Der Umgang mit dem Hoare-Kalkül zur Programmverifikation

Michael Gellner
Einführung in die Verifikation
Michael Gellner
Einführung in die Verifikation
3. Mit der äußersten umfassenden Anweisung von unten beginnen. Dies ist
hier die äußere While-Schleife, daher wird hier nach Regel R 4a vorgegangen:
Hierzu muß wieder eine Invariante gefunden werden. Hier folgt die Invariante
aus einer Überlegung: ein Teiler kann nicht 0 sein, da die Division durch 0
nicht definiert ist (liegen etwa zwei Primzahlen vor, ist der größte gemeinsame
Teiler 1). Des Weiteren entspricht der gesuchte Teiler ggT(x, y) immer
ggT(a,b). Hieraus wird die Invariante gebildet (die Schleifenbedingung B und
deren Verneinung B):
IB: a > 0 b > 0 ggT(x, y) = ggT(a ,b) a b
while b > a do
begin
{ I } a > 0 b > 0 ggT(x, y) = ggT(a, b))
{ IB } a>0 b>0 ggT(x, y) = ggT(a, b)) b > a
a > 0 b – a > 0 ggT(x, y) = ggT(a, b – a )) R 1
r :=
b := b - a;
x;
2
end
{ I } a > 0 b > 0 ggT(x, y) = ggT(a, b))
R 4a
1
IB: a > 0 b > 0 ggT(x, y) = ggT(a ,b) a b)
{ IB } a > 0 b > 0 ggT(x, y) = ggT(a, b) ) (b > a)
while a b do
begin
{ I} a > 0 b> 0 ggT(x, y) = ggT(a, b)
{ IB } a>0b>0 ggT(x,y)=ggT(a,b)a b
r
while a > b do
:= x;
begin
end;
a := a - b;
end
while b > a do
begin
end;
b := b - a;
{ I} a > 0 b> 0 ggT(x, y) = ggT(a, b)
{ IB } a > 0 b> 0 ggT(x, y) = ggT(a, b)(a b)
R 4a
Iterationsregel:
{ I },
{ I B },
{ I B }
müssen gefunden
werden
Die letzte innere While-Schleife (mit derselben Invariante):
while a > b do
begin
{ I } a > 0 b > 0 ggT(x, y) = ggT(a, b))
{ IB } a>0 b>0 ggT(x, y) = ggT(a, b))a > b
a – b > 0 b > 0 ggT(x, y) = ggT(a – b, b)) 2
r := x;
a := a - b;
R 1
end
{ I } a > 0 b > 0 ggT(x, y) = ggT(a, b))
{ IB } a > 0 b > 0 ggT(x, y) = ggT(a, b) )(a > b)
R 4a
4. Von unten nach oben werden nun die weiteren Anweisungen mit Hoare-
Klauseln versehen. Die Überlegungen, die auch schon bei der ersten While-
Schleife getroffen wurden, erweisen sich auch bei der zweiten Schleife als
gültig. Im folgenden sind sowohl die Schleifen als auch die enthaltenen
Zuweisungen verifiziert.
Die oberen Zuweisungen:
x > 0 y > 0 ggT(x, y) = ggT(x, y))
a := x;
a > 0 y > 0 ggT(x, y) = ggT(a, y))
R 1
1
b := y;
R 1
a > 0 b > 0 ggT(x, y) = ggT(a, b))
47
48