Korrekte Software: Grundlagen und Methoden Vorlesung 1 vom 04.04.18: Einführung

(1)

Serge Autexier, Christoph Lüth

Universität Bremen

Sommersemester 2018

11:50:38 2018-06-05 1 [22]

(2)

Organisatorisches

I Veranstalter:

Christoph Lüth christoph.lueth@dfki.de

MZH 4186, Tel. 59830

Serge Autexier serge.autexier@dfki.de

Cartesium 2.11, Tel. 59834

I Termine:

I Vorlesung: Dienstag, 12 – 14, MZH 6210

I Übung: Donnerstag, 12 – 14, MZH 1110

I Webseite:

http://www.informatik.uni-bremen.de/~cxl/lehre/ksgm.ss18

(3)

I “Leichtgewichtige” Übungsblätter, diein der Übungbearbeitet und schnellkorrigiert werden können.

I ÜbungsblättervertiefenVorlesungsstoff, Bewertung gibt Feedback.

I Übungsbetrieb:

I Gruppen bis zu drei Studierende

I Ausgabe: Donnerstag in der Übung

I Bearbeitung: in der Übung

I Abgabe: Donnerstag abend

Korrekte Software 3 [22]

(4)

Prüfungsform und Übungsbetrieb

I 10 Übungsblätter (geplant)

I Bewertung:

I A (sehr gut, 1.3) — nichts zu meckern, keine/kaum Fehler

I B (gut, 2.3) — kleine Fehler, sonst gut

I C (befriedigend, 3.3) — größere Fehler oder Mängel

I Nicht bearbeitet — oder zu viele Fehler

I Prüfungsleistung:

I Mündliche Prüfung

I Einzelprüfung ca. 20– 30 Minuten

I Übungsbetrieb (bis zu 20% Bonuspunkte, keine Voraussetzung)

(5)

(6)

Software-Disaster I: Therac-25

(7)

Mariner 1 (27.08.1962), Mars Climate Orbiter (1999), Ariane 5 (04.06.1996)

(8)

Software-Disaster III: AT&T (15.01.1990)

w h i l e ( ! empty ( r i n g _ r c v _ b u f f e r )

&& ! empty ( s i d e _ b u f f e r empty ) ) { i n i t i a l i z e p o i n t e r t o f i r s t m e s s a g e b u f f e r ; g e t c o p y o f b u f f e r ;

s w i t c h ( m e s s a g e ) {

c a s e ( i n c o m i n g _ m e s s a g e ) :

i f ( s e n d e r i s o u t _ o f _ s e r v i c e ) { i f ( empty ( r i n g _ w r t _ b u f f e r ) ) {

s e n d " i n s e r v i c e " t o s t a t u s map ; } e l s e {

break; }

p r o c e s s i n c o m i n g message , s e t up p o i n t e r s ; break;

} }

do o p t i o n a l p a r a m e t e r work ;

(9)

Sevilla, 09.05.2015

(10)

Inhalt der Vorlesung

(11)

Korrekte Software im Lehrbuch:

I Spielzeugsprache

I Wenig Konstrukte

I Kleine Beispiele

Korrekte Software im Einsatz:

I Richtige Programmiersprache

I Mehr als nur ganze Zahlen

I Skalierbarkeit — wie können große Programme verifiziert werden?

(12)

Inhalt

I Grundlagen:

I Beweis derKorrektheitvon Programmen: derFloyd-Hoare-Kalkül

I Bedeutungvon Programmen:Semantik

I Betrachtete Programmiersprache: “C0” (erweiterte Untermenge von C)

I Erweiterung der Programmkonstrukte und des Hoare-Kalküls:

1. Referenzen (Zeiger)

2. Funktion und Prozeduren (Modularität) 3. ReicheDatenstrukturen(Felder,struct)

(13)

I Operationale Semantik

I Denotationale Semantik

I Äquivalenz der Operationalen und Denotationalen Semantik

I Die Floyd-Hoare-Logik

I Invarianten und die Korrektheit des Floyd-Hoare-Kalküls

I Strukturierte Datentypen

I Modellierung und Spezifikation

I Verifikationsbedingungen

I Vorwärts mit Floyd und Hoare

I Funktionen und Prozeduren

I Referenzen

I Ausblick und Rückblick

(14)

Warum Semantik?

