Modellierung und Spezifikation von Funktionen

(1)

Korrekte Software: Grundlagen und Methoden Vorlesung 11 vom 18.06.19 Spezifikation von Funktionen

Serge Autexier, Christoph Lüth Universität Bremen Sommersemester 2019

11:27:30 2019-07-04 1 [28]

Fahrplan

IEinführung

IOperationale Semantik IDenotationale Semantik

IÄquivalenz der Operationalen und Denotationalen Semantik IDer Floyd-Hoare-Kalkül

IInvarianten und die Korrektheit des Floyd-Hoare-Kalküls IStrukturierte Datentypen

IVerifikationsbedingungen IVorwärts mit Floyd und Hoare IModellierung

ISpezifikation von Funktionen IReferenzen und Speichermodelle

IFunktionsaufrufe und das Framing-Problem IAusblick und Rückblick

Korrekte Software 2 [28]

Funktionen & Prozeduren

IFunktionensind das zentrale Modularisierungskonzept von C IKleinste Einheit

INB. Prozeduren sind nur Funktionen vom Typvoid IIn objektorientierten Sprachen: Methoden

IFunktionen mit (implizitem) erstem Parameterthis

IWie behandeln wir Funktionen?

Modellierung und Spezifikation von Funktionen

Wir brauchen:

1 Von Anweisungen zu Funktionen: Deklarationen und Parameter 2 Semantik von Funktionsdefinitionen

3 Spezifikation von Funktionsdefinitionen 4 Beweisregeln für Funktionsdefinitionen 5 Semantik des Funktionsaufrufs 6 Beweisregeln für Funktionsaufrufe

Von Anweisungen zu Funktionen

IErweiterung unserer Kernsprache um Funktionsdefinition und Deklarationen:

FunDef::=FunHeader FunSpec⁺Blk FunHeader::=Type Idt(Decl^∗)

Decl::=Type Idt Blk::={Decl^∗Stmt}

Type::=char|int|Struct|Array Struct::=struct Idt^?{Decl⁺}

Array::=Type Idt[Aexp]

IAbstrakte Syntax

IGröße von Feldern:konstanterAusdruck IFunSpecwird später erläutert

Rückgaben

Neue Anweisungen: Return-Anweisung

Stmt s::=l=e|c1;c2| { } |if(b)c1 else c2

|while(b)//∗∗inv a∗/c|//∗∗{a}∗/

|return a^?

Rückgabewerte

IProblem:returnbricht sequentiellen Kontrollfluss:

i f ( x == 0 ) r e t u r n −1;

y = y / x ; // Wird nicht immer erreicht ILösung 1: verbieten!

IMISRA-C (Guidelines for the use of the C language in critical systems):

Rule 14.7 (required)

A function shall have a single point of exit at the end of the function.

INicht immer möglich, unübersichtlicher Code . . .

ILösung 2: Erweiterung der Semantik von Σ*Σ zu Σ*(Σ + Σ×V)

Erweiterte Semantik

IDenotat einer Anweisung: Σ*(Σ∪Σ×V) Σ*(Σ∪Σ×VU) IAbbildung von Ausgangszustand Σ auf:

ISequentieller Folgezustand, oder IRückgabewert und Rückgabezustand;

IΣ und Σ×Vsinddisjunkt.

IWas ist mitvoid?

IErweiterte Werte:VU def=V+{∗}

IKomposition zweier Anweisungenf,g: Σ*(Σ∪Σ×VU):

g◦Sf(σ)^def= (

g(σ⁰) f(σ) =σ⁰ (σ⁰,v) f(σ) = (σ⁰,v)

(2)

Semantik von Anweisungen

C[[.]] :Stmt→Σ*(Σ∪Σ×VU)

C[[x=e]] ={(σ, σ[a/l])|(σ,l)∈ L[[x]],(σ,a)∈ A[[e]]}

C[[c1;c2]] =C[[c2]]◦SC[[c1]] Komposition wie oben C[[{ }]] =IdΣ IdΣ:={(σ, σ)|σ∈Σ}

C[[if(b)c0 elsec1]] ={(σ, ρ⁰)|(σ,true)∈ B[[b]]∧(σ, ρ⁰)∈ C[[c0]]}

∪ {(σ, ρ⁰)|(σ,false)∈ B[[b]]∧(σ, ρ⁰)∈ C[[c1]]}

mitρ⁰∈Σ∪Σ×VU C[[return e]] ={(σ,(σ,a))|(σ,a)∈ A[[e]]}

C[[return]] ={(σ,(σ,∗))}

C[[while(b)c]] =fix(Γ)

Γ(ψ)=^def{(σ, ρ⁰)|(σ,true)∈ B[[b]]∧(σ, ρ⁰)∈ψ◦SC[[c]]}

∪ {(σ, σ)|(σ,false)∈ B[[b]]}

Semantik von Funktionsdefinitionen

D_fd[[.]] :FunDef→Vⁿ*Σ*Σ×VU Das Denotat einer Funktion ist eine Anweisung, die über den tatsächlichen Werten für die Funktionsargumente parametriert ist.

