Correction de programmes : Logique de Hoare

Dimension: px

Commencer à balayer dès la page:

Download "Correction de programmes : Logique de Hoare"

Bertrand Plamondon
il y a 8 ans
Total affichages :

1 16 juillet 2009

2 Logique et informatique Vis-à-vis de l informatique la logique a au moins 2 rôles : 1 Externe et théorique (fondements de l informatique - Électif en S4) : Logique comme méta-informatique (calculabilité, indécidabilité, classification des problèmes selon leur compléxité) 2 Interne et pratique : l informatique est un terrain où ses méthodes sont appliquées et expérimentées Dans ce cours, nous allons nous intéresser à ce second point.

indécidabilité, classification des problèmes selon leur compléxité) 2 Interne et pratique : l informatique

3 La logique comme outils de raisonnement La programmation est en soi une activité logique : Concevoir un programme, c est prouver une proposition de façon constructive Exécuter un programme fonctionnel, c est normaliser une preuve. Exécuter un programme logique, c est construire une preuve. Optimiser ou interpréter un programme, c est construire un modèle non standard du programme, comme s il s agissait d évaluer la vérité ou la consistance d une proposition logique. vérifier la correction d un programme, c est montrer que ce dernier est modèle d un ensemble de propriétés définissant le cahier des charges formel. C est ce dernier point que nous allons traiter dans ce cours, i.e. définir un outils formel permettant de montrer la correction d un programme.

Optimiser ou interpréter un programme, c est construire un modèle non standard du programme, comme s il s agissait d évaluer la vérité ou la consistance d une proposition logique.

4 Preuve de programme : Pourquoi? De tout programme, on peut faire un modèle mathématique. def pgcd(n,m): Calcul du pgcd de n et m x = n y = m while x <> y: if x < y: y = y - x else: x = x - y return x Modèle A sur la signature Σ = ({nat, bool}, {0, >, %, pgcd}) A nat = N et A bool = B 0 A = 0, > A = {(n, n) n N} % A : (n, m) r t.q. q, n = mq + r pgcd A (n, n m) si m > n pgcd A : (n, m) m si n = m pgcd A (n m, m) sinon On peut donc raisonner sur ces programmes.

Modèle A sur la signature Σ = ({nat, bool}, {0, >, %, pgcd}) A nat = N et A bool = B 0 A = 0, > A = {(n, n) n N} %

5 Quel type de raisonnement? Observation Les programmes étant des modèles mathématiques, on peut faire des raisonnements formels dessus pour montrer qu ils font bien ce que nous attendons d eux sans pour cela les exécuter sur toutes les données en entrée (souvent en nombre infini). Pour le programme précédent, ceci revient à montrer pour tous n > 0 et m > 0, que pgcd(n, m) = x, i.e. {n > 0 m > 0}pgcd(n, m) n%x = 0 m%x = 0 p, n%p = 0 m%p = 0 x p Ainsi, on est intéressé par démontrer des propriétés générales de la forme : {ψ}p{ϕ} où ψ est une propriété portant sur les données en entrée du programme P (pré-condition) et ϕ une propriété portant sur le résultat rendu par le programme P (post-condition).

cela les exécuter sur toutes les données en entrée (souvent en nombre infini).

6 La logique de Hoare Les programmes P étant des modèles mathématiques (structures algébriques), les propriétés portant sur ces programmes doivent s exprimer dans le langage des mathématiques : La logique mathématique La logique mathématique a pour but la modélisation du raisonnement mathématique. Suivant le rêve de Leibniz, on modélise le raisonnement par des axiomes et des règles d inférence pour inférer des conclusions à partir de prémisses suivants des règles de bases appelés aussi calcul. Ici, on va étudier la logique de Hoare, logique utilisée pour raisonner sur les programmes écrits dans les langages impératifs. Tony Hoare : Chercheur britannique inventeur de cette logique. Il reçu la Turing award (equivalent de la médaille Fields ou du prix Nobel en informatique théorique).

