Variables et boucles : la logique de Hoare

(1)

Logiques de programmes, deuxi`eme cours

Variables et boucles : la logique de Hoare

Xavier Leroy 2021-03-11

Coll`ege de France, chaire de sciences du logiciel [email protected]

(2)

Les bases de la logique de Hoare

(3)

Les triplets de Hoare

Les tripletsfaibles:

{ P } c { Q }

% ↑ -

pr´econdition commande postcondition

Signification intuitive :

Si la commandec, démarrée dans un état initial satisfaisantP, termine, alors l’état final satisfaitQ.

On verra aussi les tripletsforts[P]c[Q]qui garantissent la terminaison :la commandec, démarrée dans un état initial satisfaisantP, termine toujours, et l’état final satisfaitQ.

2

(4)

IMP : un petit langage imp ératif à contrˆ ole structur é

Expressions arithm´etiques :

a::=x variable du programme

|₀|₁|. . . _constantes

|a₁+a₂|a₁×a₂|. . . op´erations Expressions bool´eennes :

b::=a₁ ≤a₂|. . . comparaisons

|b₁andb₂|notb|. . . connecteurs Commandes :

c ::=skip commande vide

|x:=a affectation

|c₁;c₂ s´equence

|ifbthenc₁elsec₂ conditionnelle

|whilebdoc boucle

(5)

Les r `egles de la logique de Hoare

faible

pour IMP

Une r`egle par construction du langage de commandes.

{P}skip{P} {Q[x←a]}x :=a{Q} {P}c₁{Q} {Q}c₂{R}

{P}c₁;c₂{R}

{P∧b}c₁{Q} {P∧ ¬b}c₂{Q} {P}ifbthenc₁elsec₂{Q}

{P∧b}c{P} {P}whilebdoc{P∧ ¬b}

4

(6)

Les r ègles g én ériques

La r`egle de cons´equence :

P⇒P⁰ {P⁰}c{Q⁰} Q⁰ ⇒Q {P}c{Q}

Peut aussi s’écrire avec deux règles : une qui renforce la précondition, l’autre qui affaiblit la postcondition.

P⇒P⁰ {P⁰}c{Q} {P}c{Q}

{P}c{Q⁰} Q⁰⇒Q {P}c{Q}

Note : la règle du haut est dérivable des deux règles du bas, et réciproquement.

(7)

Un exemple de d ´erivation

> ⇒₀=₀∧₁=₁

{₀=₀∧₁=₁}x:=₀{x=₀∧₁=₁} {x=0∧₁=1}y:=1{x=0∧y=1} {₀=₀∧₁=₁}x:=₀;y:=₁{x=₀∧y=₁} { > }x:=₀;y:=₁{x=₀∧y=₁}

6

(8)

Un exemple de d ´erivation

Une notation plus compacte, sous forme de programme IMP annot´e par des assertions :

{ > }⇒

{₀=₀∧₁=₁} x:=0;

{x=₀∧₁=₁} y:=₁

{x=0∧y=1}

(9)

V ´erification d’un

vrai

programme : la division euclidienne

{0≤a}⇒{a=b·0+a ∧ 0≤a} r:=a;

{a=b·0+r ∧ 0≤r} q:=0;

{a=b·q+r ∧ 0≤r} while r≥b do

{a=b·q+r ∧ 0≤r ∧ r≥b}⇒ {a=b·(q+1) + (r−b) ∧ 0≤r−b} r:=r−b;

{a=b·(q+1) +r ∧ 0≤r} q:=q+1

{a=b·q+r ∧ 0≤r} done

{a=b·q+r ∧ 0≤r ∧ r<b}⇒ {q=a/b ∧ r=amodb}

8

(10)

Travaux dirig ´es : le calcul du maximum

(Mike Gordon)

1. ´Ecrire un programme IMP qui met dansxle maximum des valeurs dex_{et de}y_.

if x<y then x:=y else skip

2. Sp´ecifier ce programme en logique de Hoare.

{ > }if x<y then x:=y else skip{x= max(x,y)}

3. Vérifier le programme vis-à-vis de cette spécification.

{x<y∧ > } ⇒ {y= max(y,y)}x:=y{x= max(x,y)} {x≥y∧ > } ⇒ {x= max(x,y)}skip{x= max(x,y)} On conclut par la r`egle pour les conditionnelles.

(11)

Travaux dirig ´es : le calcul du maximum

(Mike Gordon)

{ > }if x<y then x:=y else skip{x= max(x,y)}

3. Vérifier le programme vis-à-vis de cette spécification.

9

(12)

Travaux dirig ´es : le calcul du maximum

(Mike Gordon)

{ > }if x<y then x:=y else skip{x= max(x,y)} 3. Vérifier le programme vis-à-vis de cette spécification.