(15)

Idee

I Was wird hier berechnet?

I Wir berechnen symbolisch, welche Werte Variablen über den

Programmverlauf annehmen.

p= 1 ; c= 1 ;

w h i l e ( c <= n ) { p = p ∗ c ; c = c + 1 ; }

(16)

Idee

I Was wird hier berechnet?p =n!

I Warum? Wie können wir das beweisen?

p= 1 ; c= 1 ;

w h i l e ( c <= n ) { p = p ∗ c ; c = c + 1 ; }

(17)

I Was wird hier berechnet?p =n!

I Warum? Wie können wir das beweisen?

p= 1 ; c= 1 ;

w h i l e ( c <= n ) { p = p ∗ c ; c = c + 1 ; }

(18)

Semantik von Programmiersprachen

Drei wesentliche Möglichkeiten:

I Operationale Semantik:

Ausführung auf einerabstraktenMaschine

I Denotationale Semantik:

Abbildung in ein mathematisches Objekt

I Axiomatische Semantik:

Beschreibung durch eines Programmes durch seineEigenschaften

(19)

I C0 ist eineUntermengeder Sprache C

I C0-Programme sindausführbare C-Programme

I Erste Ausbaustufe:

I Zuweisungen, Fallunterscheidungen, Schleifen

I Datentypen: ganze Zahlen mit Arithmetik

I Relationen: Vergleich (=,≤)

I Boolsche Operatoren: Konjunktion, Disjunktion, Negation

I 1. Ausbaustufe: Funktionen und Prozeduren

I 2. Ausbaustufe: Felder und Strukturen

I 3. Ausbaustufe: Referenzen (Pointer)

I Fehlt:union,goto, . . .

(20)

Operationale Semantik

I Kernkonzept: Zustandstandsübergänge einer abstrakten Maschine

I Abstrakte Maschine hatimpliziten Zustand

I Zustand ordnetAdressen veränderlicheWerten zu

I Konkretes Beispiel:n7→3,p und c undefiniert p = 1 ;

c = 1 ;

w h i l e( c <= n ) { p = p ∗ c ; c = c + 1 ; }

p ? c ? n 3

p 1 c ? n 3

p 1 c 1 n 3

p 1 c 2 n 3

p 2 c 2 n 3

p 2 c 3 n 3

p 6 c 3 n 3

p 6 c 4 n 3

(21)

Operationale Semantik

c = 1 ;

w h i l e( c <= n ) { p = p ∗ c ; c = c + 1 ; }

p ? c ? n 3

p 1 c ? n 3

p 1 c 2 n 3

p 2 c 2 n 3

p 2 c 3 n 3

p 6 c 3 n 3

p 6 c 4 n 3

(22)

Operationale Semantik

c = 1 ;

w h i l e( c <= n ) { p = p ∗ c ; c = c + 1 ; }

p ? c ? n 3

p 1 c ? n 3

p 1 c 1 n 3

p 1 c 2 n 3

p 2 c 2 n 3

p 2 c 3 n 3

p 6 c 3 n 3

p 6 c 4 n 3

(23)

Operationale Semantik

c = 1 ;

w h i l e( c <= n ) { p = p ∗ c ; c = c + 1 ; }

p ? c ? n 3

p 1 c ? n 3

p 1 c 1 n 3

(24)

Operationale Semantik

c = 1 ;

w h i l e( c <= n ) { p = p ∗ c ; c = c + 1 ; }

p ? c ? n 3

p 1 c ? n 3

p 1 c 1 n 3

p 1 c 2 n 3

p 2 c 2 n 3

p 2 c 3 n 3

p 6 c 3 n 3

p 6 c 4 n 3

(25)

Operationale Semantik

c = 1 ;

w h i l e( c <= n ) { p = p ∗ c ; c = c + 1 ; }

p ? c ? n 3

p 1 c ? n 3

p 1 c 1 n 3

p 1 c 2 n 3

p 2 c 2 n 3

(26)

