Grundlagen der Informatik I “Programmierung”

4.3.4.4 Verifikation
Die Verifikationsregel für bedingte Anweisungen ist in der einfachen Form ohne elseif noch relativ leicht zu
verstehen. Um zu beweisen, daß { pre} if Bedingung then Anweisung1 else Anweisung2 end { post}
gilt, muß man sich beide Anweisungen einzeln ansehen. Anweisung1 wird ausgeführt, wenn Bedingung gilt
(und natürlich auch pre), Anweisung2 wird ausgeführt, wenn Bedingung nicht gilt, also ¬Bedingung (und
pre) wahr ist. Beide Voraussetzungen müssen jeweils die Gültigkeit der Nachbedingung post zur Folge haben.
{ pre ∧Bedingung} Anweisung1 { post} , { pre ∧¬Bedingung} Anweisung2 { post}
{ pre} if Bedingung then Anweisung1 else Anweisung2 end { post}
Der Prädikatentransformer ergibt sich aus dem folgenden Zusatzargument. Die schwächste Vorbedingung für
post hängt davon ab, ob vor Ausführung der Anweisung Bedingung gilt oder nicht. Im ersten Fall ist dies
dann die schwächste Vorbedingung bezüglich Anweisung1 andernfalls diejenige bezüglich Anweisung2. Dies
läßt sich durch logische Implikationen leicht ausdrücken
wp(Bedingung then Anweisung1 else Anweisung2 end, post)
≡ Bedingung ⇒ wp(Anweisung1, post) ∧ ¬Bedingung ⇒ wp(Anweisung2, post) 25
Läßt man den else Zweig aus, so vereinfacht sich die Regel, da die schwächste Vorbedingung von post unter
einer leeren Anweisung (bei der gar nichts geschieht) natürlich wieder post selbst ist. Abbildung 4.9 faßt die
Verifikationsregeln und Prädikatentransformer bedingter Anweisungen zusammen.
{ pre ∧Bedingung} Anweisung1 { post} , { pre ∧ ¬Bedingung} Anweisung2 { post}
{ pre} if Bedingung then Anweisung1 else Anweisung2 end { post}
{ pre ∧Bedingung} Anweisung1 { post} , pre ∧¬Bedingung ⇒ post
{ pre} if Bedingung then Anweisung1 end { post}
wp(Bedingung then Anweisung1 else Anweisung2 end, post)
≡ Bedingung ⇒ wp(Anweisung1, post) ∧ ¬Bedingung ⇒ wp(Anweisung2, post)
wp(Bedingung then Anweisung1 end, post)
≡ Bedingung ⇒ wp(Anweisung1, post) ∧ ¬Bedingung ⇒ post
Abbildung 4.9: Verifikationsregeln und Prädikatentransformer für bedingte Anweisungen
Etwas komplizierter wirkt die Verifikationsregel für die allgemeine bedingte Anweisung mit elseif (siehe Abbildung
4.7). Dies liegt daran, daß jedes elseif eine weitere Verschachtelungsstufe eröffnet und man die obige
Verifikationsregel mehrfach anwenden muß. Eine Regel für die allgemeine bedingte Anweisung enthält also für
jeden elseif-Zweig eine weitere Prämisse. Im Zweig elseif Bedingungi then Anweisungi müssen alle bisher
genannten Bedingungen falsch sein und Bedingungi wahr. Alles andere ist genauso wie bisher.
{ pre ∧Bedingung1 } Anweisung1 { post} ,
{ pre ∧¬Bedingung1 ∧Bedingung2 } Anweisung2 { post} ,
.
{ pre ∧¬Bedingung1 ∧... ∧¬Bedingungn } Anweisungelse { post}
{ pre} if Bedingung1 then Anweisung1 elseif ... else Anweisungelse end { post}
Die allgemeine Fallunterscheidung läßt sich, wie oben illustriert, auf die allgemeine bedingte Anweisung
zurückführen. Da die sich hieraus ergebende Verifikationsregel konzeptionell nichts neues bringt, aber noch
einmal etwas komplizierter wird, verzichten wir auf die Angabe einer eigenen Regel.
25 Logische Umformungen führen auch zu einer anderen häufig benutzten Beschreibungsform. Es reicht, daß entweder Bedingung
wahr ist und die Vorbedingung bezüglich Anweisung1 oder daß ¬Bedingung gilt und die Vorbedingung bezüglich Anweisung2:
wp(Bedingung then Anweisung1 else Anweisung2 end , post)
≡ Bedingung ∧ wp(Anweisung1, post) ∨ ¬Bedingung ∧ wp(Anweisung2, post)