Der Umgang mit dem Hoare-Kalkül zur Programmverifikation

Michael Gellner
Einführung in die Verifikation
Michael Gellner
Einführung in die Verifikation
Mit der Zuweisung in der Schleife wird gemäß dem Zuweisungsaxoim verfahren:
{ I} x a[i..n]
while elems[i] x do
begin
{ IB } x elems[i..n] elems[i] x
r := x;
x elems[i + 1..n]
end;
i := i + 1;
{ I} x elems[i..n]
{ IB } x elems[i..n] (elems[i] x)
Hier stellt sich die Frage ob
x elems[i .. n] elem[i] x x elems[i + 1 .. n]
gilt. Dies läßt sich nur über eine durchaus anschauliche Logik erschließen.
x elems[i + 1 .. n] = x elems[1 .. i]
Also: Wenn x element einer Menge [i + 1 .. n] ist, kann es nicht mehr Element
einer (durchsuchten) Menge [1 .. i] sein, also auch nicht elems[i]. Tatsächlich
folgt hierraus die rechte Teilaussage, daß
elem[i] x
muß. Der linke Teil stellt ebenfalls keinen Widerspruch dar, wenn
x elems[i + 1 .. n]
gilt, dann gilt natürlich auch
x elems[i .. n]
Hier ist lediglich ein Element zuviel in der Menge, enthalten bleibt das gesuchte
Element natürlich dennoch.
Zuletzt bleibt noch die Zuweisung oberhalb der While-Schleife, die wiederum
mit dem Zuweisungsaxoim bearbeitet wird. Die Nachbedingung der
Zuweisung wird von der While-Schleife übernommen (die letzte Klausel unter
der zu bearbeitenden Zuweisung ist die Schleifeninvariante). Eine einfache
Anwendung führt auf folgende Spezifikation:
x elems [1..n]
i := 1;
{ I} x elems [i..n]
R 1
R 1
Abgleichen der
Zwischenergebnisse
Dies entspricht der Vorbedingung, die Verifikation ist damit abgeschlossen.
Die gesamte Beweisskizze:
3.6.6 Verifikation einer Multiplikation durch Aufsummierung
Die hier durchgeführte Multiplikation für z = x y ist nichts anderes als die x-
malige Aufsummierung von y, also z = y + y + y + ... (x-mal)
function mult(x, y : integer): integer;
begin
z := 0;
u := 0;
while u x do
begin
z := z + y;
u := u + 1;
end;
mult := z;
end;
{ P } x elem[1..n]
x elems [1..n]
i := 1;
{ I } x elems [i..n]
while elems[i] x do
begin
{ I B } x elems[i..n] elems[i] x
r := x;
x elems[i + 1..n]
end;
i := i + 1;
{ I } x elems[i..n]
{ I B } x elems[i..n] (elems[i] x)
{ Q } elems[i] = x
Anweisungen, die zu
verifizieren sind
1. Vor- und Nachbedingungen des gesamten Programmteils festlegen. z.B.:
R 1
R 1
R 4a
41
42