Suivant le rêve de Leibniz, on modélise le raisonnement par des axiomes et des règles d inférence pour inférer des conclusions à partir de prémisses suivants des règles de bases appelés aussi

7 Logique des programmes - Vérification de programmes Formellement, la logique des prédicats permet de décrire et de raisonner sur les propriétés sur les données en entrée et en sortie des programmes. Ici, nous ne présenterons pas cette logique (cf. électif en S4 sur les fondements de l informatique), et nous utiliserons le raisonnement rigoureux (i.e. sémantique) mais non formel (i.e. non symbolique) classiquement utilisé en mathématique sur ces données. La logique de Hoare décrit les évolutions possibles de l état d un programme impératif. Les évolutions sont modélisées par des règles et l état d un programme est symbolisé par un triplet {ψ} P {ϕ} où ψ et ϕ sont des propriétés prédicatives sur les données en entrée et en sortie, et P est un programme écrit dans un langage impératif tel que Python. Pour faciliter le raisonnement, on restreint la syntaxe des langages impératifs aux programmes While.

La logique de Hoare décrit les évolutions possibles de l état d un programme impératif.

8 Syntaxe - Les programmes While Langage de programmation pas aussi expressif que les langages de programmation du commerce. Cepandant, ce langage suffit. En effet, les programmes issus d un tel langage : ont une sémantique claire et simple. sont contenus dans tous les langages de programmation de haut niveau. ont la même puissance d expression que les langages de programmation de haut niveau (ils peuvent exprimer n importe quelle fonction calculable, i.e. toute fonction exprimable par un programme informatique (thèse de Church)).

sont contenus dans tous les langages de programmation de haut niveau.

9 Les programmes While Définition récursive imbriquée. Instructions Une instruction est : une affectation de la forme x = t où x est une variable un emplacement dans un tableau t[i] ou dans un dictionnaire, et t est une expression d un type donnée bien formée, une condition de la forme IF ϕ THEN α ELSE β où ϕ est une expression Booléenne, et α et β des programmes. une boucle de la forme WHILE ϕ DO α END où ϕ est une expression Booléenne, et α un programme. Programmes Un programme est toute séquence finie de la forme α 1 ; α 2 ;... ; α n où chaque α i (i = 1,..., n) est une instruction. Ce langage a été étendu à toutes les constructions des langages impératifs modernes (fonctions, appels récursifs, etc.)

un type donnée bien formée, une condition de la forme IF ϕ THEN α ELSE β où ϕ est une expression Booléenne, et α et β des programmes.

10 Exemple x = n; y = m; WHILE x!= y DO IF x < y THEN y = y - x ELSE x = x - y END

11 Syntaxe : assertion sur les programmes Pour montrer la correction d un programme, on va exprimer des assertions de la forme : Assertions Une assertion est une suite de symbole de la forme : {ψ} P {ϕ} où ψ et ϕ sont des propriétés sur les données et P un programme. Sémantique intuitive : l assertion {ψ} P {ϕ} veut dire Si l état de la mémoire satisfait ψ et P termine, alors, après exécution, l état de la mémoire satisfait ϕ.

ϕ sont des propriétés sur les données et P un programme.

12 Exemple Pour montrer la correction du programme P précédent, on veut démontrer l assertion suivante : (n > 0 m > 0) P n%x = 0 m%x = 0 p, n%p = 0 m%p = 0 x p

