程序验证（四）：一阶理论

程序验证（四）：一阶理论

定义

一个一阶理论(theory)$T$被以下两点定义：

• 它的符号集$\Sigma$, 一个非逻辑符号的集合
• 它的公理$\mathcal{A}$, 一个在$\Sigma$上的闭公式(closed formula)
  一阶逻辑理论定义了一个有限的词汇表以讨论所关注的主题，而理论中的公理定义了所意指的涵义(intended meaning)
  $\Sigma$-formula: 一个$\Sigma$-formula 只包含$\Sigma$中的非逻辑符号，以及逻辑变元，逻辑连接词和量词。
  举例：
  $$\forall x,y.x=y\to y=x$$
  $$a[i]=e\to a⟨i◃e⟩=a$$

常用理论(theory)

等价理论(Theory of Equality)

定义

等价理论$T_E$由以下符号集给出：
Σ E : { = , a , b , c , . . . , f , g , h , . . . , p , q , r , . . . } \Sigma_E: \{=,a,b,c, ... ,f,g,h, ... ,p,q,r, ...\} ΣE​:{=,a,b,c,...,f,g,h,...,p,q,r,...}
这里有二元等价符号=，以及其他的常量、函数、谓词符号。$T_E$的公理“=”满足自反性、对称性、传递性，以及函数与谓词的同余性(congruence)
$T_E$公式举例：

• $\forall x,y.x=y\to y=x$
• $a=b\wedge b=c\to g(f(a),b)=g(f(c),a)$

符号集：
Σ E : { = , a , b , c , . . . , f , g , h , . . . , p , q , r , . . . } \Sigma_E : \{=,a,b,c, ... ,f,g,h, ... ,p,q,r, ...\} ΣE​:{=,a,b,c,...,f,g,h,...,p,q,r,...}
公理集：

• 自反性(refelxivity): $\forall x.x=x$
• 对称性(symmetry): $\forall x,y.x=y\to y=x$
• 传递性(transitivity): $\forall x,y,z.x=y\wedge y=z\to x=z$
• 函数同余性(function congruence): $\forall x,y.({\bigwedge }_{i=1}^n{x}_i=y_i)\to f(x)=f(y)$
• 谓词同余性(predicate congruence): $\forall x,y.({\bigwedge }_{i=1}^n{x}_i=y_i)\to (p(x)\leftrightarrow p(y))$

注意，以上公理并不是标准的公理，实际上，它只是一个模式(schema)因为表达式中的$f$或$p$可以代表任何函数（或谓词）

性质

$T_E$是可判定的吗？
不是（即答
证明方法：将$T_E$公式转化为一阶逻辑公式：

• $T_E$仍然允许所有常量、函数以及谓词符号存在
• 可以将任何一阶逻辑公式$F$编码为$T_E$公式$F^{\prime }$
  • 将$F$中所有=符号用一个新的(fresh)谓词符号替换
  • $F^{\prime }$中不出现=符号
  • $T_E$中的公理与此无关
    然而，$T_E$的量词自由片段(quantifier-free fragment)是可判定的

理论的片段(theory fragment)

一个理论的片段(fragment)是$T$中公式的一个由语义约束的(syntactically-restricted)子集
如果对于每个符合片段的语义约束的公式$F$，$T\models F$是可判定的，那么这个片段是可判定的
量词自由的片段：$T$中没有量词的永真公式（也可以看做是所有量词都是全称量词）

永真性的证明

使用一阶逻辑中的语义分析方法，同时假如$T_E$的公理
举例：
证明以下公式的永真性：
$$F:x=y\wedge y=z\to g(f(x),y)=g(f(z),x)$$

步骤	公式	备注
1	$I\not\models F	-
2	$I\models x=y\wedge y=z$	1, $\to$
3	$I/\models g(f(x),y)=g(f(z),x)$	1, $\to$
4	$I\models x=y$	2, $\wedge$
5	$I\models y=z$	2, $\wedge$
6	$I\models x=z$	4, 5, $trans.$
7	$I\models y=x$	4, $symm.$
8	$I\models f(x)=f(z)$	6, $cong.$
9	$I\models g(f(x),y)=g(f(z),x)$	7, 8, $cong.$
10	$\perp$	3, 9

佩亚诺算术(Peano Arithmetic): $T_{PA}$

定义

符号集：
Σ P A : { 0 , 1 , + , × , = } \Sigma_{PA} : \{0,1,+,\times , =\} ΣPA​:{0,1,+,×,=}