Dfd[[f(t1p1,t2p2, . . . ,tnpn)blk]]v1, . . . ,vn=

{(σ,(σ⁰,v))|(σ[v1/p1, . . . ,vn/pn],(σ⁰,v))∈ D_blk[[blk]]}}

IDie Funktionsargumente sind lokale Deklarationen, die mit den Aufrufwerten initialisiert werden.

IInsbesondere können sie lokal in der Funktion verändert werden.

Semantik von Blöcken und Deklarationen

Blöcke bestehen aus Deklarationen und einer Anweisung.

D_blk[[.]] :Blk→Σ*(Σ×VU)

Dblk[[decls stmts]]^def={(σ,(σ⁰,v))|(σ,(σ⁰,v))∈ C[[stmts]]}

IVonC[[stmts]] sind nurRückgabezuständeinteressant.

IKein „fall-through“

IWas passiert ohnereturnam Ende?

IKeine Initialisierungen, Deklarationen haben (noch) keine Semantik.

Spezifikation von Funktionen

IWirspezifizierenFunktionen durchVor-undNachbedingungen IÄhnlich den Hoare-Tripeln, aber vereinfachte Syntax

IBehavioural specification, angelehnt an JML, OCL, ACSL (Frama-C)

ISyntaktisch:

FunSpec::= /** preAssnpostAssn*/

Vorbedingung pre sp; Σ→B

Nachbedingung post sp; Σ×(Σ×VU)→B

\old(e) Wert voneimVorzustand

\ result Rückgabewertder Funktion

Beispiel: Fakultät

i n t f a c (i n t n ) /∗∗ p r e 0≤n;

p o s t \result==n! ;

∗/

{ i n t p ; i n t c ; p= 1 ; c= 1 ;

w h i l e ( c<= n ) /∗∗ i n v p== (c−1)!∧c≤n+ 1∧0<c ∗/ { p= p∗c ;

c= c +1;

} r e t u r n p ; }

Beispiel: Suche

i n t f i n d m a x (i n t a [ ] , i n t a _ l e n ) /∗∗ p r e \array(a,a_len)∧0<a_len;

p o s t ∀i.0≤i<a_len−→a[i]≤\result; ∗/

{

i n t x ; i n t j ; x= INT_MIN ; j= 0 ; w h i l e ( j < a _ l e n )

/∗∗ i n v (∀i.0≤i<j−→a[i]≤x)∧j≤a_len; ∗/

{

i f ( a [ j ]> x ) x= a [ j ] ; j= j +1;

} r e t u r n x ; }

Beispiel: Suche

i n t f i n d m a x (i n t a [ ] , i n t a _ l e n ) /∗∗ p r e 0<a_len;

p o s t \result= max(seq(a,a_len)) ; ∗/

{

i n t x ; i n t j ; x= INT_MIN ; j= 0 ; w h i l e ( j < a _ l e n )

/∗∗ i n v j>0−→x= max(Seq(a,j))∧j≤a_len; ∗/

{

i f ( a [ j ]> x ) x= a [ j ] ; j= j +1;

} r e t u r n x ; }

Semantik von Spezifikationen

IVorbedingung: Auswertung alsB[[sp]] Γ über dem Vorzustand INachbedingung: Erweiterung vonB[[.]] undA[[.]]

IAusdrücke können in Vor- oder Nachzustand ausgewertet werden.

I\resultkann nicht in Funktionen vom Typvoidauftreten.

Bsp[[.]] :Env→Assn*(Σ×(Σ×VU))→B A_sp[[.]] :Env→Aexpv*(Σ×(Σ×VU))→V

Bsp[[!b]] Γ ={((σ,(σ⁰,v)),true)|((σ,(σ⁰,v)),false)∈ Bsp[[b]]Γ}

∪ {((σ,(σ⁰,v)),false)|((σ,(σ⁰,v)),true)∈ B_sp[[b]]Γ}

. . .

