04 程序正确性证明与分析

11
x≥0∧y＞0 x→r 0→q r≥y
T F

{ x≥0 ∧ y＞0 } S {r=x%y} 该程序正确
成立

x = q * y + r ∧ r≥0∧y>0∧r<y
r-y → r q+1→q
x = q * y + r ∧ 0 ≤ r＜y∧y>0 x - r = q * y ∧ 0 ≤ r＜y∧y>0 x - r = q * y ∧ 0 ≤ r＜ y q = x DIV y ∧ r = x MOD y r=x%y
Chapter 11
程序的正确性证明与分析
内容概述
程序测试的概念和方法 程序正确性证明的有关概念和规则 公理化方法证明程序的正确性 最弱前置条件方法证明程序的正确性
1
11.1 程序测试--概念和方法

证明程序的正确性，就是证明对任何一 组程序允许的输入信息，程序执行后都 能到一组和这组输入信息相对应的输出 信息，即证明程序达到了预定效果 程序的测试，实质上只是一种抽样检查 程序的测试，实质上只是 种抽样检查
11.2.3公理化方法
3

千年虫问题最著名的软件可靠性问题的一个实例。事后 的分析认为，千年虫的影响并未象预测的那样严重。但 是据报道，全世界用于补救千年虫问题的费用估计已超 过1000亿美元。 美国标准与技术研究院估计，每年由于软件BUG造成 的损失为600－750亿美元，超过美国国内生产总值的 0.6%。但是美国可持续计算联盟认为这个估计有些保 守，他们认为存在缺陷的计算机系统每年会给美国公司 造成总额超过2000亿美元的损失。 我国典型统计数据表明,在软件开发阶段,平均每千行代 码有50～60 个故障,交付后平均每千行代码有15～18 个故障,有时还留下严重隐患。
S2
Q2 P
…
S1
Q1
Sn
Q Qn
-
S1 10<x<0
S2 0≤x<10 -10<x<10 T
T
13
…基本规则…

3. 若断言P在条件B的判断之前成立, 则判断 B 的 个结论 的二个结论分别是 P∧ B 和 P∧
P B T -10<x< 0 X<0 0≤x<10
-
10<x<10
P∧B
P∧ ¬B
x:=x+1
正确性证明

测试只能发现程序错误，但不能证明程序无错。 即所谓“挂一漏万”。

原因：测试并没有也不可能包含所有数据，只是选 择了一些具有代表性的数据，所以它具有局限性。

正确性证明是通过数学技术来确定软件是否正 确，也就是说，是否符合其规格说明。
8
11.2 Floyd-Hoare规则公理方法 一、程序正确性证明的有关概念和规则

正确性证明的发展
50年代 Turing等 1967年 Floyd用断言方法证明框图程序的正确性 Hoare定义一个逻辑系统，含有程序公理和推导规则。目的侧 重于程序的部分正确性。此系统是一阶谓词逻辑的扩充。这就 1969年 是著名的Hoare逻辑。 Hoare 是第一个从正确性证明角度定义程 序语言的。 Hoare和 Wirth把 Pascal的大部分公理化。 Manna把部分正确性证 1973年 明和终止性证明归于一体。 1975年 第一个基于公理和推导规则的自动验证系统出现。 第 个基于公理和推导规则的自动验证系统出现 1976年 Dijkstra提出最弱前置谓词和谓词转换器的概念。 出现了用公理化思想定义的程序设计语言—— Euclid。同年， 1979年 Perlis批评程序正确性证明不切实际。 Gries综合了以谓词演算为基础的证明系统，称为程序设计科 1980年 学。首次把程序设计从经验技术升华为科学。
程序测试的目标就是发现错误


软件测试背景
软件是人编的—所以不完美，实例:
Intel的pentium处理器 1994年浮点除法缺陷 2000年8月28日，1.13MHz处理器一个可能导致运行程序被挂 起的执行指令问题 1999年12月3日,美国航天局火星极地登陆飞船失踪 1991年爱国者导弹防御系统系统时钟错误积累造成
10
例 (1)：证明下面程序正确
{x=a∧y=b} x=a x a∧ y y=b b x→r r=a∧y=b y→x r=a∧x=b r→y r = x; x = y; y = r; {x=b∧y=a}

{x=a∧y=b} 成立 S {x=b∧y=a}
该程序正确
y=a∧x=b x=b∧y=a
…基本规则…
4.若断言P位于赋值E于变量I之后, 则 将P中出现的所有E替换成I, 可得到 赋值的前提(也称为赋值等效). 即: { PEI } I:=E {P} 其中, PEI 表示在断言P中,用I去替换E

