Korrekte Software: Grundlagen und Methoden Vorlesung 3 vom 18.04.16: Operationale Semantik

(1)

Serge Autexier, Christoph Lüth

Universität Bremen

Sommersemester 2016

18:09:52 2016-07-07 1 [18]

(2)

Fahrplan

I Einführung

I Die Floyd-Hoare-Logik

I Operationale Semantik

I Denotationale Semantik

I Äquivalenz der Semantiken

I Verifikation: Vorwärts oder Rückwärts?

I Korrektheit des Hoare-Kalküls

I Einführung in Isabelle/HOL

I Weitere Datentypen: Strukturen und Felder

I Funktionen und Prozeduren

I Referenzen und Zeiger

I Frame Conditions & Modification Clauses

I Ausblick und Rückblick

Korrekte Software 2 [18]

(3)

Zutaten

// GGT(A,B)

i f ( a == 0 ) r= b ; e l s e {

w h i l e ( b != 0 ) { i f ( a <= b )

b = b − a ; e l s e a = a − b ; }

r = a ; }

I Programme berechnenWerte

I Basierend auf

I Werte sindVariablenzugewiesen

I Evaluation vonAusdrücken

I Folgt dem Programmablauf

(4)

Unsere Programmiersprache

Wir betrachten einen Ausschnitt der ProgrammierspracheC (C0).

Ausbaustufe 1 kennt folgende Konstrukte:

I Typen: int;

I Ausdrücke: Variablen, Literale (für ganze Zahlen), arithmetische Operatoren (für ganze Zahlen), Relationen (==,!=,<=, . . . ), boolsche Operatoren (&&, ||);

I Anweisungen:

I Fallunterscheidung (if. . .else. . . ), Iteration (while), Zuweisung, Blöcke;

I Sequenzierung und leere Anweisung sind implizit

(5)

Semantik von C0

Systemzustände

I Ausdrücke werten zuWerten Val (hier ganze Zahlen) aus.

I AdressenLocsind hier Programmvariablen (Namen)

I EinSystemzustandbildet Adressen auf Werte ab: Σ =Loc*Val

I Ein Programm bildet einen Anfangszustandmöglicherweiseauf einen Endzustand ab (wenn esterminiert).

I Zusicherungen sind Prädikate über dem Systemzustand.

(6)

C0: Ausdrücke und Anweisungen

Aexp a::=N|Loc |a₁+a₂ |a₁−a₂ |a₁∗a₂ |a₁/a₂ Bexp b ::=0|1|a₁ ==a₂ |a₁! =a₂

|a1 <=a2 |!b |b1&&b2 |b1||b2

Exp e :=Aexp |Bexp Stmt c ::= Loc=Exp;

| if( b ) c1 else c2

| while ( b ) c

| {c^∗}

(7)

Eine Handvoll Beispiele

// {y =Y ∧y≥0}

x= 1 ;

w h i l e ( y != 0 ) { y= y−1;

x= 2∗x ; }

// {x = 2^Y}

// {a≥0∧b≥0}

r= b ; q= 0 ;

w h i l e ( b <= r ) { r= r−y ;

q= q +1;

}

// {a=b∗q+r∧r <b}

p = 1 ; c = 1 ;

w h i l e ( c<=n ) { c = c +1;

p = p∗c ; }

//{p=n!}

//{0≤a}

t = 1 ; s = 1 ; i = 0 ;

w h i l e ( s <= a ) { t = t + 2 ; s = s + t ; i = i + 1 ; }

//{i²≤a∧a<(i+ 1)²}

(8)

Operationale Semantik: Arithmetische Ausdrücke

Ein arithmetischer Ausdruck a wertet unter gegebenen Zustandσ zu einer ganzen Zahl n (Wert) aus oder zu einem Fehler⊥.