(13)

Travaux dirig ´es : le calcul du maximum

(Mike Gordon)

{ > }if x<y then x:=y else skip{x= max(x,y)} 3. Vérifier le programme vis-à-vis de cette spécification.

9

(14)

Est-ce la bonne sp ´ecification ?

Elle est satisfaite par de nombreux programmes ! { > } x:=y {x= max(x,y)} { > } y:=x {x= max(x,y)} { > } x:=1;y:=0 {x= max(x,y)}

La r´eponse est non ! On voulait dire

La valeur dex`a la fin du programmeest le maximum des valeurs dexet deyau d ´ebut du programme.

(15)

Est-ce la bonne sp ´ecification ?

Elle est satisfaite par de nombreux programmes ! { > } x:=y {x= max(x,y)} { > } y:=x {x= max(x,y)} { > } x:=1;y:=0 {x= max(x,y)}

La r´eponse est non ! On voulait dire

La valeur dex`a la fin du programmeest le maximum des valeurs dexet deyau d ´ebut du programme.

10

(16)

Variables auxiliaires

Une solution est de sp´ecifier en utilisant des variables

math´ematiquesα, β, . . ., distinctes des variables du programme x,y, . . .:

{x=α∧y=β}c{x=max(α, β)} Cesvariables auxiliairessont implicitement quantifi´ees universellement en tˆete du triplet :

∀α, β, {x=α∧y=β}c{x= max(α, β)}

(17)

Variables fantˆ omes

Autre possibilité : spécifier en utilisant des variables du langage de programmation qui n’apparaissent pas dans le programme à spécifier :

{x=z}c{x= max(z,y)} _avecznon libre dansc Cesvariables fantômeszgardent leur valeur pendant l’exécution decet permettent donc de parler de l’étatavantdans la postcondition.

12

(18)

La logique

forte

(correction totale)

Les tripletsforts:

[ P ] c [ Q ]

% ↑ -

pr´econdition commande postcondition

Signification intuitive :

La commandec, démarrée dans un état initial satisfaisantP, termine dans un état final satisfaisantQ.

(19)

Les r `egles de la logique de Hoare

forte

pour IMP

Seules les boucles peuvent causer la non-terminaison

⇒pour les autres constructions d’IMP, les r`eglesfortes sont semblables aux r`eglesfaibles.

[P]skip[P] [Q[x←a] ]x:=a[Q] [P]c₁[Q] [Q]c₂[R]

[P]c₁;c₂[R]

[P∧b]c₁[Q] [P∧ ¬b]c₂[Q] [P]ifbthenc₁elsec₂[Q] P⇒P⁰ [P⁰]c[Q⁰] Q⁰ ⇒Q

[P]c[Q]

14

(20)

V ´erifier la terminaison d’une boucle

La technique duvariant: une expressiona, à valeurs positives, qui décroˆıt strictement à chaque tour de boucle.

∀α, [P∧b∧a=α]c[P∧₀≤a< α] [P]whilebdoc[P∧ ¬b]

La boucle termine forcément, au bout d’au plusNitérations, o ùN est la valeur initiale du varianta.

Note : en cas de boucles imbriquées, on vérifie la terminaison de chaque boucle indépendamment des autres.

(Contrairement `a Turing 1949 et Floyd 1967.)

(21)

V ´erifier la terminaison de la division euclidienne

Le variant est la variabler.

{0≤a ∧ 0<b} ⇒ {a=b·0+a ∧ 0≤a ∧ 0<b} r:=a;

{a=b·0+r ∧ 0≤r ∧ 0<b} q:=0;

{a=b·q+r ∧ 0≤r ∧ 0<b} while r≥b do

{a=b·q+r ∧ 0≤r ∧ 0<b ∧ r≥b ∧ r=α} ⇒ {a=b·(q+1) + (r−b) ∧ 0≤r−b ∧ 0<b

r:=r−b; ∧0≤r−b< α}

{a=b·(q+1) +r ∧ 0≤r ∧ 0<b ∧ 0≤r< α} q:=q+1

{a=b·q+r ∧ 0≤r ∧ 0<b ∧ 0≤r< α} done

{a=b·q+r ∧ 0≤r ∧ r<b} ⇒ {q=a/b ∧ r=amodb}

16

(22)

G én éralisation à plusieurs variants

On peut avoir besoin de plusieurs variantsa₁, . . . ,anet d’un ordre bien fond´e≺_{entre les}n-uplets d’entiers.

(Par exemple, un ordre lexicographique.)

∀α₁, . . . , α_n, [P∧b∧(a₁, . . . ,a_n) = (α₁, . . . α_n)] c

[P∧(a₁, . . . ,an)≺(α₁, . . . αn)] [P]whilebdoc[P∧ ¬b]

(23)

Ajouter des r `egles `a la logique

(24)

Une r ègle d ériv ée : la conditionnelle sans

else

Notation : ifbthenc^def= ifbthencelse skip {P∧b}c{Q} P∧ ¬b⇒Q

{P}ifbthenc{Q} D ´emonstration.

