Grundlagen der Informatik I “Programmierung”

Die Grundüberlegung, die zu einem sehr vielseitigen Verifikationskalkül geführt hat, ist die folgende. Gegeben
sei eine Folge von Anweisungen inst1;...;instn samt Vorbedingung pre und Nachbedingung post. Um zu
beweisen, daß
{ pre} inst1;...;instn { post}
wahr ist, überlegt man sich, was die – im logischen Sinne – schwächste Vorbedingung pren ist, so daß gilt
{ pren} instn { post}
pren ist dann die Nachbedingung für den Algorithmus ohne den letzten Schritt instn und wir können das
Verfahren wiederholen, bis wir eine Vorbedingung pre1 für inst1 gefunden haben, die schwächer ist als
die Vorbedingung pre, d.h. für die pre ⇒ pre1 gilt. Ist dies gelungen, so ist der Algorithmus als korrekt
bewiesen worden. 15 Für Konstrukte wie Schleifen wird dies natürlich etwas aufwendiger, da man hier darüber
nachdenken muß, was sich während eines Schleifendurchlaufs verändert und was nicht – also invariant bleibt.
In dem Kalkül von Dijkstra [Dijkstra, 1976] geht man sogar noch einen Schritt weiter. Dort wird zu jeder
Instruktionsart eine Berechnungsvorschrift angegeben, wie man von einer vorgegebenen Nachbedingung post
und einer Instruktion instruction zu derjenigen Vorbedingung pre kommt, welche die geringsten Forderungen
stellt und dennoch { pre} instruction { post} garantiert. Diese Berechnungsvorschrift wp (für
weakest precondition) ist eine Prädikatentransformation
wp : Instruction×Predicate → Predicate
derart, daß für alle Anweisungen instruction, alle Nachbedingungen post und alle Vorbedingungen pre gilt:
{ wp(instruction,post)} instruction { post}
und { pre} instruction { post} ⇒ ( pre ⇒ wp(instruction,post) )
D.h. wp(inst,post) ist eine korrekte Vorbedingung und sie ist schwächer als alle anderen.
Beispiel 4.2.5 (Weakest Precondition)
Für die Nachbedingung x≥5 ∧ y≥0 erhalten wir bei verschiedenen Anweisungen folgende schwächste
Vorbedingungen: 16
wp( x:=y+5 , x≥5 ∧ y≥0 ) ≡ y≥0
wp( y:=0 ; x:=y+5 , x≥5 ∧ y≥0 ) ≡ true
wp( x:=y+5 ; y:=y-4 , x≥5 ∧ y≥0 ) ≡ y≥4
Leider sind die schwächsten Vorbedingungen für Schleifen und Prozeduren sehr unhandlich, da sie Existenzquantoren
einführen und man bei Verwendung der mechanisch konstruierten Vorbedingung in einem Dschungel
von Quantoren stecken bleibt. Aus diesem Grunde werden wir nicht direkt im Kalkül von Dijkstra arbeiten sondern
in dem etwas schwächeren von Hoare, bei dem man die Vorbedingungen selbst finden muß. Als Vorschläge
für Vorbedingungen, die wir nicht mehr beweisen müssen, werden wir dennoch die Prädikatentransformation
mitbenutzen. Diese Vorschläge werden wir jedoch meist in stärkere, aber einfachere Zusicherungen überführen
müssen, die weniger Quantoren enthalten. Hierzu werden wir ein gehöriges Maß an Intuition benötigen, da die
Frage nach einer schematischen, aber korrekten Vereinfachung von Vorbedingungen immer noch ein Thema
der Grundlagenforschung ist.
Anstelle mit der schwächsten Vorbedingung rückwärts zu gehen, kann man übrigens auch versuchen, vorwärts
zu gehen und die stärkste Nachbedingung sp (strongest postcondition) zu finden. Diese spielt aber für die
14 Sinnvoller ist es, ausgehend von der Nachbedingung der Spezifikation, das Programmstück zu konstruieren und im Laufe des
Konstruktionsprozesses auf eine Vorbedingung zu kommen, die weniger restriktiv ist als die Vorbedingung der Spezifikation.
15 Diese Vorgehensweise läßt sich auch für die simultane Entwicklung von Programm und Beweis einsetzen, wenn man zu
Beginn bereits eine ungefähre Idee im Kopf hat, wie der Algorithmus vorgehen soll. In diesem Fall konstruiert man in jedem
Schritt die entsprechende Anweisung insti gleichzeitig mit prei.
16 Wir benutzen das Symbol ≡ anstelle des Gleichheitssymbols =, um Gleichheit von Prädikaten auszudrücken und Verwechs-
lungen mit Gleichheiten innerhalb von Zusicherungen zu vermeiden.