Grundlagen der Informatik I “Programmierung”

Die Bedeutung einer solchen Schleife ist die folgende: zunächst werden die Initialanweisung(en) im from-Teil
ausgeführt 28 und anschließend die Schleifenanweisung(en) zwischen loop und end solange wiederholt, bis die
im until-Teil genannte Abbruchbedingung erfüllt ist. Ist diese bereits nach der Initialanweisung erfüllt, dann
wird die Schleifenanweisung überhaupt nicht ausgeführt. Die Anweisungen dürfen dabei wie immer beliebig
komplex oder auch leer sein (was aber nur im Falle der Initialanweisung Sinn macht).
Mit dem Schleifenkonstrukt sind wir nun in der Lage, das noch fehlende Programmstück aus Beispiel 4.3.8 –
die Implementierung von “fakultäts-berechnung” – anzugeben
from Result := 1 ; n := 1
until n>=arg
loop
n := n+1;
Result := Result*n
end
Dabei muß die lokale Variable n zuvor in der Funktion fakultät mit local n:INTEGER vereinbart werden.
Schleifen sind (neben Routinen) bei der Implementierung das mächtigste Handwerkzeug, da sie erlauben,
bestimmte Anweisungsfolgen beliebig oft durchführen zu lassen. Andererseits machen Schleifen es aber auch
erheblich schwerer, das Verhalten eines Programmes präzise zu beschreiben, wenn man nicht extrem sorgfältig
programmiert. Dadurch, daß die Anzahl der Wiederholungen der Schleifenanweisungen erst während der
Laufzeit – nämlich nach Beendigung – der Schleife bestimmt werden kann, ist das Verhalten von Schleifen
weniger geradlinig als das von zusammengesetzten oder bedingten Anweisungen. Es ist nicht einmal gesichert,
ob die Schleife überhaupt jemals beendet wird. Deshalb muß man bei der Verifikation von Programmen, die
Schleifen enthalten, zwei Fragen beantworten.
Bricht die Schleife jemals (geplant) ab? (Terminierung)
Wenn sie endet, erfüllt sie ihre Nachbedingung? (Partielle Korrektheit)
Für den Beweis der Terminierung hat sich folgender Gedankengang bewährt. Wenn eine Schleife nach einer
Anzahl von Schritten terminiert, dann wird bei jedem Schleifendurchlauf die Anzahl der noch ausstehenden
Schleifendurchläufe um eins kleiner. Im Prinzip läßt sich also die Anzahl der noch ausstehenden Schleifendurchläufe
durch einen Integer-Ausdruck beschreiben, der von allen möglichen in die Schleife verwickelten
Parametern abhängt und bei jedem Schleifendurchlauf geringer wird.
Den genauen Ausdruck zu finden ist jedoch im allgemeinen zu schwierig. Stattdessen behilft man sich mit einer
Näherungslösung. Es genügt ja, einen anderen, etwas groberen Zusammenhang durch einen Integer-Ausdruck
zu beschreiben, der – wie die Anzahl der noch ausstehenden Schleifendurchläufe – stets größer gleich Null ist,
wenn die Abbruchbedingung nicht erfüllt ist, und bei jedem Schleifendurchgang mindestens um eins kleiner
wird. Wenn man diesen Ausdruck – die sogenannte Variante der Schleife – finden und die obengenannten
Eigenschaften beweisen kann, dann ist gezeigt, daß die Schleife abbrechen muß . 29
Für die partielle Korrektheit gilt folgende Überlegung. Will man über das Ergebnis einer Schleife nach der
Terminierung etwas aussagen, so muß man eine Programmeigenschaft formulieren, die nur von den in die
Schleife verwickelten Variablen abhängt und nach jedem Schleifendurchgang gültig ist. Da aber die Anzahl
der Schleifendurchgänge im voraus nicht feststeht, muß man die Gültigkeit dieser Eigenschaft durch eine Art
Induktion beweisen. Dies aber geht nur, wenn man die Eigenschaft so formuliert, daß sie vor dem Beginn der
eigentlichen Schleife wahr ist (Induktionsanfang) und nach einem einmaligen Schleifendurchlauf immer dann
wahr ist, wenn sie vorher gültig gewesen war (Induktionsschritt). Man sagt daher, daß die Programmeigenschaft
gegenüber einer Schleifendurchführung invariant ist, da sie sich bei dem Durchgang nicht ändert.
28 Man hätte beim Entwurf von Eiffel natürlich auch auf den from-Teil verzichten können, da die Initialanweisung ja einfach vor
der Schleife genannt werden könnte. Die Verwendung des from sorgt jedoch dafür, daß Anweisungen, deren Sinn ausschließlich
in der Bereitstellung gewisser Anfangsbedingungen für eine Schleife liegt, auch dieser Schleife zugeordnet werden sollten.
29 Das mathematische Argument, das man üblicherweise mit Wohlordnungen beweist ist grob gesagt das folgende: Ein endlicher
Wert, der bei jedem Schleifendurchgang mindestens um eins kleiner wird, wird irgendwann einmal negativ. Dies aber ist nur
möglich, wenn die Abbruchbedingung erfüllt ist, da er andernfalls nach Voraussetzung größer gleich Null sein muß.