第5章 程序正确性证明

程序规约的实例
例2：求两个非负整数的最大公约数。 [in a,b :integer; out y:integer] Q: {a ≥ 0 ∧ b ≥ 0} S R:{y ＝ MAX(i: 1 ≤ i ≤min(a,b) ∧ (a mod i ＝ 0) ∧ (b mod i ＝ 0))}
程序正确性定义
不变式断言法实例2

对任一给定的自然数x，计算z＝[ 整。
x ]，即计算x的平方根取
➢ 1＋3＋…(2n+1)=(n+1)2
开始
y1=n;
·A
I(x)
y3=2×y1+1;
(0,0,1)－>(y1,y2,y3)
y2= (y1+1)2
➢ 输入断言：
I(x):x>0 ➢ 输出断言：
y2+y3－>y2
·B
由程序的前置断言和后置断言两部分组成。 2、前置断言：程序执行前的输入应满足的条件，
又称为输入断言。 3、后置断言：程序执行后的输出应满足的条件，
又称为输出断言。
程序设计过程：问题 程序规约 程序
程序规约的基本分类
非形式化程序规约 非形式化程序规约采用自然语言描述程序功
能，简单、方便，但存在二义性，因此，不利于 程序的正确性证明。 形式化程序规约
程序正确性的证明方法分类
证明部分正确性的方法
A. Floyd的不变式断言法 B. Manna的子目标断言法 C. Hoare的公理化方法
终止性证明的方法
A. Floyd的良序集方法 B. Knuth的计数器方法 C.Manna等人的不动点方法
完全正确性的方法
A. Hoare公理化方法的推广 B. Burstall的间发断言法 C. Dijkstra的弱谓词变换方法以及强验证方法
程序：
q＝0；r＝x；
while( r ≥ y) //该循环不变式断言：
{
//(x＝y×q＋r )∧ r ≥ 0
r ＝ r－y；
q ＝ q＋1；
}
5.2 不变式断言法
证明步骤：
➢ 1、建立断言 建立程序的输入、输出断言，如果程序中有循环出现 的话，在循环中选取一个断点，在断点处建立一个循 环不变式断言。
通路2：
若y1>y2, gcd(y1-y2,y2) = gcd(y1,y2) =gcd(x1,x2)
通路3:
若y2>y1, gcd(y1,y2)=gcd(y1,y2-y1) =gcd(x1,x2)
通路4:
若y1=y2,gcd(y1,y2) =gcd(x1,x2)=y1=y2=z P(x1,x2,y1,y2) ∧ y1=y2 => O(x1,x2,z)
检验条件3 y12 ≤x ∧ y2=(y1+1)2 ∧y3 = 2y1+1 ∧ y2>x => y12 ≤x<(y1+1)2 证明： y12 ≤x x<y2,y2=(y1+1)2 =>x<(y1+1)2
作业
课本P174习题1、习题2。要求用不变式断言法 证明。
第5章 程序正确性证明
5.1程序正确性验证概述 5.2不变式断言法 5.3子目标断言法 5.4界函数法－－计数器法
采用数学化的语言描述程序功能，描述精确， 无二义性，便于程序的正确性证明。
程序规约的实例
在书写程序规约时，使用Q表示前置断言，R表 示后置断言，S表示问题求解的实现程序。在前 置断言Q之前，还必须给出Q和R中所出现的标 识符的必要说明。
例1：求数组b[0 : n-1]中所有元素的最大值。 [in n:integer; in b[0:n-1]:array of integer; out y:integer] Q: {n ≥ 1} S R:{y ＝ MAX(i: 0 ≤ i ＜ n; b[i])}
不变式断言法
例：设x,y为非负整数， 求x,y的最大公约数z的 程序，即z=gcd(x,y)。
第5章 程序正确性证明
5.1程序正确性验证概述 5.2不变式断言法 5.3子目标断言法 5.4界函数法－－计数器法
循环不变式断言
把反映循环变量的变化规律，且在每次循环体的 执行前后均为真的逻辑表达式称为该循环的不变 式断言。
例 带余整数除法问题：设x为非负整数，y为正整数，求
x除以y的商q，以及余数r。
第5章 程序正确性证明
5.1程序正确性验证概述 5.2不变式断言法 5.3子目标断言法 5.4界函数法－－计数器法
5.1 程序正确性概述