Par la d´erivation suivante :

{P∧b}c{Q}

P∧ ¬b⇒Q {Q}skip{Q} {P∧ ¬b}skip{Q} {P}ifbthencelse skip{Q}

(25)

Une r ègle d ériv ée : la boucle

do. . .while

Notation : docwhileb^def= c;whilebdoc {P}c{Q} Q∧b⇒P {P}docwhileb{Q∧ ¬b} D ´emonstration.

{P}c{Q}

Q∧b⇒P {P}c{Q} {Q∧b}c{Q}

{Q}whilebdoc{Q∧ ¬b} {P}c;whilebdoc{Q∧ ¬b}

19

(26)

Une r ègle d ériv ée : la boucle compt ée

for

Notation : sih,isont deux variables distinctes,

fori=`tohdoc ^def= i:=`;whilei≤hdo(c;i:=i+1) On peut dériver un triplet fort qui garantit la terminaison de la boucle, pourvu que le corpscde la boucle ne contienne pas d’affectations ni àini àh.

[P∧i≤h]c[P[i←i+₁] ] i,hnon affect´ees dansc [P[i←`] ]fori=`tohdoc[P∧i>h]

Le variant est l’expressionh−i+1, qui d´ecroˆıt de 1 `a chaque tour.

(27)

Une r ègle d ériv ée : l’affectation à la mani ère de Floyd

{P}x:=a{ ∃x₀,x=a[x←x₀]∧P[x←x₀]}

D ´emonstration.

NotonsQ^def=∃x₀,x=a[x←x₀]∧P[x←x₀].

P⇒Q[x←a] {Q[x←a]}x:=a{Q} {P}x:=a{Q}

En effet, Q[x←a] = ∃x₀,a=a[x←x₀]∧P[x←x₀][x←a]

= ∃x₀,a=a[x←x₀]∧P[x←x₀] et il suffit de prendrex₀=x.

21

(28)

Quelques r `egles admissibles

Conjonction, disjonction, quantification :

{P₁}c{Q₁} {P₂}c{Q₂} {P₁∧P₂}c{Q₁∧Q₂}

{P₁}c{Q₁} {P₂}c{Q₂} {P₁∨P₂}c{Q₁∨Q₂}

∀x∈X, {P(x)}c{Q(x)} X6=∅ { ∀x∈X.P(x)}c{ ∀x∈X.Q(x)}

∀x ∈X, {P(x)}c{Q(x)} { ∃x∈X.P(x)}c{ ∃x∈X.Q(x)} D ´emonstration.

R´ecurrence surcet inversion sur les d´erivations de{P₁}c{Q₁}, {P₂}c{Q₂}, etc.

(29)

Extensions du langage de

programmation

(30)

Le contrˆ ole non structur ´e

Goto considered harmful . . . or not ? Commandes : c::=. . .|goto`|`:c

Associer un invariantL(`) `a chaque ´etiquette`_. Les triplets deviennentL`{P}c{Q}_.

L` {L(`)}goto`{ ⊥ }

L` {L(`)}c{Q} L` {L(`)}`:c{Q}

(31)

Le non-d ´eterminisme

Permettre aux programmes d’avoir plusieurs comportements diff´erents.

c::=. . .

|c₁8^c2 ex´ecutec₁ouc₂

|x:=choose(N) met un nombre entre 0 etN−_{1 dans}x

|havocx met un nombre quelconque dansx

Les autres constructions se d´eduisent dehavoc: x:=choose(N) ≈ havocx; x:=xmodN

c₁8^c2 ≈ x:=choose(₂);ifx=₀thenc₁elsec₂ x:=choose(N) ≈ x:=₀8^x=₁8· · ·8^x:=N−₁

24

(32)

Les r `egles pour le non-d ´eterminisme

La r`egle pour le choix :

{P}c₁{Q} {P}c₂{Q} {P}c₁8^c2{Q} L’axiome pourchoose:

{Q[x←₀]∧ · · · ∧Q[x←N−₁]}x:=choose(N){Q} ou { ∀α, ₀≤α <N⇒Q[x←α]}x:=choose(N){Q} L’axiome pourhavoc_:

{ ∀α,Q[x←α]}havoc x{Q}

ou {Q[x←y]}havoc x{Q} _siyn’apparait pas dansQ

(33)

Les assertions dynamiques

Introduisent dans le langage la possibilité d’échouer pendant l’exécution.

c::=. . .

|assertb (best une expression booléenne ; adapté à la vérification dynamique)

|assertA (Aest une assertion logique ; adapté à la vérification statique)

La vérification doit garantir l’absence d’erreurs à l’exécution.