I Aexpa::=N |Loc|a₁+a₂ |a₁−a₂ |a₁∗a₂ |a₁ / a₂

I Zustände bilden Adressen/Programmvariablen auf Werte ab (σ) ha, σi →_Aexp n|⊥

Regeln

hn, σi →_Aexp n X ∈Loc,X ∈Dom(σ), σ(X) =v

hX, σi →_Aexp v

X ∈Loc,X 6∈Dom(σ) hX, σi →_Aexp ⊥

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n_i ∈N,n Summe n₁ undn₂ ha₁+a2, σi →_Aexp n

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 fallsn1 =⊥oder n2 =⊥ ha₁+a₂, σi →_Aexp ⊥

(9)

Operationale Semantik: Arithmetische Ausdrücke

Regeln

hn, σi →_Aexp n

X ∈Loc,X ∈Dom(σ), σ(X) =v hX, σi →_Aexp v

(10)

Operationale Semantik: Arithmetische Ausdrücke

Regeln

(11)

Operationale Semantik: Arithmetische Ausdrücke

Regeln

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 falls n1 =⊥oder n2 =⊥ ha₁+a₂, σi →_Aexp ⊥

(12)

Operationale Semantik: Arithmetische Ausdrücke

ha₁, σi →_Aexp n1

ha₂, σi →_Aexp n₂ n_i ∈N,n Differenz n₁ undn₂ ha₁−a2, σi →_Aexp n

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 falls n1 =⊥oder n2 =⊥ ha₁−a₂, σi →_Aexp ⊥

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n_i ∈N,n Produktn₁ und n₂ ha₁∗a2, σi →_Aexp n

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 fallsn1 =⊥oder n2 =⊥ ha₁∗a₂, σi →_Aexp ⊥

(13)

Operationale Semantik: Arithmetische Ausdrücke

ha₂, σi →_Aexp n₂ n_i ∈N,n Differenz n₁ undn₂ ha₁−a2, σi →_Aexp n

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 falls n1 =⊥oder n2 =⊥ ha₁−a₂, σi →_Aexp ⊥

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n_i ∈N,n Produktn₁ und n₂ ha₁∗a2, σi →_Aexp n

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 falls n1 =⊥oder n2 =⊥ ha₁∗a₂, σi →_Aexp ⊥

(14)

Operationale Semantik: Arithmetische Ausdrücke

ha₂, σi →_Aexp n₂ n_i ∈N,n₂ 6= 0,n Quotient n₁ undn₂ ha₁/a2, σi →_Aexp n

ha₂, σi →_Aexp n2 fallsn1 =⊥,n2 =⊥oder n2 = 0 ha₁+a₂, σi →_Aexp ⊥

(15)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

h(X+Y)∗(X −Y), σi →_Aexp

(16)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX+Y, σi →_Aexp hX−Y, σi →_Aexp h(X+Y)∗(X −Y), σi →Aexp

(17)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX, σi →_Aexp6

hX+Y, σi →_Aexp hX−Y, σi →_Aexp h(X+Y)∗(X −Y), σi →Aexp

(18)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX, σi →_Aexp6 hY, σi →_Aexp 5

hX+Y, σi →_Aexp hX−Y, σi →_Aexp

h(X+Y)∗(X −Y), σi →Aexp

(19)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX, σi →_Aexp6 hY, σi →_Aexp 5

hX +Y, σi →_Aexp11 hX−Y, σi →_Aexp

(20)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX, σi →_Aexp6 hY, σi →_Aexp5 hX+Y, σi →_Aexp11

hX, σi →_Aexp6 hY, σi →_Aexp5 hX−Y, σi →_Aexp

(21)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX, σi →_Aexp6 hY, σi →_Aexp5 hX−Y, σi →_Aexp1 h(X+Y)∗(X −Y), σi →Aexp

(22)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX, σi →_Aexp6 hY, σi →_Aexp5 hX−Y, σi →_Aexp1 h(X+Y)∗(X−Y), σi →Aexp11

(23)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

h(X∗X)−(Y ∗Y), σi →_Aexp

(24)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX, σi →Aexp 6 hX, σi →Aexp 6 hX∗X, σi →_Aexp36 h(X∗X)−(Y ∗Y), σi →_Aexp

(25)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX, σi →Aexp6 hX, σi →Aexp6 hX∗X, σi →_Aexp36

hY, σi →Aexp5 hY, σi →Aexp5 hY ∗Y, σi →_Aexp25 h(X∗X)−(Y ∗Y), σi →_Aexp

(26)

Beispiel Ableitungen

Sei σ(X) = 6, σ(Y) = 5.

hX, σi →Aexp6 hX, σi →Aexp6 hX∗X, σi →_Aexp36

hY, σi →Aexp5 hY, σi →Aexp5 hY ∗Y, σi →_Aexp25 h(X∗X)−(Y ∗Y), σi →_Aexp11

(27)

Operationale Semantik: Boolesche Ausdrücken

I Bexpb::= 0|1 |a1 ==a2 |a1 <= a2 |!b |b1&&b2|b1 || b2

Rules

h1, σi →_Bexp1 h0, σi →_Bexp0

(28)

Operationale Semantik: Boolesche Ausdrücken

Rules

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n_i 6=⊥,n₁ und n₂ gleich ha₁ ==a2, σi →_Bexp1

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 ni 6=⊥,n1 und n2 ungleich ha₁ ==a₂, σi →_Bexp0

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n₁ =⊥ orn₂=⊥ ha₁ ==a2, σi →_Bexp ⊥

(29)

Operationale Semantik: Boolesche Ausdrücken

Rules

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n_i 6=⊥,n₁ kleiner/gleichn₂ ha₁ <=a2, σi →_Bexp1

ha₁, σi →_Aexp n1 ha₂, σi →_Aexp n2 ni 6=⊥,n1 größer alsn2

ha₁ <=a₂, σi →_Bexp0

ha₁, σi →_Aexp n₁ ha₂, σi →_Aexp n₂ n₁ =⊥ orn₂=⊥ ha₁ <=a2, σi →_Bexp ⊥

(30)

Operationale Semantik: Boolesche Ausdrücken

Rules

hb, σi →_Bexp1 h!b, σi →_Bexp0

hb, σi →_Bexp0 h!b, σi →_Bexp 1

hb, σi →_Bexp ⊥ h!b, σi →_Bexp⊥ hb₁, σi →_Bexp t1 hb₂, σi →_Bexpt2

hb₁&&b₂, σi →_Bexpt

wobei t = 1 wennt₁ =t₂ = 1;

t = 0 wennt₁ = 0 oder (t₁ = 1 und t₂= 0);

t =⊥sonst

(31)

Operationale Semantik: Boolesche Ausdrücken

Rules

hb₁, σi →_Bexpt₁ hb₂, σi →_Bexp t₂ hb₁||b2, σi →_Bexpt

wobei t = 0 wennt1 =t2 = 0;

t = 1 wennt1 = 1 oder (t1= 0 und t2= 1);

t =⊥ sonst

(32)

Operationale Semantik: Anweisungen

I Stmtc ::=Loc=Exp; | {c^∗} | if( b ) c1 else c2 |while( b ) c Regeln

hc, σi →_Stmt σ⁰ hX = 5, σi →_Stmt σ⁰

wobei σ⁰(X) = 5 und σ⁰(Y) =σ(Y) für alle Y 6=X

(33)

Operationale Semantik: Anweisungen

hc, σi →_Stmt σ⁰ hX = 5, σi →_Stmt σ⁰

wobei σ⁰(X) = 5 und σ⁰(Y) =σ(Y) für alle Y 6=X Definiere :

σ[m/X](Y) :=

( m ifX =Y σ(Y) sonst

hX = 5, σi →_Stmt σ[5/X]

(34)