Operationale Semantik

c = 1 ;

w h i l e( c <= n ) { p = p ∗ c ; c = c + 1 ; }

p ? c ? n 3

p 1 c ? n 3

p 1 c 1 n 3

p 1 c 2 n 3

p 2 c 2 n 3

p 2 c 3 n 3

p 6 c 3 n 3

p 6 c 4 n 3

(27)

Operationale Semantik

c = 1 ;

w h i l e( c <= n ) { p = p ∗ c ; c = c + 1 ; }

p ? c ? n 3

p 1 c ? n 3

p 1 c 1 n 3

p 1 c 2 n 3

p 2 c 2 n 3

p 2 c 3 n 3

p 6 c 3 n 3

(28)

Operationale Semantik

c = 1 ;

w h i l e( c <= n ) { p = p ∗ c ; c = c + 1 ; }

p ? c ? n 3

p 1 c ? n 3

p 1 c 1 n 3

p 1 c 2 n 3

p 2 c 2 n 3

p 2 c 3 n 3

p 6 c 3 n 3

p 6 c 4 n 3

(29)

I Kernkonzept: Abbildung von Programmen auf mathematisches Gegenstück (Denotat)

I PartielleFunktionen zwischen Zuständen [[c]] :σ * σ

I Beispiel:

p = 1 ; c = 1 ; // p₁ w h i l e ( c <= n ) {

p = p ∗ c ; c = c + 1 ; // p₂ }

// p3

[[p1]](σ) =σ(p 7→1)(c 7→1)

[[p2]](σ) =σ(p 7→σ(p)∗σ(c))(c 7→σ(c) + 1) [[p₃]](σ) = ???

(30)

Denotationale Semantik

I Beispiel:

p = 1 ; c = 1 ; // p₁ w h i l e ( c <= n ) {

p = p ∗ c ; c = c + 1 ; // p₂ }

// p3

[[p1]](σ) =σ(p 7→1)(c 7→1)

[[p2]](σ) =σ(p 7→σ(p)∗σ(c))(c 7→σ(c) + 1) [[p₃]](σ) =fix([[p₂]])([[p₁]](σ))

(31)

I Beispiel:

p = 1 ; c = 1 ; // p₁ w h i l e ( c <= n ) {

p = p ∗ c ; c = c + 1 ; // p₂ }

// p3

[[p1]](σ) =σ(p 7→1)(c 7→1)

[[p2]](σ) =σ(p 7→σ(p)∗σ(c))(c 7→σ(c) + 1) [[p₃]] =fix([[p₂]])◦[[p₁]]

(32)

Axiomatische Semantik

I Kernkonzept: Charakterisierung von Programmen durch Zusicherungen

I Zusicherungen sind zustandsabhängige Prädikate

I Beispiel (mitn= 3) // (1)

p = 1 ; // (2) c = 1 ; // (3) w h i l e( c <= n ) {

// (4) p = p ∗ c ; c = c + 1 ; } // (5)

(1) n= 3

(2) p = 1∧n = 3

(3) p = 1∧c = 1∧n= 3 (4) ???

(5) p = 6∧c = 4∧n= 3

(33)

p = 1 ; // (2) c = 1 ; // (3) w h i l e( c <= n ) {

// (4) p = p ∗ c ; c = c + 1 ; } // (5)

(1) n= 3

(2) p = 1∧n = 3

(3) p = 1∧c = 1∧n= 3

(4) (p = 1∧c = 1∨p= 1∧c = 2∨ p = 2∧c = 3∨p= 6∧c = 4)

∧n= 3

(5) p = 6∧c = 4∧n= 3

(34)

Axiomatische Semantik

p = 1 ; // (2) c = 1 ; // (3) w h i l e( c <= n ) {

// (4) p = p ∗ c ; c = c + 1 ; } // (5)

(1) n= 3

(2) p = 1∧n = 3

(3) p = 1∧c = 1∧n= 3 (4) p = (c −1)!∧n= 3

(5) p = 6∧c = 4∧n= 3

(35)

p = 1;

c := 1;

while (c <= n) { p= p * c;

c= c + 1;

}

Operational

Axiomatisch Denotational

Programm

(36)

Zusammenfassung

I Wir wollen dieBedeutung(Semantik) von Programmen beschreiben, um ihre Korrektheit beweisen zu können.