D’o `u la r`egle :

{P∧A}assertA{P∧A}

26

(34)

Erreurs dans les calculs arithm ´etiques

L’évaluation d’une expression arithmétiqueaou booléenneb peut aussi provoquer une erreur à l’exécution : division entière par zéro, débordement arithmétique, etc.

On peut caract´eriser l’absence d’erreurs par un pr´edicatDef: Def(cst) =Def(x) =>

Def(a₁+a₂) =Def(a₁)∧Def(a₂)∧MIN≤a₁+a₂≤MAX

Def(a₁/a₂) =Def(a₁)∧Def(a₂)∧a₂6=₀∧MIN≤a₁/a₂≤MAX Def(a₁≤a₂) =Def(a₁)∧Def(a₂)

(etc.)

(35)

Erreurs dans les calculs arithm ´etiques

Dans les règles de la logique, on ajoute des préconditions pour garantir que toutes les expressions s’évaluent sans erreurs.

{Q[x←a]∧Def(a)}x:=a{Q} {P∧b}c₁{Q} {P∧ ¬b}c₂{Q} {P∧Def(b)}ifbthenc₁elsec₂{Q}

{P∧b}c{P∧Def(b)} {P∧Def(b)}whilebdoc{P∧ ¬b}

28

(36)

Liens avec la s ´emantique :

correction de la logique

(37)

Quelle logique pour ´enoncer et traiter les assertions ?

La vision de Hoare :

• Une logiquesur mesure,

• quiparledirectement des variables du programme (x_{, . . . )} et des op´erateurs du langage de programmation (+,and, . . . )

• Une assertion = une proposition de cette logique.

Une vision plus pratique :

• Une logiquestandard,

p.ex. logique du 1^erordre + arithm´etique.

• Parledes variables du programme et des op´erateurs du langage via unetraduction.

• Une assertion = unprédicatsurl’état mémoire.

29

(38)

La signification des assertions

Un état mémoiresassocie une valeur à chaque variable du programme.

´Etat m´emoire (store) s::=variable→_valeur

Une assertionP(portant sur les variablesx,y, du programme) est interprétée comme unprédicat sur l’état mémoires:

[[P]]s=P[x←s(x),y←s(y), . . .]

Exemple

L’assertion 0≤x<yest le pr´edicatλs.0≤s(x)<s(y).

(39)

S ´emantique des expressions

On se donne une sémantique dénotationnelle des expressions du langage : chaque expressionaest interprétée comme une

fonction[[a]] : ´etat m´emoire→valeur. Typiquement : [[x]]s=s(x) [[a₁+a₂]] = [[a₁]]⊕[[a₂]]

[[cst]]s=cst [[a₁∗a₂]] = [[a₁]]⊗[[a₂]]

Les opérateurs⊕,⊗dénotent l’addition et la multiplication du langage. Par exemple pour une arithmétique modulo 2³²:

n₁⊕n₂=norm(n₁+n₂) n₁⊗n₂=norm(n₁×n₂)

norm(n) =nmod₂³² (arithmétique non signée) norm(n) = (n+₂³¹) mod₂³²−₂³¹ (arithmétique signée)

31

(40)

Substitution dans les assertions

{Q[x←a]}x :=a{Q}

Dans la règle pour l’affectation, que signifieQ[x ←a]_? C’est le prédicat[[Q]]so ùs(x)est remplacé par[[a]]s.

Par exemple :

[[ (x <₁₀) [x ←x+₁] ]]s= (s(x)<₁₀) [s(x)←[[x+₁]]s]

= [[x+₁]]s<₁₀= (s(x)⊕₁)<₁₀ On a, par construction

[[Q[x←a] ]]s= [[Q]] (s[x←[[a]]s])

Ceci valide s´emantiquement la r`egle de Hoare pour l’affectation.

(41)

Erreurs dans les expressions arithm ´etiques

Pour modéliser les erreurs dans les expressions arithmétiques (p.ex. division par zéro), on peut ajouter une dénotationerr:

[[a]]s∈Z+{err}

L’assertion substitu´eeQ[x←a]_{exige que}[[a]]s6=err_: [[Q[x←a]]]s= [[a]]s6=err∧[[Q]] (s[x ←[[a]]s]) L’assertionDef(a)doit garantir que[[a]]s6=err.

