高完整性系统工程（八）：Hoare Logic

目录

1. 霍尔逻辑（Proving Programs Correct）

1.1 警告（Caveats）

1.2 误解（Misconception）

1.3 编程语言（Programming Language）

1.4 程序（Programs）

1.5 证明（Proof）

1.6 霍尔三元组（Hoare Triples）

1.7 逻辑（Logic Refresher）

1.8 推理规则（Inference Rules）

1.9 赋值语句（Assignment Statements）

1.10 赋值规则（Rule of Assignment）

1.11 推论规则（Rule of Consequence）

1.12 结合两个规则（Combining the Two Rules）

2. 赋值规则与最弱前置条件规则 Assignment Rule as Weakest Precondition Rules

2.1 最弱前置条件推理 Weakest Precondition Reasoning

2.2 序列规则 Rule of Sequencing

2.3 Larger Programs

2.3.1 逐步推理

2.3.2 最终证明

2.4 Skip

2.5 条件规则 Conditional Rule

2.5.1 示例：寻找最大值

2.6 迭代规则

2.6.1 迭代的例子：计算阶乘

---

1. 霍尔逻辑（Proving Programs Correct）

霍尔逻辑是一种理论方法，用于证明程序的正确性，即程序的运行结果符合我们预期的功能和效果。但是，证明程序的正确性并不意味着程序就一定没有错误或bug，还存在一些潜在的问题和误解：

1.1 警告（Caveats）

• 如果证明了程序的正确性，就保证没有错误吗？答案是不确定的，原因如下：
  • 错误的规格说明（Incorrect specification）：你可能证明了错误的事情。
  • 程序与已证明内容不同（Program differs from what was proved）：证明总是基于数学模型，而实际的程序可能与模型存在差异。
  • 程序执行与理想状态不同（Program's execution differs from ideal）：可能由于编译器或硬件错误，硬件故障等导致。

1.2 误解（Misconception）

• 证明过程很困难吗？如果你仔细理解编程，证明过程并不困难。

1.3 编程语言（Programming Language）

这部分介绍了如何在霍尔逻辑中表示程序的基本元素。

• 程序（Procedures）

  • P := procedure p(v1,...,vn) ^= S
  • 其中v1, . . .,vn是变量名，p是程序名，S是程序语句。

• 表达式（Expressions）

  • E := NE | a[NE]
  • NE := n | v | E1+E2 | E1-E2 | E1xE2 | E1/E2 | etc...
  • 这里，n是一个数字，v是一个变量，a是一个数组变量，NE是一个数字表达式，E是一个表达式。

• 布尔表达式（Booleans）

  • B := true | false | 反B | E1=E2 | E1 <= E2 | etc. . .
  • B代表布尔表达式。

• 语句（Statements）

  • S := skip | v:=E | a[NE] := E | p(E1,...,En) | S1;S2 | if B then S1 else S2 endif | while B do C done
  • 这里，v是一个变量，a是一个数组变量，p是一个程序名。S代表语句。

通过这些基本元素和结构，我们可以在霍尔逻辑中建立和证明程序的模型。

1.4 程序（Programs）

这部分示例展示了一个阶乘程序FACTORIAL，输入是n，输出是f。主程序调用了FACTORIAL (10,f)。

procedure p1 (v1,...,vm) ^= S1
...
procedure pn (v1,...,vn) ^= Sn
S -> “main” program: -> FACTORIAL (10,f)

procedure FACTORIAL(in n, out f)
    f := 1
    i := 0
    while i /= n do
        i:=i+1
        f:=f×i
    end while
end procedure

FACTORIAL (10,f)

1.5 证明（Proof）

证明程序的正确性是遵循程序的结构，自顶向下。为了证明关于X的某件事，我们需要分析X的内部组件。

1.6 霍尔三元组（Hoare Triples）

霍尔逻辑使用霍尔三元组 {P} S {Q} 来描述程序的行为，其中：

• P 是前置条件（Precondition）；
• S 是程序；
• Q 是后置条件（Postcondition）。

例如，{ x = 2 } x := x + 1 { } 描述的是，在执行 x := x + 1 之前，x 的值是 2。这是最强后置条件的示例。另一个示例是最弱前置条件 { } x := x + 1 { x = 1 }，这表示在 x := x + 1 执行后，x 的值应该是 1。

1.7 逻辑（Logic Refresher）

这部分是对逻辑符号的一些基本介绍：

• A → B 表示“蕴含”，即如果 A 为真，则 B 也为真；
• ¬A 表示“非”或“否定”，表示 A 不为真；
• A ∧ B 表示“与”或“合取”，表示 A 和 B 都为真；
• A ∨ B 表示“或”或“析取”，表示 A 或 B 至少有一个为真；
• true 表示永远为真的命题；
• false 表示永远为假的命题。

1.8 推理规则（Inference Rules）

推理规则用于逻辑推理。以下是一些示例：

• 模态三段论（Modus Ponens）：如果 A 为真，并且 A → B 为真，则 B 为真；

• 公理（Axiom）： true 总是为真；

• 结构规则（Structural Rule）：如果 A 和 B 都为真，则 A ∧ B 为真。

1.9 赋值语句（Assignment Statements）

赋值语句是最基本的程序语句。霍尔逻辑为赋值语句提供了一种形式化的表示方法，该表示方法包含前置条件、赋值语句本身和后置条件。例如：

• { x = 2 } x := x + 1 { } 表示在执行 x := x + 1 之前，x 的值是 2。
• { } x := x + 1 { x = 1 } 表示在 x := x + 1 执行后，x 的值是 1。

1.10 赋值规则（Rule of Assignment）

赋值规则描述了在给变量 x 赋值表达式 E 后，前置条件 P 如何变为后置条件。规则为：