Question

在下面的例子中，frama-c无法在函数契约中证明我的assign子句，我不知道为什么。我真的很感激任何帮助。

/*@
  @ requires n>0;
  @ requires \valid(a+(0..n-1));
  @ ensures \forall int i; (n>i>=0 ==> a[i]==0);
  @*/

 void f(int n, float *a) {
     /*@ 
       @ loop invariant n>=0;
       @ loop invariant test: \forall int j; (n>j>i ==> a[j]==0);
       @ loop assigns i, a[0..n-1];
       @*/
     for (int i=n-1; i>=0; i--) {
         a[i] = 0;
     }

 }

这是我的输出：

[wp] 8 goals scheduled
[wp] [Alt-Ergo] Goal typed_f_loop_assign_part3 : Unknown (Qed:24ms) (406ms)
[wp] Proved goals:    7 / 8
    Qed:             5  (4ms-13ms-24ms)
    Alt-Ergo:        2  (20ms-32ms) (28) (unknown: 1)

我只是在这个程序中以相反的顺序将数组清零。

Answer 1

您在i上缺少循环不变量。因此，WP不知道它可以采用的值范围，并且无法证明正在编写的a索引是0 .. n-1。只需添加

   @ loop invariant -1 <= i <= n-1;

（请注意，在上次迭代结束时，i为-1，而非0。）

无法验证assign子句 - Frama-C

1 个答案: