Grundlagen der Informatik I “Programmierung”

Um diese Bestandteile deutlich genug vom Programmtext abzugrenzen, hat sich eingebürgert, sie in geschweifte
Klammern zu setzen. Bei einer einfachen Folge von Anweisungen sähe dann ein durch logische Bestandteile
ergänztes Programm wie folgt aus
.
is -require
pre
do { pre}
Anweisung1; { Aussage1}
Anweisung2; { Aussage2}
.
Anweisungn
ensure post
end
{ post}
Aussage1 ist dabei zugleich die Nachbedingung von Anweisung1 als auch die Vorbedingung von Anweisung2.
Ähnliches gilt für Aussage2, Aussage3 usw. pre ist als Vorbedingung der ganzen Routine insbesondere
auch Vorbedingung von Anweisung1, post als Nachbedingung der ganzen Routine auch Nachbedingung von
Anweisungn. Wir haben bei dieser Vorgehensweise die Schreibweise des sogenannten Hoare-Kalküls verwendet.
Definition 4.2.1 (Notation des Hoare-Kalküls)
Die Schreibweise { pre} instruction { post} ,
bezeichnet einen Satz des Kalküls für Programmbeweise.
Er ist wahr genau dann, wenn pre eine Vorbedingung dafür ist, daß die Anweisung instruction
terminiert und daß nach Ausführung von instruction die Aussage post gilt.
Für die Aussagen pre und post sind Ausdrücke der Prädikatenlogik erlaubt, ergänzt um die Zusicherungssprache
von Eiffel. instruction muß eine korrekte Eiffel Anweisung sein.
{ pre} instruction { post} besagt also, daß die Berechnung der Anweisung instruction immer zu einem
Ergebnis führt (terminiert) und daß im Anschluß daran die Aussage post gilt, vorausgesetzt, daß vor
der Ausführung von instruction die Aussage pre gültig war. Ist dies nicht der Fall, so wird gemäß den
üblichen Regeln der logischen Implikation überhaupt nichts gefordert. Die Anweisung braucht nicht einmal
zu terminieren. Die Anweisung instruction darf auch eine komplexere Anweisung (ein Compound gemäß der
Syntaxbeschreibung in Abschnitt 4.3.12.1) sein.
Beispiel 4.2.2
Ein einfacher wahrer Satz des Kalküls für Programmbeweise ist
{ x=0 ∧ y≥4} x:=y+3; y:=y-4 { x≥5 ∧ y≥0}
An diesem Beispiel sieht man, daß Vor- und Nachbedingungen nicht unbedingt “optimal” sein müssen.
Nach Ausführung von x:=y+3 wissen wir nämlich sogar, daß x≥7 gilt. Die Nachbedingung ist also
schwächer als das, was wir beweisen könnten, – oder die Vorbedingung ist stärker als das, was wir
benötigen.
Die Terminierungsbedingung in Definition 4.2.1 ist wichtig, weil es durchaus der Fall sein kann, daß die
Berechnung von Anweisungen, die Schleifen enthalten, bei bestimmten Eingaben niemals endet. In diesem
Fall kann man natürlich auch keine Nachbedingung mehr beweisen. Deswegen unterscheidet man auch zwei
Formen von Korrektheit einer Anweisung mit Vorbedingung pre und Nachbedingung post. Verlangt man, daß
{ pre} instruction { post} wahr ist im Sinne der Definition 4.2.1, so spricht man von totaler Korrektheit.
Schwächt man die Definition dahingehend ab, daß aus der Vorbedingung pre nicht die Terminierung der
Anweisung folgen muß, und post nur gelten muß, wenn pre gilt und die Anweisung terminiert, dann spricht
man von partieller Korrektheit.
Da aus Terminierung und partieller Korrektheit die totale Korrektheit folgt, hat es sich für die Beweisführung
als zweckmäßig herausgestellt, den Beweis der Terminierung von dem der partiellen Korrektheit zu trennen.