13 Règles d inférence : Logique de Hoare Définition Un programme {ψ}p{ϕ} est dérivable, noté {ψ}p{ϕ}, si, et seulement si on peut l obtenir en utilisant un nombre fini de fois les règles suivantes : Programme vide : {ϕ}ε{ϕ} Affectation : {ϕ(x/t)}x = t{ϕ} à condition que ϕ(x/t) soit valide Test : si {ψ C}α{ϕ} et {ψ C}β{ϕ} alors {ψ}if C THEN α ELSE β{ϕ} Boucle : si {ϕ C}α{ϕ} alors {ϕ}while C DO α END{ϕ C} ϕ s appelle l invariant de boucle Composition d instruction : si pour tout i, 0 i n, {ϕ i 1 }α i {ϕ i } alors {ϕ 0 }α 1 ;... ; α n {ϕ n } Raffinement : si ψ ψ, {ψ }P{ϕ } et ϕ ϕ alors {ψ}p{ϕ}

Test : si {ψ C}α{ϕ} et {ψ C}β{ϕ} alors {ψ}if C THEN α ELSE β{ϕ} Boucle : si {ϕ C}α{ϕ} alors {ϕ}while C DO α END{ϕ C} ϕ s appelle l invariant de

14 Un exemple très simple Essayons de montrer l assertion {x == a y == b}z = x; x = y; y = z{x == b y == a} 1 Par la règle d affectation on a {x == a y == b x == a}z = x{x == a y == b z == a} 2 De la même manière, {y == b y == b x == a}x = y{x == b y == b z == a} 3 Enfin, {x == b z == a z == a}y = z{x == b y == a z == a} 4 Maintenant, on peut montrer facilement que x == a y == b x == a y == b x == a 5 On a aussi x == a y == b z == a y == b y == b x == a 6 On montre aussi facilement que x == b y == b z == a y == b y == b x == a 7 Enfin on montre aussi facilement que x == b y == a z == a x == b y == a 8 En appliquant 4 fois la règle de raffinement on obtient l assertion que l on cherche à prouver.

facilement que x == a y == b x == a y == b x == a 5 On a aussi x == a y == b z == a y == b y == b x == a 6 On montre aussi facilement que x == b y == b z == a y == b y == b x

15 Un exemple plus compliqué Soit le programme P q = 0; r = A; WHILE B <= r DO r = r - B; q = q + 1 END Montrons alors que {A 0 B > 0}P{A = B q + r r < B}

16 Un exemple plus compliqué La preuve se fait en trois étape : 1 Étape 1 : {A 0 B 0}q = 0{A 0 B 0 q == 0} 2 Étape 2 : {A 0 B 0 q 0}r = A{A 0 B 0 q == 0 r == A} 3 Étape 3 : {A 0 B 0 q == 0 r == A} WHILE B <= r DO r = r B ; q = q + succ(0) END {A = B q + r r < B} Preuve complète à faire en pc.

17 Pour finir Depuis, la logique de Hoare a été étendue aux langages de programmation dans leur gloablité et selon différents paradigmes de programmation : Langages procéduriaux (Pascal,C,Cobol,Fortran,etc.). Langages fonctionnels (ML,CAML). Langages modulaires (Modual-2), orienté-classes (ADA), orienté-objets (JAVA,C++,SmallTalk,ect.). Langages parallèles, synchrones et asynchrones (Lustre,Esterel,etc.). NB : La logique de Hoare est une approximation, ou abstraction de la sémantique dénotationnelle, qui voit le programme comme une fonction qui transforme la mémoire et elle-même approxime la sémantique opérationnelle qui voit le programme comme une succession d états de la machine.

). Langages parallèles, synchrones et asynchrones (Lustre,Esterel,etc.). NB : La logique de Hoare est une approximation, ou abstraction de la sémantique dénotationnelle,

Documents pareils

Grandes lignes ASTRÉE. Logiciels critiques. Outils de certification classiques. Inspection manuelle. Definition. Test

Grandes lignes ASTRÉE. Logiciels critiques. Outils de certification classiques. Inspection manuelle. Definition. Test Grandes lignes Analyseur Statique de logiciels Temps RÉel Embarqués École Polytechnique École Normale Supérieure Mercredi 18 juillet 2005 1 Présentation d 2 Cadre théorique de l interprétation abstraite