Ceci valide s´emantiquement la r`egle

{Q[x←a]∧Def(a)}x:=a{Q}

33

(42)

S ´emantique des commandes

La s´emantique des commandes doit pouvoir traiter

• la divergence (non-terminaison) (bouclewhile_{, . . . )}

• les erreurs `a l’ex´ecution (1/0, assertions dynamiques)

• le non-d´eterminisme (choose_,havoc_,c₁8^c2)

On choisit une sémantique opérationnelle à réductions :

c / s → c

⁰

/ s

⁰

c / s → err

c: commande une étape c⁰: commande résiduelle s: état mémoireavant de calcul s⁰: état mémoireaprès

err: erreur `a l’ex´ecution

(43)

R `egles de r ´eduction pour IMP

(cf. cours du 2019-11-28)

(x:=a)/s→skip/s[x←[[a]]s] (skip;c₂)/s→c₂/s

(c₁;c₂)/s→(c⁰₁;c₂)/s⁰ sic₁/s→c⁰₁/s⁰ (c₁;c₂)/s→err sic₁/s→err (ifbthenc₁elsec₂)/s→c₁/s si[[b]]sest vrai (ifbthenc₁elsec₂)/s→c₂/s si[[b]]sest faux

(whilebdoc)/s→skip/s si[[b]]sest faux (whilebdoc)/s→(c;whilebdoc)/s si[[s]]best vrai

(havocx)/s→skip/s[x←n] pour toutn (assertA)/s→skip/s si[[A]]sest vrai (assertA)/s→err si[[A]]sest faux

35

(44)

Suites de r ´eductions

Les comportements possibles d’une commandeccorrespondent

`a des suites de r´eductions pourc/s.

• Terminaison dans l’´etat finals⁰:r´eductions versskip/s⁰ c/s→c₁/s₁→ · · · →skip/s⁰

• Terminaison en erreur :r´eductions verserr c/s→c₁/s₁→ · · · →err

• Divergence :suite infinie de r´eductions c/s→ · · · →cn/sn→ · · ·

• Blocage : (ne se produit pas si la relation→est compl`ete)

c/s→c₁/s₁→ · · · →c⁰/s⁰ 6→ _avecc⁰ 6=skip

(45)

Correction de la logique vis- à-vis de la s émantique op érationnelle

L’interpr´etation intuitive des triplets :

{P}c{Q} la commandec, d´emarr´ee dans un

´etat initialssatisfaisantP, ne fait pas d’erreurs, et si elle termine, l’´etat final satisfaitQ

[P]c[Q] la commandec, d´emarr´ee dans un

´etat initialssatisfaisantP, termine toujours sans erreurs, et l’´etat final satisfaitQ

Est-ce vrai de toutes les exécutions dec/spossibles d’après la sémantique opérationnelle ?

37

(46)

Correction s ´emantique de la logique faible

Th éor ème (Correction s émantique de la logique faible) Supposons{P}c{Q}. Soit s un état m émoire tel que[[P]]s.

1. Sˆuret ´e : il est impossible que c/s→^∗ err

2. Correction partielle : si c/s→^∗ skip/s⁰, alors[[Q]]s⁰.

Nous allons esquisser plusieurs démonstrations. La première approche est inspirée par les démonstrations de sûreté de systèmes de types.

(47)

Correction s ´emantique de la logique faible

Lemme (Sûret é et pr éservation) Supposons{P}c{Q}et[[P]]s.

1. Sûret é imm édiate : c/s6→err

2. Pr ´eservation : si c/s→c⁰/s⁰, alors il existe une pr ´econdition P⁰telle que{P⁰}c⁰{Q}et[[P⁰]]s⁰.

Par cas sur les règles de réductionc/s→. . .et par inversion sur la dérivation de{P}c{Q}.

39

(48)

Correction s ´emantique de la logique faible

Le théorème de correction sémantique s’ensuit facilement : 1. Sûreté : supposonsc/s→^∗ c⁰/s⁰ →err.

Par préservation, il existeP⁰tel que{P⁰}c⁰ {Q}_et[[P⁰]]s⁰. Par sûreté immédiate,c⁰/s⁰ 6→err. Contradiction.

2. Correction partielle : supposonsc/s→^∗ skip/s⁰.

Par pr´eservation, il existeP⁰tel que{P⁰}skip{Q}_et[[P⁰]]s⁰. Par inversion sur{P⁰}skip{Q}_{, on a}P⁰⇒Q.

Donc,[[Q]]s⁰comme attendu.

(49)

L’arbre des r ´eductions

c/s c₁/s₁

...

err skip/s⁰

Une ex´ecution du programme = une branche de l’arbre.

Le programme termine toujours

= toutes les branches sont finies

= l’arbre peut être décrit par unprédicat inductif.

41

(50)

La terminaison comme pr ´edicat inductif

Termc s Q:la commandecdémarrée dans l’étatstermine toujours, et l’état final satisfaitQ.

[[Q]]s Term skips Q

c6=skip c/s6→err (∀c⁰,s⁰, c/s→c⁰/s⁰ ⇒Termc⁰s⁰Q) Termc s Q

Ce prédicat étant inductif, il est faux si une séquence infinie de réductions existe.

