世界 的需求反映成软件的模型化过程。涉及三方面模型： 现实世界，模型表示和计算机系统。因此开发的过程 就是从三方面对系统进行描述和转换的过程。
– 证明检验器，如：Coq、HOL、LEGO等。
– 复合证明器，如：Analytica中将定理证明和符 号代数系统Mathematica复合，PVS和Step将决 策过程，模型检验和交互式证明复合在一起。
– 基于符号代数运算的自动证明用于证明Pentium 中SRT算法的正确性，查出了一个由故障商数 字选择表引起的错误
基本理论：代数语义
2024/6/6
6
⑵ 抽象模型方法
特点：基于某些已知的ADT来给出待定义的 ADT的抽象模型，用抽象模型来刻画待 定义的ADT中运算的功能。
基本理论：指称语义
⑶ 状态机方法
特点：通过状态的转换来刻画输入与输出间的 关系
基本理论：操作语义
⑷ 高阶软件方法（HOS） 基于控制公理
基本理论：公理语义
– 按这种观点，程序开发的过程就是从最高层的 程序开始，通过一系列的求精变换，每一次都 降低一些抽象程度或增加一些可执行性，最终 得到能指导计算机明确执行的程序代码。
2024/6/6
20
– 在进行求精的过程中必须要保证程序的正确性， 即保证程序是满足最初的形式规范的。
– 程序的这种正确性可以通过求精过程中所遵循的 一系列规则来保证，也可以采用验证工具来证明。
重要方向
攻克的关键教技术
网络体系 集成芯片 虚拟计算 软件工程 知识处理 高效系统
传感器网与因特网的高效融合 从System on chip到Chip on demount 资源聚合的有效性和可靠性验证 基于网络环境的需求工程 挖掘从消息到知识到决策的元知识 在高性（效）能计算系统中系列关注
信息安全
• 其他领域：
– 数据库：HP医用仪器实时数据库系统
– 电子仪器：Tektronix系列谐波发生器
– 硬件：INMOS浮点处理器、INMOS中T9000系列 虚拟信道处理器
– 运输系统：巴黎地铁自动火车保护系统、以色列机 载航空电子软件等等
2024/6/6
15
• 形式化验证
– 软件开发中错误发现的越晚修改的代价越大， 与传统方法不同的是形式化方法要求在完成形
(1) 。。。。
2024/6/6
19
• 程序求精（又称程序变换）
是将自动推理和形式化方法相结合而形成的一门 新技术，研究从抽象的形式规范推演出具体的面 向计算机的程序代码的全过程。
– 基本思想是：用一个抽象程度低、过程性强的 程序去替代一个抽象程度高、过程性弱的程序， 并保持二者功能的一致性。这儿的“程序”是 广义的“程序”，是对规范、设计文档、程序 代码的统称。
2024/6/6
23
2024/6/6
24
结论：
形式化的方法不是灵丹妙药， 而是一种改进系统可靠性的方法。
2024/6/6
25
§2.基于代数方法的规范语言－OBJ
• 该方法的理论工作由Guttage提出 • 基本格式： （语法定义、语义定义、限制说明） 语法定义－指出类型的语法信息和检查信息
作用：定义了类型与函数 语义定义－指出了类型和操作间的公理
– 程序求精技术是形式化方法研究的一个热点，尽 管目前真正用于实际软件开发过程中并不多，但 是这是一个很重要的方向。
– 典型的方法有：IBM Hursley公司和牛津大学 PRG程序设计研究组提出的针对Z规范的求精方 法，Carroll Morgan的规则求精方案（见 Programming from Specifications一书）。
信息教育
2024/6/6
1
创跨
新越
根源
植之
汪 成
辨 短
识 规
为 院
长
律
士
2024/6/6
2
软件自动化的三个层次
• 软件自动化（自动程序设计） 广义：尽可能地借助计算机系统实现软件开发
狭义：从形式化的软件功能规范到可执行程序代码 这一过程的自动化
• 从软件需求规范 软件功能、性能规范的转换 解决从 “非形式” “形式” 难度很大，寄希望于受限自然语言方面的突破
2024/6/6
4
二、发展状况
• 有30多年历史 Dijkstra、Hoare ――――程序验证 Scott、Stratchey ――――程序语义
• 形式化方法(Formal Method)： 通过严格的规范化的数学理论来描述软件系统“做 什么”的方法。需要形式规范语言的支持。
• 形式规范语言： 提供了一个称为语法域的记号系统。一个称为语义 域的目标集合，以及一组精确定义的哪些目标系统 满足那个规范的规则。
2024/6/6
17
• 定理证明采用逻辑公式来规范系统及其性质，这 儿的逻辑由一个具有公理或推理规则的形式系统 给出，进行定理证明的过程就是应用这些公理或 推理规则来证明系统具有某些性质。
– 定理证明可以处理无限状态空间问题，粗略地 分为自动和交互两种类型，
– 自动定理证明系统是通用搜索过程，在解决各 种组合问题中比较成功。
2024/6/6
11
• 三项任务分别对应三方面的活动：
1. 形式化规范（规格）：
– 软件规范是指对软件系统对象及用来对系统对 象进行操作的方法的集合。以及对所开发系统 中的各对象在生命周期间的集体行为的描述。
– 对应与软件生命周期的各个阶段，规范应该理 解为是一个多阶段的行为。见例图
– 规范可以采用非、半形式化的方法来描述，形 式化规范精确地描述了用户的需求、软件系统 的功能及各种性质，其描述的是“做什么”， 而不考虑“如何做”。因此，在理解、掌握形 式规范语言和方法的基础上对所描述的系统的 全面、深入的了解，给出恰如其分的描述上至 关重要的。
2024/6/6
12
包含各规格阶段的生命周期模型例
需求分析 SRD BS
系统设计1
DS
软件开发
PS
系统设计2
代码实现
软件测试
运行
SRD：软件需求文档 DS：设计规范
2024/6/6
BS：行为规范 PS：程序规范
13
软件系统规范的形式化方法
• 从形式化规范到目标软件系统的可实现和可执行 角度，可分为三类：