14
…基本规则…


5.(1)凡蕴含一语句前提的断言, 都是这个语句的前 提 即: 如果有: {P}S{Q} , 且P’ P成立, 则: {P’}S{Q} 成立 如: 由于 {x≥0} x=x+5 {x≥5} 而且 x>0 x ≥0 {x>0} } x=x+5 { {x≥5} } 成立 所以: { (2) 凡一语句结论所蕴含的断言, 都是这个语句的 结论 即: 如果有: {P}S{Q} , 且Q Q’成立, 则:{P}S{Q’} 成立
9
11.2.1 预备知识
1. {P} S {Q}
P S Q
前断言（前谓词、前提）: 在程序S执行之 前成立的断言, 称为前断言 后断言（后谓词、结论）: 在程序S执行之 后成立的断言, 称为后断言
{P} S {Q}: 如果前断言满足P, 执行程序S后, 后断言 后断言一 定满足Q 如果P是程序S 的初始条件, Q是执行程序S应达到的结 果, 那么证明程序S的正确性, 就是证明表达式{P}S{Q} 成立

程序规范：程序的前置断言和程序的后置断言 组成 程序的状态：程序执行到某一时刻，程序中所 有变量的一组取值 初始状态：所有变量的取值使程序的前置断言 为真的状态 终止状态 所有变量的取值使程序的后置断言 终止状态：所有变量的取值使程序的后置断言 为真的状态 程序的执行可以看作是程序状态的变迁
能够发现错误的测试是成功的测试，否则是失 败的测试。
测试方法
(1) 黑盒子方法 根据输入数据和程序执行结果去发现程序中的错 误。假如输入数据x、y是32位字长，则x、y 的可能值有：232×232＝264
x
y
S z
6
(2) 白盒子方法 已知程序内部结构和流向 根据程序内部逻辑 已知程序内部结构和流向，根据程序内部逻辑 设计输入数据，去发现程序中的错误。

E.W.Dijkstra j 指出: 指出 “程序测试能证明错误的存在, 但不能证明错误不存在.” 测试的目的是发现程序中的错 误，是为了证明程序有错, 而 不是证明程序无错.
5
把证明程序无错当作测试目的不仅
是不正确的, 完全做不到的 程序测试要设法使程序发生故障, 暴露程序中的错误 测试的“成功”与“失败”
例 (2)：证明下面程序正确 x≥0∧y＞0 x→r x≥0∧y>0∧r=x 0→q r≥y
T
{ x ≥0 ∧ y＞0 } r = x; q = 0; while (r >= y) { r = r-y; y; q = q q+1; ;} {r=x%y}
r-y → r q+1→q
r≥0∧y>0∧r=x∧q=0 x = q * y + r ∧ r≥0∧y>0 x = q * y + r ∧ r≥0∧y>0∧r<y F x = q * y + r ∧ r≥0∧y >0 ∧r ≥ y x = q * y + r ∧ r≥y ∧y>0 x = (q+1) * y + (r-y) ∧ r-y≥0 ∧y>0 x = (q+1) * y + r ∧ r≥0∧y>0 x = q * y + r ∧ r≥0∧y>0
12
11.2.2 基本规则…

1.一个语句S之前的断言，称为前提P，执行 语句S之后的断言，称为结论Q。如果执行 之前为真，执行之后也是真，则记为P Q
P S Q

…基本规则…

2. 若n条路径在语句T之前汇合, 则所有前面语 句Si 的结论Qi 都在逻辑上蕴含语句 都在 辑 蕴含 句T的前提P, 即: Qi P, 其中, i = 1, 2, … , n
金融、交通领域
2006年 2006 年10 10月 月10 10日 日，香港机场中央计 算机系统故障导致47个航班延误 算机系统故障导致47 个航班延误
2006 年 2 月 5 日 ， 因是终端设备软件 2006年 问题， 问题 ， 南京地铁全线售检票系统瘫 痪，有一万多名乘客受到影响。 有一万多名乘客受到影响。 2005 年 11 2005年 11月 月 1 日上午东京 股市因系统故障暂停交易跟踪 Nhomakorabea统失去精确度
千年虫，世界各地解决2000年错误超过数亿美元
2
航空航天领域
2005 年 4 月 ， 电脑故 2005年 障导致美国宇航局的 一艘飞船与一颗军事 卫星相撞 2003年 2003 年 5 月 ， 因飞船导航软件设计错误 因飞船导航软件设计错误， ，俄 罗斯“联盟— 罗斯“ 联盟—TMA TMA1 1”载人飞船返回途中偏离 了降落目标地点约460 了降落目标地点约 460公里 公里 2000 年 11 2000年 11月 月 11 11日 日 ， 由于软 件错误导致美国飞机鱼鹰 MVMV -22 22坠毁 坠毁。 。