I Dazu gibt es verschiedene Ansätze, die wir betrachten werden.

I Nächste Woche geht es mit dem ersten los:operationaleSemantik

(37)

Serge Autexier, Christoph Lüth

Universität Bremen

Sommersemester 2018

14:15:47 2018-06-22 1 [26]

(38)

Fahrplan

I Einführung

I Operationale Semantik

I Denotationale Semantik

I Äquivalenz der Operationalen und Denotationalen Semantik

I Die Floyd-Hoare-Logik

I Invarianten und die Korrektheit des Floyd-Hoare-Kalküls

I Strukturierte Datentypen

I Modellierung und Spezifikation

I Verifikationsbedingungen

I Vorwärts mit Floyd und Hoare

I Funktionen und Prozeduren

I Referenzen

(39)

// GGT(A,B)

i f ( a == 0 ) r = b ; e l s e {

w h i l e ( b != 0 ) { i f ( a <= b )

b = b − a ; e l s e a = a − b ; }

r = a ; }

I Programme berechnenWerte

I Basierend auf

I Werte sindVariablenzugewiesen

I Evaluation vonAusdrücken

I Folgt dem Programmablauf

(40)

Unsere Programmiersprache

Wir betrachten einen Ausschnitt der ProgrammierspracheC(C0).

Ausbaustufe 1 kennt folgende Konstrukte:

I Typen: int;

I Ausdrücke: Variablen, Literale (für ganze Zahlen), arithmetische Operatoren (für ganze Zahlen), Relationen (==,<, . . . ), boolsche Operatoren (&&, ||);

I Anweisungen:

I Fallunterscheidung (if. . .else. . . ), Iteration (while), Zuweisung, Blöcke;

I Sequenzierung und leere Anweisung sind implizit

(41)

I Die (operationale) Semantik einer imperativen Sprache wie C0 ist ein Zustandsübergang: das System hat einen impliziten Zustand, der durch Zuweisung vonWertenan Adressen geändert werden kann.

Systemzustände

I Ausdrücke werten zuWerten V(hier ganze Zahlen) aus.

I AdressenLocsind hier Programmvariablen (Namen)

I EinSystemzustandbildet Adressen auf Werte ab: Σ =Loc*V

I Ein Programm bildet einen Anfangszustandmöglicherweiseauf einen Endzustand ab (wenn esterminiert).

I Zusicherungen sind Prädikate über dem Systemzustand.

(42)

C0: Ausdrücke und Anweisungen

Aexp a::=Z|Idt|a1+a2 |a1−a2 |a1∗a2 |a1/a2

Bexp b ::=1|0|a₁==a₂ |a₁<a₂|!b |b₁&&b₂ |b₁||b₂ Exp e :=a|b

Stmt c ::= Idt=Exp

| if(b) c₁ else c₂

| while (b) c

| c₁;c₂

| { }

NB: Nicht diekonkrete Syntax.

(43)

x = 1 ;

w h i l e ( y != 0 ) { y = y−1;

x = 2∗x ; }

// {x = 2^Y}

// {a≥0∧b≥0}

r = b ; q = 0 ;

w h i l e ( b <= r ) { r = r−a ;

q = q +1;

}

// {a=b∗q+r∧r <b}

c = 1 ;

w h i l e ( c<=n ) { c = c +1;

p = p∗c ; }

//{p=n!}

//{0≤a}

t = 1 ; s = 1 ; i = 0 ;

w h i l e ( s <= a ) { t = t + 2 ; s = s + t ; i = i + 1 ; }

//{i²≤a∧a<(i+ 1)²}

(44)

Operationale Semantik: Arithmetische Ausdrücke

Ein arithmetischer Ausdruck a wertet unter gegebenen Zustandσ zu einer ganzen Zahl n (Wert) aus oder zu einem Fehler⊥.

