识别个别条款

Question

我正在尝试学习ACSL，但我在尝试编写完整的规范时遇到了麻烦。我的代码

#include <stdint.h>
#include <stddef.h>

#define NUM_ELEMS (8)

/*@ requires expected != test;
  @ requires \let n = NUM_ELEMS;
  @          \valid_read(expected + (0.. n-1)) && \valid_read(test + (0.. n-1));
  @ assigns \nothing;
  @ behavior matches:
  @   assumes \let n = NUM_ELEMS;
  @           \forall integer i; 0 <= i < n ==> expected[i] == test[i];
  @   ensures \result == 1;
  @ behavior not_matches:
  @   assumes \let n = NUM_ELEMS;
  @           \exists integer i; 0 <= i < n && expected[i] != test[i];
  @   ensures \result == 0;
  @ complete behaviors;
  @ disjoint behaviors;
  @*/
int array_equals(const uint32_t expected[static NUM_ELEMS], const uint32_t test[static NUM_ELEMS]) {
  for (size_t i = 0; i < NUM_ELEMS; i++) {
    if (expected[i] != test[i]) {
      return 0;
    }
  }
  return 1;
}

我用

运行它

frama -c -wp -wp-rte test.c

我看到以下日志

[kernel] Parsing FRAMAC_SHARE/libc/__fc_builtin_for_normalization.i (no preprocessing)
[kernel] Parsing test.c (with preprocessing)
[rte] annotating function array_equals
test.c:22:[wp] warning: Missing assigns clause (assigns 'everything' instead)
[wp] 9 goals scheduled
[wp] [Alt-Ergo] Goal typed_array_equals_assign_part1 : Unknown (Qed:2ms) (67ms)
[wp] [Alt-Ergo] Goal typed_array_equals_assert_rte_mem_access_2 : Unknown (Qed:2ms) (128ms)
[wp] [Alt-Ergo] Goal typed_array_equals_assert_rte_mem_access : Unknown (Qed:2ms) (125ms)
[wp] [Alt-Ergo] Goal typed_array_equals_matches_post : Unknown (Qed:10ms) (175ms)
[wp] [Alt-Ergo] Goal typed_array_equals_not_matches_post : Unknown (Qed:7ms) (109ms)
[wp] Proved goals:    4 / 9
     Qed:             4  (0.56ms-4ms)
     Alt-Ergo:        0  (unknown: 5)

所以看起来我的两个行为和＆＃34;分配\没有＆＃34;无法证明。那么我该如何从这里开始呢？

编辑：所以我想出了眼前的问题。我没有注释我的循环：

  /*@ loop invariant \let n = NUM_ELEMS; 0 <= i <= n;
    @ loop invariant \forall integer k; 0 <= k < i ==> expected[k] == test[k];
    @ loop assigns i;
    @ loop variant \let n = NUM_ELEMS; n-i;
    @*/

我的大问题仍然存在：什么是调试问题的好方法？我通过更改和删除代码并查看证明/未证明的内容来解决这个问题。

Answer 1

我担心这个问题无法得到明确答案（说实话，我已经考虑投票将其关闭为“过于宽泛”）。然而，这里有一些指南可能会帮助您进行证明尝试：

识别个别条款

ACSL规范很快由许多子句组成（requires，ensures，loop invariant，assert，...）。能够容易地区分它们是很重要的。为此，您有两个主要成分：

使用GUI。它使得更容易看到哪些注释被证明（绿色子弹），证明了但是在其他未经证实的条款为真（绿色/黄色）或未经证实（黄色）的假设下。
命名您的子句：任何ACSL谓词都可以附加一个名称，语法为name: pred。当一个子句配有名称时，WP将使用它来引用该子句。

常见嫌疑人

很容易错过规范中一些非常重要的部分。这是一个快速检查清单：

所有循环必须配备loop invariant和loop assigns
正在分析的人调用的所有函数必须有一个契约（至少有一个assigns子句）
如果loop assigns中提到的内存位置不是a 相应的loop invariant，您对循环外该位置存储的值一无所知。这可能是一个问题。

调试各个子句

一旦你确信你没有错过任何明显的东西，那就是时候了开始调查具体的条款。

通常，验证建立loop invariant要容易得多（即第一次获得循环时为真）而不是保留（在循环步骤中保持正确）。如果你不能建立loop invariant，那么它是错误的，或者你忘了一些requires来约束函数的输入（算法比数组的典型情况是loop invariant 0<=i<=n;可以如果你不requires n>=0;）
同样，assigns和loop assigns应该比实际功能属性更容易验证。只要它们不是全部证明，你应该专注于它们（一个常见的错误是忘记将循环的索引放入其中）它的loop assigns，或者说它分配a[i]而不是a[0..i]）。不要忘记assigns必须包括所有可能的作业，包括那些在callees做的事。
请毫不犹豫地使用assert来检查WP是否可以证明某个属性在某个特定点存在。这有助于您了解问题出现的位置。 [根据@DavidMENTRÉ在下面的评论进行编辑]请注意，在这种情况下，您应该注意这样一个事实：初始证明义务可能会在assert成立的假设下成功，而assert本身未经过验证。在GUI中，这由绿色/黄色子弹反映，当然还有assert前面的黄色子弹。在那种情况下，证据还没有结束，你必须理解为什么断言没有得到证实，可能使用与上面相同的策略，直到你明白问题的确切位置。

如何在frama-c中调试ACSL？

1 个答案:

识别个别条款

常见嫌疑人

调试各个子句