(51)

Correction s ´emantique de la logique forte

Le triplet sémantique :si l’état initial satisfaitP, la commandec termine dans un état satisfaisantQ

[[P]]c[[Q]] ^def= ∀s, [[P]]s⇒Termc s Q

On montre que cette définition satisfait les axiomes et les règles d’inférences de la logique de Hoare :

• [[P]]skip[[P]]

• Si[[P]]c₁[[Q]]_et[[Q]]c₂[[R]]_alors[[P]]c₁;c₂[[R]]

• etc.

Th éor ème (Correction s émantique de la logique forte) Si[P]c[Q]est d érivable, alors[[P]]c[[Q]]est vrai.

43

(52)

Des triplets s ´emantiques au lieu de triplets axiomatiques

De plus en plus d’auteurs font l’économie d’axiomatiser les triplets[P]c[Q]et prennent directement la définition sémantique :

[P]c[Q] ^def= [[P]]c[[Q]] ^def= ∀s, [[P]]s⇒Termc s Q Ils montrent alors les axiomes et les règles d’inférences de la logique de Hoare comme autant de lemmes sur cette définition.

Cela permet alors de raisonner sur les programmes comme en logique de Hoare, mais de mani`ere s´emantiquement correcte par construction.

Ce n’est plus dans l’espritaxiomatiquede Hoare (1969), mais simplifie le formalisme et l’ajout de r`eglesa posteriori.

(53)

Des triplets s ´emantiques pour la logique faible

Peut-on suivre la même approche pour la logique faible ? Oui, en remplaçant le prédicatTermc s Qpar un prédicat Safec s Qqui dit que les exécutions dec/sne terminent pas en erreur, et que si elles terminent alors l’état final satisfaitQ.

{{P}}c{{Q}} ^def= ∀s, [[P]]s⇒Safec s Q

45

(54)

Une d ´efinition coinductive de

Safe

De même que le prédicatTermest naturellement inductif, le prédicatSafeest naturellementcoinductif:

[[Q]]s Safe skips Q

c6=skip c/s6→err (∀c⁰,s⁰, c/s→c⁰/s⁰ ⇒Safec⁰s⁰Q) Safec s Q

Avec un prédicat coinductif, on peut avoir des dérivations infinies en profondeur. DoncSafec s Qest vrai sic/sdiverge sans erreurs. (par application infinie de la 2êrègle)

(55)

Une d ´efinition

step-indexed

de

Safe

Au lieu de coinduction, on peut utiliser la technique du

comptage de pas(step indexing) :

Safec s Q ^def= ∀n,Safeⁿc s Q

Le prédicat inductifSafeⁿc s Qsignifie que les exécutions dec/s ne font pas d’erreurdans lesnpremières étapes d’exécution, et satisfontQsi elles terminenten au plusn étapes.

Safe⁰ c s Q

[[Q]]s Safeⁿ⁺¹skips Q

c6=skip c/s6→err (∀c⁰,s⁰, c/s→c⁰/s⁰ ⇒Safeⁿc⁰ s⁰Q) Safeⁿ⁺¹c s Q

47

(56)

Triplets s ´emantiques pour la logique faible

Tant avec la définition coinductive deSafequ’avec la définition step-indexed, le triplet faible sémantique

{{P}}c{{Q}} ^def= ∀s, [[P]]s⇒Safec s Q

satisfait les axiomes et les r`egles de la logique de Hoare faible :

• {{P}}skip{{P}}

• Si{{P}}c₁{{Q}}_et{{Q}}c₂{{R}}_alors{{P}}c₁;c₂{{R}}

• Si{{P∧b}}c{{P}}_alors{{P}}whilebdo c{{P∧ ¬b}}

• etc.

(57)

Correction s ´emantique de la logique faible

Il en découle une autre démonstration de la correction sémantique de la logique faible :

Th éor ème (Correction s émantique de la logique faible) Si{P}c{Q}est d érivable, alors{{P}}c{{Q}}est vrai.

Par r´ecurrence sur la d´erivation de{P}c{Q}.

49

(58)

Liens avec la s ´emantique :

compl ´etude de la logique

(59)

La compl ´etude d’une logique de Hoare

La r´eciproque de la correction s´emantique :

Toute propriété vraie des exécutions d’un programme c peut-elle être exprimée comme un triplet{P}c{Q}_et dérivée en logique de Hoare ?

À l’aide des triplets sémantiques, on peut poser la question plus précisément :

Si{{P}}c{{Q}}, peut-on d´eriver{P}c{Q}_? Si[[P]]c[[Q]], peut-on d´eriver[P]c[Q]_?

50

(60)

Logique de Hoare et calculabilit ´e

La question de la complétude a été beaucoup étudiée dans les années 1970 en raison du lien suivant entre logique de Hoare et calculabilité :

Corollaire (de la correction s ´emantique)

Si{ > }c{ ⊥ }est d ´erivable, alors c ne termine pas.