什么样的程序才是正确的？ 如何来保证程序是正确的？
关于程序正确性的认识
什么样的程序才是正确的？ “测试”或“调试”方法
根据问题的特性和软件所要实现的功能，选 择一些具有代表性的数据，设计测试用例。通 过用例程序执行，去发现被测试程序的错误。
程序正确性定义
程序规约Q{S}R是一个逻辑表达式，其取值为真或 假。 其中取值为真的含义是指：给定一段程序S，若 程序开始执行之前Q为真，S的执行将终止，且终止 时R为真，则称为 “程序S，关于前置断言Q和后置 断言R是完全正确的”。
程序正确性定义
部分正确： 若对于每个使得Q(i)为真，并且程序S计算终止的输入信 息i，R(i,S(i))都为真，则称程序S关于Q和R是部分正确的。
例：设x,y为正整数，求x,y的最大公约数z的程序，即 z=gcd(x,y)。
Function gcd(x1,x2:integer);
var y1,y2,z : Integer; Begin
y1:=x1;y2:=x2;
START (x1,x2)－>(y1,y2)
while (y1<>y2) do if (y1>y2)
程序终止： 若对于每个使得Q(i)为真的输入i，程序S的计算都终止， 则称程序S关于Q是终止的。
完全正确： 若对于每个使得Q(i)为真的输入信息i，程序S的计算都将 终止，并且R(i,S(i))都为真，则称程序S关于Q和R是完全 正确的。
一个程序的完全正确，等价于该程序是部分正确，同时 又是终止的。
x ∧ y2+y3+2=(y1+1+1) 2 ∧ y3+2=2(y1+1)+1
通路3：B->C
P(x,y1,y2,y3) ∧ y2>x =>O(x,y1) y12 ≤ x ∧ y2=(y1+1)2 ∧y3 = 2y1+1∧ y2>x =>
y12 ≤ x<(y1+1)2
不变式断言法实例2
检验条件2 y12 ≤ x ∧ y2=(y1+1)2 ∧ y3 = 2y1+1 ∧ y2 ≤ x => (y1+1) 2 ≤ x ∧ y2+y3+2=(y1+1+1) 2 ∧ y3+2=2(y1+1)+1 证明： x≥(y1+1)2 ——(y2 ≤ x , y2=(y1+1)2 ) y2+y3+2 = (y1+1)2 + 2y1 + 1+2 = (y1+1)2 +2 (y1+1)+1= (y1+1+1)2 y3+2=2y1+1+2=2(y1+1)+1
方法，解决了断言构造难的问题，可从程序规约 推导出正确程序，使正确性证明变得实用。
程序正确性理论是十分活跃的课题，不仅可 以证明顺序程序的正确性，而且还可以证明非确 定性程序，以及并行程序的正确性。
程序正确性理论
程序设计的一般过程
程序正确性理论
程序功能的精确描述 1、程序规约：对程序所实现功能的精确描述，
循环不变式断言： P(x1,x2,y1,y2): x1>0 ∧ x2>0 ∧ y1>0 ∧ y2>0 ∧ gcd(y1,y2)=gcd(x1,x2)
通路划分： 通路1：a->b 通路2：b->d->b
START
·a
I(x1,x2)
(x1,x2)->(y1,y2)
·b
P(x1,x2,y1,y2)
y1<>y2
P(x,y1,y2,y3)
O(x,z):z2 ≤ x<(z+1)2 ➢ 循环不变式：
P(x,y1,y2,y3)：
· D
y 2≤ x
F
T
y1－>z
·C O(∧
(y1+1,y3+2)－>(y1,y3)
结束
y3 = 2y1+1
不变式断言法实例2
检验条件：I ∧ R => O
T
·Fg
z:=y1
·c O(x1,x2,z)
T y1>y2
d·
F
STOP
e·
y1:=y1-y2
y2:=y2-y1
通路3：b->e->b
通路4：b->g->c
不变式断言法实例1(建立检验条件)
检验条件： I ∧ R => O 通路1：
I(x1,x2)=> P(x1,x2,y1,y2) x1>0 ∧ x2>0 =>
=> x1>0 ∧ x2>0 ∧ y1-y2>0 ∧ y2>0 ∧ gcd(y1-y2,y2)=gcd(x1,x2)
不变式断言法实例1(建立检验条件)
通路3：
P(x1,x2,y1,y2) ∧ y1<>y2 ∧y1<y2 => P(x1,x2,y1,y2-y1)