• 0与1是常量
• +与$\times$是二元函数
• =是二元谓词

没有其他符号
公理集：

• 所有的等价公理：自反性、对称性、传递性、以及同余性
• $Zero:\forall x.\neg (x+1=0)$
• $Successor:\forall x,y.(x+1=y+1)\to x=y$
• $Pluszero:\forall x.x+0=x$
• $Plussuccessor:\forall x,y.x+(y+1)=(x+y)+1$
• $Timeszero:\forall x.x\times 0=0$
• $Timessuccessor:forallx,y.x\times (y+1)=x\times y+x$

为了方便，以后我们把$x\times y$记作$xy$
数学归纳法：
一个模板：
$$(F(0)\wedge (\forall x.F[x]\to f[x+1]))\to \forall x.F[x]$$
这里$F$代表任意的$T_{PA}$_公式
这就是数学归纳法在佩亚诺算术下的表达

一种佩亚诺算术

因为算术中的函数与谓词符号可以有多种解释，所以这里说是“一种”
最常见的：

• Domain: $\mathbb{N}$
• $I[0],I[1]:0_{\mathbb{N}},1_{mathbbN}\in \mathbb{N}$
• $I[+]:{+}_{\mathbb{N}},additionover\mathbb{N}$
• $I[\times ]:{\times }_{\mathbb{N}},multiplicationover\mathbb{N}$
• $I[=]:{=}_{\mathbb{N}},equalityover\mathbb{N}$

语法糖

在$T_{PA}$中如何写$3x+5=2y$?
$$(1+1+1)\times x+1+1+1+1+1=(1+1)\times y$$
如何表达$x>5$?
$$\exists y.\neg (y=0)\wedge x=5+y$$
如何表达$x+1\le y$?
$$\exists z.x+1+z=y$$

性质

$T_{PA}$中的可满足性与永真性是不可判定的，甚至量词自由的$T_{PA}$也是不可判定的
另外，$T_{PA}$是不完备的(KaTeX parse error: Can't use function '\'' in math mode at position 2: G\̲'̲'{o}del, 1930)
总结：很多永真的数学命题在$T_{PA}$上是非永真的
原因：乘法过于复杂

Presburger算术: $T_{\mathbb{N}}$

定义

符号集：
Σ N : { 0 , 1 , + , = } \Sigma_{\mathbb{N}}:\{0,1,+,=\} ΣN​:{0,1,+,=}
公理集：

• 所有的等价公理：自反性、对称性、传递性、同余性
• $Zero:\forall x.\neg (x+1=0)$
• $Successor:\forall x,y.(x+1=y+1)\to x=y$
• $Pluszero:\forall x.x+0=x$
• $Plussuccessor:\forall x,y.x+(y+1)=(x+y)+1$
• $Induction:(F[0]\wedge (\forall x.F[x]\to F[x+1]))\to \forall x.F[x]$

性质

常用的解释与佩亚诺算术一样
但是，它有很好的性质：

• 永真性可判定
  • 但是很困难：复杂度KaTeX parse error: Expected 'EOF', got '}' at position 10: O(2^{2^n}}̲)
• 完备性：对于任一$T_{\mathbb{N}}$上的公式$F$，或者$\models F$或者$\models \neg F$
• 可以量词消除：对于任一$T_{\mathbb{N}}$上的公式$F$，存在一个等价的量词自由的$F^{\prime }$
  • 量词自由的片段的可判定性是coNP-complete的

技巧：如何证明整数

考虑这样一个公式：
$$F_0:\forall w,x.\exists y,z.x+2y-z-13>-2w+5$$
这里的-被解释为标准减法，$w,x,y,z$的范围为整数集$Z$

• 为了表示$T_N$中的公式，为$F_0$中每个变量$v$都引入两个变量$v_p$和$v_n$：
  $$F_1:\forall w_p,w_n,x_p,x_n.\exists y_p,y_n,z_p,z_n.(x_p-x_n)+2(y_p-y_n)-(z_p-z_n)-13>-3(w_p-w_n)+5$$
• “移项”（因为$T_N$中没有减号），得到最终形式：
  $$F_2:\forall w_p,w_n,x_p,x_n.\exists y_p,y_n,z_p,z_n.\exists u.\neg (u=0)\wedge x_p+y_p+y_p+z_n+w_p+w_p+w_p=x_n+y_n+y_n+z_p+w_n+w_n+w_n+u+1+1+...+1$$（一共13个+1）