Si la logique de Hoare était complète, on aurait une équivalence : { > }c{ ⊥ }est dérivablesi et seulement sicne termine pas.

(61)

Incompl ´etude de la logique pour un langage Turing-complet

Rappel : l’ensemble des énoncés dérivables dans un système d’axiomes et de règles estrécursivement énumérable (r.e.).

L’ensemble des triplets{P}c{Q}d´erivables est donc r.e.

L’ensemble des triplets{ > }c{ ⊥ }d´erivables est donc r.e.

(enfiltrantl’´enum´eration de tous les triplets).

Si la logique est compl`ete, l’ensemble des programmescqui ne terminent pas est donc r.e.

Par conséquent, si la logique est complète, le problème de l’arrêt est décidable !

52

(62)

Une analyse du probl `eme

P⇒P⁰ {P⁰}c{Q⁰} Q⁰ ⇒Q {P}c{Q}

Que signifient les pr´emissesP⇒P⁰etQ⁰ ⇒Q?

• Implications d´erivables dans une logique formelle.

L’ensemble de ces implications est r.e., donc{P}c{Q}_est r.e., et la logique est incompl`ete.

• Implications vraies (dans tous les mod`eles).

Alors{P}c{Q}n’est pas r.e. et la logique est compl`ete (transparents suivants).

(63)

Compl ´etude relative

(Stephen A. Cook,Soundness and completeness of an axiom system for program verification, SIAM J. Comput., 1978)

On peut montrer que la logique de Hoare est complète si la même logiqueambianteest utilisée

• pour interpréter les implicationsP⇒P⁰,Q⁰ ⇒Qdans la règle de conséquence ;

• pour d´efinir le triplet s´emantique

{{P}}c{{Q}}^def= ∀s, [[P]]s⇒Safec s Q.

54

(64)

Plus faible pr ´econdition s ´emantique

On définit la plus faible précondition sémantique (weakest (liberal) precondition) de la commandecavec postconditionQ:

wpsemc Q ^def= λs.Safec s Q Par d´efinition du triplet s´emantique, on a

{{P}}c{{Q}} si et seulement si P⇒wpsemc Q Lemme (la plus faible pr écondition s émantique est d érivable) {wpsemc Q}c{Q}est d érivable en logique de Hoare.

R´ecurrence surcetinversionssur le pr´edicatSafe, p.ex.

Safe(c₁;c₂)s QimpliqueSafec₁s(wpsemc₂Q).

(65)

Compl ´etude relative

Th éor ème (compl étude relative)

Si{{P}}c{{Q}}est d ´emontrable dans une logique L,

alors{P}c{Q}est d érivable dans la logique de Hoare utilisant la logique L pour les implications de la r ègle de cons équence.

Par hypoth`ese{{P}}c{{Q}}, on aP⇒wpsemc Q.

Par le lemme, on peut dériver{wpsemc Q}c{Q}. On conclut{P}c{Q}par la règle de conséquence.

56

(66)

Vers l’automatisation :

un calcul des plus faibles

pr ´econditions

(67)

La v ´erification d ´eductive (rappel)

Programme Assertions

logique

de programmes Conditions de

v´erification

d´emonstration manuelle, automatique, ou interactive OK / alarme

Comment engendrer les conditions de vérification ? Comment minimiser la quantité d’assertions à fournir ?

57

(68)

Programmes compl `etement annot ´es

{0≤a} ⇒ {a=b·0+a ∧ 0≤a} r:=a;

{a=b·0+r ∧ 0≤r} q:=0;

{a=b·q+r ∧ 0≤r} while r≥b do

{a=b·q+r ∧ 0≤r ∧ r≥b} ⇒ {a=b·(q+1) + (r−b) ∧ 0≤r−b} r:=r−b;

{a=b·(q+1) +r ∧ 0≤r} q:=q+1

{a=b·q+r ∧ 0≤r} done

{a=b·q+r ∧ 0≤r ∧ r<b} ⇒ {q=a/b ∧ r=amodb}

Conditions de vérification : les étapes⇒o ù on applique la règle de conséquence.

(69)

R éduire la quantit é d’annotations à fournir

Pour v´erifier un sous-programmec, il suffit de fournir

• la pr´econditionP

• la postconditionQ

• un invariant de boucleInvpour chaque boucle dansc. Les autres assertions logiques et les conditions de v´erification s’obtiennent alors par calcul deplus faibles pr´econditionsou de plus fortes postconditions.

59

(70)

Plus faible pr ´econdition

La plus faible pr´econdition (weakest precondition) d’une commandecavec postconditionQest une assertionwpc Q telle que

• c’est une pr´econdition :[wpc Q]c[Q]_;

• c’est la plus faible : si[P]c[Q]_alorsP⇒wpc Q. Par cons´equent :

[P]c[Q] si et seulement si P⇒wpc Q

Intuition : les hypothèses nécessaires pour que le codeccalcule bien le résultat décrit par la postconditionQ.