I Aexpa::=Z|Idt|a₁+a₂ |a₁−a₂ |a₁∗a₂ |a₁ / a₂

I Zustände bilden Adressen/Programmvariablen auf Werte ab (σ)

ha, σi →_Aexp n|⊥

Regeln:

hn, σi →_Aexp n x ∈Loc,x∈Dom(σ), σ(x) =v

hx, σi →_Aexp v

x ∈Loc,x6∈Dom(σ) hx, σi →_Aexp ⊥

(45)

Operationale Semantik: Arithmetische Ausdrücke

Regeln:

hn, σi →_Aexp n

(46)

Operationale Semantik: Arithmetische Ausdrücke

Regeln:

hn, σi →_Aexp n x ∈Loc,x∈Dom(σ), σ(x) =v

hx, σi →_Aexp v

x ∈Loc,x6∈Dom(σ) hx, σi →_Aexp ⊥

(47)

Operationale Semantik: Arithmetische Ausdrücke

I Aexpa::=Z|Idt|a₁+a₂ |a₁−a₂ |a₁∗a₂ |a₁ / a₂ ha, σi →_Aexp n⊥¯

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n_i ∈Z,n Summe n₁ undn₂ ha₁+a2, σi →_Aexp n

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 falls n1 =⊥oder n2 =⊥ ha₁+a₂, σi →_Aexp ⊥

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 fallsn1 =⊥oder n2 =⊥ ha₁−a₂, σi →_Aexp ⊥

(48)

Operationale Semantik: Arithmetische Ausdrücke

I Aexpa::=Z|Idt|a₁+a₂ |a₁−a₂ |a₁∗a₂ |a₁ / a₂ ha, σi →_Aexp n⊥¯

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n_i ∈Z,n Summe n₁ undn₂ ha₁+a2, σi →_Aexp n

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 falls n1 =⊥oder n2 =⊥ ha₁+a₂, σi →_Aexp ⊥

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n_i ∈Z,n Diff.n₁ und n₂ ha₁−a2, σi →_Aexp n

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 falls n1 =⊥oder n2 =⊥ ha₁−a₂, σi →_Aexp ⊥

(49)

Operationale Semantik: Arithmetische Ausdrücke

I Aexpa::=Z|Idt|a1+a2 |a1−a2 |a1∗a2 |a1 / a2

ha, σi →Aexpn|⊥

ha1, σi →Aexpn1 ha2, σi →Aexpn2 ni∈Z,nProduktn1und n2

ha1∗a2, σi →Aexpn

ha1, σi →Aexpn1 ha2, σi →Aexpn2 fallsn1=⊥oder n2=⊥ ha1∗a2, σi →Aexp⊥

ha1, σi →Aexpn1 ha2, σi →Aexpn2 fallsn1=⊥,n2=⊥odern2= 0 ha1/a2, σi →Aexp⊥

(50)

Operationale Semantik: Arithmetische Ausdrücke

I Aexpa::=Z|Idt|a1+a2 |a1−a2 |a1∗a2 |a1 / a2

ha, σi →Aexpn|⊥

ha1, σi →Aexpn1 ha2, σi →Aexpn2 ni∈Z,nProduktn1und n2

ha1∗a2, σi →Aexpn

ha1, σi →Aexpn1 ha2, σi →Aexpn2 fallsn1=⊥oder n2=⊥ ha1∗a2, σi →Aexp⊥

ha1, σi →Aexpn1 ha2, σi →Aexpn2 ni∈Z,n26= 0,nQuotientn1,n2

ha1/a2, σi →Aexp n

ha1, σi →Aexpn1 ha2, σi →Aexpn2 fallsn1=⊥,n2=⊥odern2= 0 ha1/a2, σi →Aexp⊥

(51)

Sei σ(x) = 6, σ(y) = 5.

h(x+y)∗(x−y), σi →_Aexp

(52)

Beispiel-Ableitungen

Sei σ(x) = 6, σ(y) = 5.