Bsp[[\old(e)]] Γ ={((σ,(σ⁰,v)),b)|(σ,b)∈ B[[e]] Γ}

A_sp[[\old(e)]] Γ ={((σ,(σ⁰,v)),a)|(σ,a)∈ A[[e]] Γ}

Asp[[\ result ]] Γ ={((σ,(σ,v)),v)}

B_sp[[preppostq]] Γ ={(σ,(σ⁰,v))|σ∈ B[[p]] Γ∧(σ⁰,(σ,v))∈ B_sp[[p]] Γ}

(3)

Gültigkeit von Spezifikationen

IDie Semantik von Spezifikationen erlaubt uns die Definition der semantischen Gültigkeit.

preppostq|=fd

⇐⇒ ∀v1, . . . ,vn.Dfd[[fd]] Γv1. . .vn∈ Bsp[[preppostq]] Γ

IΓ enthält globale Definitionen, insbesondere andere Funktionen.

IWie passt das zu den Hoare-Tripeln|={P}c{Q}?

IWiebeweisenwir das? Erweiterungdes Hoare-Kalküls

Erweiterung des Floyd-Hoare-Kalküls

C[[.]] :Stmt→Σ*(Σ∪Σ×VU) Hoare-Tripel: zusätzliche Spezifikation fürRückgabewert.

Partielle Korrektheit (|={P}c{Q|Q_R})

cistpartiell korrekt, wenn für alle Zuständeσ, diePerfüllen:

Idie Ausführung voncmitσinσ⁰regulär terminiert, so dassσ⁰die SpezifikationQerfüllt,

Ioder die Ausführung voncinσ⁰mit dem Rückgabewertvterminiert, so dass (σ⁰,v) die RückgabespezifikationQRerfüllt.

Γ|={P}c{Q|QR} ⇐⇒

∀σ.(σ,true)∈ B[[P]] =⇒ ∃σ⁰.(σ, σ⁰)∈ C[[c]]∧(σ⁰,true)∈ B[[Q]]

∨

∃σ⁰,v.(σ,(σ⁰,v))∈ C[[c]]∧((σ⁰,v),true)∈ B[[QR]]

Erweiterung des Floyd-Hoare-Kalküls: return

Γ` {Q}return{P|Q} Γ` {Q[e/\result]}return e{P|Q}

IBeireturnwird die RückgabespezifikationQzur Vorbedingung, die reguläre Nachfolgespezifikation wird ignoriert, da die Ausführung von returnkein Nachfolgezustand hat.

Ireturnohne Argument darf nur bei einer NachbedingungQauftreten, die kein\resultenthält.

IBeireturnmit Argument ersetzt der Rückgabewert den\resultin der Rückgabespezifikation.

Erweiterung des Floyd-Hoare-Kalküls: Spezifikation

P=⇒P⁰[yi/\old(yi)] Γ` {P⁰}c{false|Q}

Γ`f(x1, . . . ,xn)/** prePpostQ*/{ds c}

IDie Parameterxiwerden per Konvention nur alsxireferenziert, aber es ist immer der Wert imVorzustandgemeint (eigentlich\old(xi)).

IVariablen unterhalb von\old(y) werden bei der Substitution (Zuweisungsregel)nicht ersetzt!

I\old(y) wird beim Weakening von der VorbedingungPersetzt ISequentielle Nachbedingung voncistfalse

Zusammenfassung: Erweiterter Floyd-Hoare-Kalkül

Γ` {P} {} {P|QR}

Γ` {P}c1{R|Q_R} Γ` {R}c2{Q|Q_R} Γ` {P}c1;c2{Q|QR}

Γ` {Q[e/x]}x=e{Q|Q_R}

Γ` {P∧b}c{P|QR} Γ` {P}while(b)c{P∧ ¬b|Q_R} Γ` {P∧b}c1{Q|Q_R} Γ` {P∧ ¬b}c2{Q|Q_R}

Γ` {P}if(b)c1 elsec2{Q|QR} P−→P⁰ Γ` {P⁰}c{Q⁰|R⁰} Q⁰−→Q R⁰−→R

Γ` {P}c{Q|R}

Erweiterter Floyd-Hoare-Kalkül II

Γ` {Q}return{P|Q} Γ` {Q[e/\result]}return e{P|Q}

P=⇒P⁰[yi/\old(yi)] Γ` {P⁰}c{false|Q}

Γ`f(x1, . . . ,xn)/** prePpostQ*/{ds c}

Approximative schwächste Vorbedingung

IErweiterung zu awp(Γ,c,Q,QR) und wvc(Γ,c,Q,QR) analog zu der Erweiterung der Floyd-Hoare-Regeln.