线性整数算术：$T_{\mathbb{Z}}$

定义

符号集：
Σ Z : { . . . , − 2 , − 1 , 0 , 1 , 2 , . . . , − 3 × , − 2 × , 2 × , 3 × , . . . , + , − , = , > } \Sigma_{\mathbb{Z}}: \{...,-2,-1,0,1,2, ... ,-3\times ,-2\times ,2\times ,3\times ,...,+,-,=,>\} ΣZ​:{...,−2,−1,0,1,2,...,−3×,−2×,2×,3×,...,+,−,=,>}

• -2,-1,0,1,2,…,+,-,=,>就是通常情况下的涵义
• $-3\times$, $-2\times$, $2\times$, $3\times$都是常系数的一元乘法函数
  论断：$T_{\mathbb{Z}}$可以归约(reduce)为$T_{\mathbb{N}}$
• 它们的表达能力相同
• $T_{\mathbb{Z}}$更加方便，所以比$T_{\mathbb{N}}$更加常用

举例

证明以下公式的永真性：
$$F:\forall x,y,z.x>z\wedge y\ge 0\to x+y>z$$

步骤	公式	备注
1	$I/\models F$	假设
2	I 1 : I ◃ { x ↦ v 1 } ◃ { y ↦ v 2 } ◃ { z ↦ v 3 }   I 1 ⊭ x > z ∧ y ≥ 0 → x + y > z I_1:I\triangleleft \{x\mapsto v_1\}\triangleleft\{y\mapsto v_2\}\triangleleft\{z\mapsto v_3\}~I_1\not\models x>z\wedge y\ge 0\to x+y>z I1​:I◃{x↦v1​}◃{y↦v2​}◃{z↦v3​} I1​​⊨x>z∧y≥0→x+y>z	1, $\forall$
3	$I_1\models x>z\wedge y\ge 0$	2, $\to$
4	$I_1/\models x+y>z$	2, $\to$
5	$I_1\models \neg (x+y>z)$	4, $\neg$
6	$\perp$	3, 5, $T_Z$

$$Q.E.D$$

数列理论: $T_A$

定义

符号集：
Σ A : { = , ⋅ [ ⋅ ] , ⋅ ⟨ ⋅ ◃ ⋅ ⟩ } \Sigma_A: \{=,\cdot [\cdot], \cdot \langle \cdot\triangleleft \cdot\rangle\} ΣA​:{=,⋅[⋅],⋅⟨⋅◃⋅⟩}

• $a[i]$是一个二元函数，表示在索引为$i$处读取$a$
• $a⟨i◃v⟩$是一个三元函数，代表在索引为$i$处向$a$写入值$v$
  习惯的解释：
• 如果一个值$v$被写入到$a$的位置$i$处，那么之后对于$a$位置$i$处的读操作应当返回$v$
• 逻辑是静态的，所以数组可以函数化表示，如$(a⟨i_1△left{v}_1⟩)⟨i_2◃v_2⟩$
  公理集：
• 自反性、对称性、传递性的等价公理
• 数组同余：$\forall a,i,j.i=j\to a[i]=a[j]$
• 读写-1：$\forall a,v,i,j.i=j\to a⟨i◃v⟩[j]=v$
• 读写-2：$\forall a,v,i,j.i\ne j\to a⟨i◃v⟩[j]=a[j]$
  注意：等价性只在数组元素之间被讨论
  比如公式$a[i]=v\to a⟨i◃v⟩=a$就不是$T_A$-永真的。

举例

证明以下公式的永真性：
$$F:a[i]=v\to (\forall j.a⟨i◃v⟩[j]=a[j])$$

步骤	公式	备注
1	$I,\alpha /\models F$	-
2	$I,\alpha \models a[i]=v$	1, $\to$
3	$I,\alpha /\models \forall j.a⟨i◃v⟩[j]=a[j]$	1, $\to$
4	$I,\alpha [j\mapsto c_j]/\models a⟨i◃v⟩[j]=a[j]$	3, $\forall$
5	$I,\alpha [j\mapsto c_j]\models a⟨i◃v⟩[j]\ne a[j]$	4, $\neg$
6	$I,\alpha [j\mapsto c_j]\models i=j$	5, 读写-2
7	$I,\alpha [j\mapsto c_j]\models a[i]=a[j]$	6, 同余
8	$I,\alpha [j\mapsto c_j]\models a⟨i◃v⟩[j]=v$	6, 读写-1
9	$I,\alpha [j\mapsto c_j]\models a⟨i◃v⟩[j]=a[j]$	2, 7, 8, 传递性
10	$I,\alpha [j\mapsto c_j]\models \perp$	4, 9

性质

不可判定
但是量词自由片段可以判定