Intuition originale (Dijkstra, 1975) : synth´etiser le codecpar raffinement `a partir de sa postconditionQ.

(71)

Autres

transformateurs de pr ´edicats

Plus faible pr´econdition lib´erale wlpc Q

(weakest liberal precondition) Commewpmais ne garantit pas la terminaison :

{P}c{Q} si et seulement si P⇒wlpc Q Plus forte postcondition (lib´erale) spP c slpP c

(strongest (liberal) postcondition) [P]c[Q] si et seulement si spP c⇒Q

{P}c{Q} si et seulement si slpP c⇒Q Intuition : exécution symbolique dec à partir d’un état satisfaisantP.

61

(72)

Calculer la plus faible pr ´econdition

Une caract´erisation non effective :wlpc Q=W

{P| {P}c{Q}}

Pour les programmes sans boucles, une d´efinition r´ecursive surc: wlp skipQ=Q

wlp(x:=a)Q=Q[x←a]

wlp(c₁;c₂)Q=wlpc₁(wlpc₂Q)

wlp(ifbthenc₁elsec₂)Q= (b∧wlpc₁Q)∨(¬b∧wlpc₂Q) wlp(havocx)Q=∀n, Q[x←n]

wlp(assertA)Q=A∧Q (Les mˆemes ´equations sont valides pourwp.)

(73)

Plus faible pr ´econdition lib ´erale pour une boucle

Non calculable en g´en´eral :wlp(whilebdoc)Q=W

iP_i avecP₀ =¬b∧QetP_i+1=b∧wlpc P_i.

On demande au programmeur d’annoter chaque boucle par son invariantInv. Alors :

wlp(while^Inv bdoc)Q=Inv

`a condition que

b∧Inv⇒wlpc Inv et ¬b∧Inv⇒Q

Pour calculerwp, il faut aussi annoter la boucle par le variant qui en garantit la terminaison.

63

(74)

Un semi-algorithme de v ´erification d ´eductive

Pour vérifier{P}c{Q}, supposant annotées les boucles dec: 1. Calculerwlpc Qet les conditions de vérificationvcc Q:

vc(while^Inv bdoc)Q= (b∧Inv⇒wlpc Inv)

∧(¬b∧Inv⇒Q)

∧vcc Inv vc skipQ=>

vc(c₁;c₂)Q=vcc₁(wlpc₂Q)∧vcc₂Q et de mˆeme pour les autres constructions du langage.

2. Démontrer(P⇒wlpc Q)∧vcc Q, qui est une formule de logique usuelle, à l’aide d’un démonstrateur automatique.

(75)

Calculer et v ´erifier la plus forte postcondition lib ´erale

Pour m´emoire, les ´equations pourslp: slpPskip=P

slpP(x:=a) =∃x₀,x=a[x←x₀]∧P[x←x₀] slpP(c₁;c₂) =slp(slpP c₁)c₂

slpP(ifbthenc₁elsec₂) =slp(b∧P)c₁∨slp(¬b∧P)c₂ slpP(while^Inv bdoc) =¬b∧Inv

slpP(havoc x) =∃x₀,P[x←x₀] slpP(assertA) =A∧P

et les conditions de v´erification non triviales :

vcP(while^Inv bdoc) = (P⇒Inv)∧(sp(b∧Inv)c⇒Inv)

∧vc(b∧Inv)c vcP(assertA) =P⇒A

65

(76)

Point d’ ´etape

(77)

Point d’ ´etape sur la logique de Hoare

Un formalisme tr`es riche.

Deux visions compl´ementaires :

• La vision axiomatique : les r`egles d´efinissent le langage.

• La vision opérationnelle : les règles sont des théorèmes qui facilitent le raisonnement sur les exécutions des

programmes.

S’étend assez facilement à de nombreusesstructures de contrôle (goto_,break_,return, exceptions, procédures, . . . ).

Quid desstructures de donn´ees? (→prochain cours)

66

(78)

Bibliographie

(79)

Bibliographie

Deux pr´esentations de la logique de Hoare :

• H. R. Nielson et F. Nielson,Semantics with Applications : an appetizer, Springer, 2007, ch. 9 et 10.

(Suit l’approche op´erationnelle.)

• G. Winskel,The Formal Semantics of Programming Languages, MIT Press, 1993, ch. 6 et 7.

(Suit l’approche axiomatique classique. Discussion très complète de la question de la complétude.)

M´ecanisations de la logique de Hoare :

• Le d´eveloppement Coq correspondant `a ce cours :

https://github.com/xavierleroy/cdf-program-logics

• T. Nipkow et G. Klein,Concrete Semantics, chap. 12.

67