Operationale Semantik: Anweisungen

hc, σi →_Stmt σ⁰ h{ }, σi →_Stmt σ ha, σi →_Aexp n ∈N

hX =a, σi →_Stmt σ[n/X]

ha, σi →_Aexp ⊥ hX =a, σi →_Stmt ⊥

(35)

Operationale Semantik: Anweisungen

hc, σi →_Stmt σ⁰

hc, σi →_Stmt σ⁰ 6=⊥ h{c_s}, σ⁰i →_Stmt σ⁰⁰6=⊥ h{c c_s}, σi →_Stmt σ⁰⁰

hc, σi →_Stmt ⊥ h{c c_s}, σi →_Stmt ⊥

hc, σi →_Stmt σ⁰ 6=⊥ h{c_s}, σ⁰i →_Stmt ⊥ h{c c_s}, σi →_Stmt ⊥

(36)

Operationale Semantik: Anweisungen

hc, σi →_Stmt σ⁰

hb, σi →_Bexp1 hc₁, σi →_Stmt σ⁰ hif( b ) c1 else c2, σi →_Stmt σ⁰ hb, σi →_Bexp0 hc₂, σi →_Stmt σ⁰

hif( b ) c₁ else c₂, σi →_Stmt σ⁰ hb, σi →_Bexp⊥

hif( b ) c1 else c2, σi →_Stmt ⊥

(37)

Operationale Semantik: Anweisungen

hc, σi →_Stmt σ⁰ hb, σi →_Bexp0 hwhile( b )c, σi →_Stmt σ

hb, σi →_Bexp 1 hc, σi →_Stmt σ⁰ hwhile( b ) c, σ⁰i →_Stmt σ⁰⁰ hwhile( b ) c, σi →_Stmt σ⁰⁰

hb, σi →_Bexp1 hc, σi →_Stmt ⊥ hwhile ( b ) c, σi →_Stmt ⊥

hb, σi →_Bexp ⊥ hwhile (b ) c, σi →_Stmt ⊥

(38)

Beispiel

x= 1 ;

w h i l e ( ! ( y == 0 ) ) { y= y−1;

x= 2∗x ; }

// x = 2^y σ(y) = 3

(39)

Äquivalenz arithmetischer Ausdrücke

Gegeben zwei Aexp a1 anda2 I Sind sie gleich?

a₁∼_Aexp a₂ gdw ∀σ,n.ha₁, σi →_Aexp n⇔ ha₂, σi →_Aexp n

(X∗X) + 2∗X∗Y + (Y∗Y) und (X+Y) ∗ (X+Y)

I Wann sind sie gleich?

∃σ,n.ha₁, σi →_Aexp n⇔ ha₂, σi →_Aexp n

X∗X und 9∗X+22

X∗X und X∗X+1

(40)

Äquivalenz Boolscher Ausdrücke

Gegeben zwei Bexp-Ausdrückeb1 and b2 I Sind sie gleich?

b₁ ∼_Bexp b₂ iff ∀σ,b.hb₁, σi →_Bexpb ⇔ hb₂, σi →_Bexp b A | | (A && B) und A

(41)

Beweisen

Zwei Programmec0,c1 sind äquivalent gdw. sie die gleichen Zustandsveränderungen bewirken. Formal definieren wir Definition

c₀ ∼c₁ iff ∀σ, σ⁰.hc₀, σi →_Stmt σ⁰ ⇔ hc₁, σi →_Stmt σ⁰

Ein einfaches Beispiel:

Lemma

Sei w ≡while(b ) c mit b ∈Bexp, c ∈Stmt.

Dann gilt: w ∼if(b ){c;w} else{}

Beweis an der Tafel

(42)

Zusammenfassung

I Operationale Semantik als ein Mittel für Beschreibung der Semantik

I Auswertungsregeln arbeiten entlang der syntaktischen Struktur

I Werten Ausdrücke zu Werten aus und Programme zu Zuständen (zu gegebenen Zustand)

I Fragen zu Programmen: Gleichheit