Grundlagen der Informatik I “Programmierung”

Programmkonstruktion keine Rolle, da die Nachbedingung die Wirkung eines Programmstücks festlegt und
damit im Programm “zurückgerechnet” wird. Die “Vorwärtsrechnung” von der Vorbedingung (zumeist true)
zur Nachbedingung wirkt ziellos, da die Vorbedingung keine Information über das Ziel in sich trägt.
Bei all diesen Überlegungen wurden die folgenden Regeln ohne weitere Begründung verwendet:
pre ⇒ pre’, { pre’} instruction { post}
{ pre} instruction { post}
{ pre} instruction { post’} , post’ ⇒ post
{ pre} instruction { post}
Verstärkung der Vorbedingung (VV)
Abschwächung der Nachbedingung (AN)
Abbildung 4.1: Verstärkungs- und Abschwächungsregeln für Programmbeweise
Die Verstärkung der Vorbedingung bzw. die Abschwächung der Nachbedingung erlaubt uns, einen Programmbeweis
in folgender Form zu beschreiben:
Programm Zusicherungen Prämissen
{ pre} pre ⇒ pre’
{ pre’}
instruction
{ post’} post’ ⇒ post
{ post}
Vor jeder und nach jeder Anweisung instruction steht eine Reihe von Zusicherungen, die sich von oben nach
unten jeweils abschwächen. Am rechten Rand wird zusätzlich angegeben, warum diese Abschwächung zulässig
ist. Das Lesen (und meist das Erzeugen) des Programmbeweises erfolgt dann von unten nach oben. Folgt
oberhalb einer Zusicherung wieder eine Zusicherung, so beschreiben die Anmerkungen der oberen Bedingung,
warum diese Verschärfung zulässig ist. Folgt eine Instruktion, so ist deren Vorbedingung über die jeweilige
Regel für diesen Instruktionstyp z.B. über die schwächste Vorbedingung nachzuweisen.
Zwei weitere Regeln sind sinnvoll, falls die Prädikate zu kompliziert werden:
{ pre} instruction { post} , { pre’} instruction { post}
{ pre ∨ pre’} instruction { post}
Kombination der Vorbedingungen
{ pre} instruction { post} , { pre} instruction { post’}
{ pre} instruction { post ∧ post’}
Kombination der Nachbedingungen
Abbildung 4.2: Regeln für die Kombination von Zusicherungen in Programmbeweisen
Diese beiden Regeln erlauben es, ein Programm einzeln für Teilzusicherungen zu prüfen. Die erste Regel
gibt an, daß bei mehreren alternativen Vorbedingungen (pre ∨ pre’), die zweite Regel, daß bei mehreren
Anforderungen (post ∧ post’) der Beweis einzeln geführt werden kann.
Wir wollen nun im folgenden Abschnitt für alle Programmkonstrukte der Sprache Eiffel weitere formale Regeln
angeben, die uns sagen, wie die Korrektheit einer komplexeren Anweisung aus Eigenschaften ihrer Bestandteile
abgeleitet werden kann. Diese Regeln reichen aber noch nicht aus, um ein Programm zu beweisen. Hinzu
kommen müssen die Regeln aus den jeweiligen Anwendungsgebieten. Soll etwas numerisch berechnet werden,
so benötigen wir natürlich die Regeln der Arithmetik mit dem zusätzlichen Wissen über die Eigenschaften
der Funktionen, die verwendet und berechnet werden sollen: z.B. a>b ⇒ ggt(a-b,b) = ggt(a,b). Diese
Regeln werden im folgenden als bekannt vorausgesetzt, ohne deren Kalkül explizit anzugeben.
Als Schlußbemerkung wollen wir noch anfügen, daß alle bisherigen Verifikationsmechanismen ausschließlich für
Programme mit Copy-Semantik entwickelt wurden. Die Regeln, die wir im folgenden angeben werden, können