IEs werden derKontextΓ und eineRückgabespezifikationQRbenötigt.

IEs gilt:

^wvc(Γ,c,Q,QR) =⇒Γ|={awp(c,Q,QR)}c{Q|QR}

IBerechnung vonawpundwvc:

awp(Γ,f(x1, . . . ,xn)/** prePpostQ*/{ds blk})^def= awp(Γ⁰,blk,false,Q) wvc(Γ,f(x1, . . . ,xn)/** prePpostQ*/{ds blk})^def=

{P=⇒awp(Γ⁰,blk,Q,Q)[yj/\old(yj)]} ∪wvc(Γ⁰,blk,false,Q) Γ⁰= Γ[f^def 7→ ∀x1, . . . ,xn.(P,Q)]

Approximative schwächste Vorbedingung (Revisited)

awp(Γ,{ },Q,QR) ^def= Q awp(Γ,l=e,Q,QR) ^def= P[e/l]

awp(Γ,c1;c2,Q,QR) ^def= awp(Γ,c1,awp(c2,Q,QR),QR) awp(Γ,if(b)c0 else c1,Q,QR) ^def= (b∧awp(Γ,c0,Q,QR))

∨(¬b∧awp(Γ,c1,Q,QR)) awp(Γ,//∗∗{q}∗/,Q,QR) ^def= q

awp(Γ,while(b)//∗∗ invi∗/c,QR)=^defi

awp(Γ,return e,Q,QR) ^def= QR[e/\result]

awp(Γ,return,Q,QR) ^def= QR

(4)

Approximative Verifikationsbedingungen (Revisited)

wvc(Γ,{ },Q,QR) =^def ∅ wvc(Γ,x=e,Q,QR) =^def ∅

wvc(Γ,c1;c2,Q,QR) =^def wvc(Γ,c1,awp(c2,Q,QR),QR)

∪wvc(Γ,c2,Q,QR)

wvc(Γ,if(b)c1 elsec2,Q,QR) =^def wvc(Γ,c1,Q,QR)∪wvc(Γ,c2,Q,QR) wvc(Γ,//∗∗{q}∗/,Q,QR) =^def {q=⇒Q}

wvc(Γ,while(b)//∗∗inv i∗/c,Q,QR) ^def= wvc(Γ,c,i,QR)

∪ {i∧b=⇒awp(Γ,c,i,QR)}

∪ {i∧ ¬b=⇒Q}

wvc(Γ,return e,Q,QR) =^def ∅

Beispiel: Fakultät

1 i n t f a c (i n t n ) 2 /∗∗ p r e 0≤n; 3 p o s t \result==n! ; 4 ∗/

5 { 6 i n t p ; 7 i n t c ; 8

9 p= 1 ; 10 c= 1 ;

11 w h i l e ( 1 ) /∗∗ i n v p== (c−1)!∗/ { 12 i f ( c == n ) r e t u r n p ;

13 p= p∗c ;

14 c= c +1;

15 }

16 }

Beispiel: Fakultät (berichtigt)

1 i n t f a c (i n t n ) 2 /∗∗ p r e 0≤n; 3 p o s t \result==n! ; 4 ∗/

5 { 6 i n t p ; 7 i n t c ; 8 9 p= 1 ; 10 c= 0 ;

11 w h i l e ( 1 ) /∗∗ i n v p==c! ∗/ { 12 i f ( c == n ) r e t u r n p ;

13 c= c +1;

14 p= p∗c ;

15 }

16 }

Zusammenfassung

IFunktionen sindzentrales Modularisierungskonzept IWir müssen Funktionenmodularverifizieren können IErweiterung derSemantik:

ISemantik von Deklarationen und Parameter — straightforward ISemantik vonRückgabewerten— Erweiterung der Semantik IErweiterung derSpezifikationen:

ISpezifikation von Funktionen:Vor-/Nachzustandstatt logischer Variablen IErweiterung des Hoare-Kalküls:

IEnvironment, um andere Funktionen zu nutzen IGesonderte Nachbedingung für Rückgabewert/Endzustand IEs fehlt:FunktionsaufrufundParameterübergabe