hx+y, σi →Aexp hx−y, σi →Aexp

h(x+y)∗(x−y), σi →Aexp

(53)

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6

(54)

Beispiel-Ableitungen

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6 hy, σi →Aexp 5

(55)

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6 hy, σi →Aexp 5

hx+y, σi →Aexp11 hx−y, σi →Aexp

(56)

Beispiel-Ableitungen

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6 hy, σi →Aexp5 hx+y, σi →Aexp11

hx, σi →Aexp6 hy, σi →Aexp 5 hx−y, σi →Aexp

(57)

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6 hy, σi →Aexp 5 hx−y, σi →Aexp 1 h(x+y)∗(x−y), σi →Aexp

(58)

Beispiel-Ableitungen

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6 hy, σi →Aexp 5 hx−y, σi →Aexp 1 h(x+y)∗(x−y), σi →Aexp11

(59)

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6 hy, σi →Aexp 5 hx−y, σi →Aexp 1 h(x+y)∗(x−y), σi →Aexp11

h(x∗x)−(y∗y), σi →Aexp

(60)

Beispiel-Ableitungen

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6 hy, σi →Aexp 5 hx−y, σi →Aexp 1 h(x+y)∗(x−y), σi →_Aexp11

hx, σi →Aexp 6 hx, σi →Aexp6 hx∗x, σi →Aexp 36 h(x∗x)−(y∗y), σi →Aexp

(61)

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6 hx, σi →Aexp6 hx∗x, σi →Aexp36

hy, σi →Aexp5 hy, σi →Aexp 5 hy∗y, σi →Aexp25 h(x∗x)−(y∗y), σi →Aexp

(62)

Beispiel-Ableitungen

Sei σ(x) = 6, σ(y) = 5.

hx, σi →Aexp6 hx, σi →Aexp6 hx∗x, σi →Aexp36

hy, σi →Aexp5 hy, σi →Aexp 5 hy∗y, σi →Aexp25 h(x∗x)−(y∗y), σi →Aexp11

(63)

Regeln:

hb, σi →_Bexp1|0|⊥

h1, σi →_Bexp1 h0, σi →_Bexp0

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n_i 6=⊥,n₁ und n₂ gleich ha₁ ==a2, σi →_Bexp1

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 ni 6=⊥,n1 und n2 ungleich ha₁ ==a₂, σi →_Bexp0

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n₁ =⊥ orn₂=⊥ ha₁ ==a2, σi →_Bexp ⊥

(64)

Operationale Semantik: Boolesche Ausdrücke

I Bexpb::= 0|1|a₁ ==a₂ |a₁ <a₂ |!b |b₁&&b2|b₁ || b₂ Regeln:

hb, σi →_Bexp1 h!b, σi →_Bexp 0

hb, σi →_Bexp 0 h!b, σi →_Bexp1

hb, σi →_Bexp ⊥ h!b, σi →_Bexp⊥ hb₁, σi →_Bexp t₁ hb₂, σi →_Bexpt₂

hb₁&&b2, σi →_Bexpt

wobei t = 1 wennt1 =t2 = 1;

t = 0 wennt1 = 0 oder (t1 = 1 und t2= 0);

t =⊥sonst

(65)

Bexpb::= 0|1|a₁ ==a₂ |a₁ <a₂ |!b |b₁&&b2|b₁ || b₂ Regeln:

hb₁, σi →_Bexp t1 hb₂, σi →_Bexpt2

hb₁||b₂, σi →_Bexpt

wobei t = 0 wennt₁ =t₂ = 0;

t = 1 wennt₁ = 1 oder (t₁= 0 und t₂= 1);

t =⊥ sonst

(66)

Operationale Semantik: Anweisungen

I Stmtc ::=Idt=Exp|if (b) c₁ else c₂|while(b)c |c₁;c₂| { } Beispiel:

hc, σi →_Stmt σ⁰|⊥

hx = 5, σi →_Stmt σ⁰

wobei σ⁰(x) = 5 undσ⁰(y) =σ(y) für alle y6=x

(67)

Stmtc ::=Idt=Exp|if (b) c₁ else c₂|while(b)c |c₁;c₂| { } Regeln:

Definiere:

σ[m/x](y) :=

( m ifx =y σ(y) sonst

hx= 5, σi →_Stmt σ[5/x]

Es gilt:

∀σ,n,m,∀x,y .x 6=y ⇒σ[n/x][m/y] =σ[m/y][n/x]

∀σ,n,m,∀x . σ[n/x][m/x] =σ[m/x]

(68)

Operationale Semantik: Anweisungen

I Stmtc ::=Idt=Exp|if (b) c1 else c2|while(b)c |c1;c2| { } Regeln:

h{ }, σi →_Stmt σ ha, σi →_Aexp n∈Z

hx =a, σi →_Stmt σ[n/x]

ha, σi →_Aexp ⊥ hx =a, σi →_Stmt ⊥ hc₁, σi →_Stmt σ⁰ 6=⊥ hc₂, σ⁰i →_Stmt σ⁰⁰6=⊥

hc₁;c₂, σi →_Stmt σ⁰⁰ hc₁, σi →_Stmt ⊥ hc₁;c2, σi →_Stmt ⊥

hc₁, σi →_Stmt σ⁰6=⊥ h{c₂}, σ⁰i →_Stmt ⊥

(69)

Stmtc ::=Idt=Exp|if (b) c₁ else c₂|while(b)c |c₁;c₂| { } Regeln:

hb, σi →_Bexp1 hc₁, σi →_Stmt σ⁰ hif(b) c₁ else c₂, σi →_Stmt σ⁰ hb, σi →_Bexp0 hc₂, σi →_Stmt σ⁰

hif(b) c1 else c2, σi →_Stmt σ⁰ hb, σi →_Bexp⊥

hif(b) c₁ else c₂, σi →_Stmt ⊥

(70)

Operationale Semantik: Anweisungen

I Stmtc ::=Idt=Exp|if (b) c₁ else c₂|while(b)c |c₁;c₂| { } Regeln:

hb, σi →_Bexp0 hwhile (b) c, σi →_Stmt σ

hb, σi →_Bexp1 hc, σi →_Stmt σ⁰ hwhile (b) c, σ⁰i →_Stmt σ⁰⁰ hwhile (b) c, σi →_Stmt σ⁰⁰

hb, σi →_Bexp1 hc, σi →_Stmt ⊥ hwhile(b) c, σi →_Stmt ⊥

hb, σi →_Bexp⊥ hwhile(b) c, σi →_Stmt ⊥

(71)

x = 1 ;

w h i l e ( y != 0 ) { y = y − 1 ; x = 2 ∗ x ; }

// x = 2^y σ(y) = 3

(72)

Äquivalenz arithmetischer Ausdrücke

Gegeben zwei Aexp a₁ anda₂

I Sind sie gleich?

a1∼_Aexp a2 gdw ∀σ,n.ha₁, σi →_Aexp n⇔ ha₂, σi →_Aexp n ( x∗x ) + 2∗x∗y + ( y∗y ) und ( x+y ) ∗ ( x+y )

I Wann sind sie gleich?

∃σ,n.ha₁, σi →_Aexp n⇔ ha₂, σi →_Aexp n

x∗x und 9∗x+22

x∗x und x∗x+1

(73)

Gegeben zwei Bexp-Ausdrückeb1 and b2 I Sind sie gleich?

b₁ ∼_Bexp b₂ iff ∀σ,b.hb₁, σi →_Bexpb ⇔ hb₂, σi →_Bexp b A | | (A && B) und A

(74)

Beweisen

Zwei Programmec0,c1 sind äquivalent gdw. sie die gleichen Zustandsveränderungen bewirken. Formal definieren wir Definition

c₀ ∼c₁ iff ∀σ, σ⁰.hc₀, σi →_Stmt σ⁰ ⇔ hc₁, σi →_Stmt σ⁰

Ein einfaches Beispiel:

Lemma

Sei w ≡while(b) c mit b∈Bexp, c ∈Stmt.

Dann gilt: w ∼if(b){c;w} else { } Beweis an der Tafel