Question

我正在尝试证明Dafny中的一个简单程序可以找到整数数组的最大元素。 Dafny成功在几秒钟内证明了以下程序。当我从最后两个ensures规范中删除评论时，Dafny会显示错误消息

a postcondition might not hold on this return path

这可能是由于index被保证为<= a.Length所致。但是，max_index < a.Length是正确的，我很难证明这一点。我尝试在if语句中编写嵌套不变式，但Dafny拒绝了该语法。有什么解决办法吗？这是我的代码：

method FindMax(a: array<int>) returns (max: int, max_index : int)
    requires a.Length > 0
    ensures forall k :: 0 <= k < a.Length ==> a[k] <= max
    ensures 0 <= max_index
    // ensures max_index < a.Length
    // ensures a[max_index] == max
{
    max := 0;
    var index := 0;
    max_index := 0;
    while index < a.Length
        invariant 0 <= index <= a.Length
        invariant forall k :: 0 <= k < index ==> a[k] <= max
    {
        if (max  < a[index])
            // invariant 0 <= index < a.Length
        {
            max := a[index];
            max_index := index;
        }
        index := index + 1;
     }
}

Answer 1

事实证明，我的循环不变式需要更仔细的计划。这是正确的版本：

method FindMax(a: array<int>) returns (max: int, max_index : int)
    requires a.Length > 0
    ensures forall k :: 0 <= k < a.Length ==> a[k] <= max
    ensures 0 <= max_index
    ensures max_index < a.Length
    ensures a[max_index] == max
{
    var index := 0;
    max_index := 0;
    max := a[max_index];
    while index < a.Length
        invariant max_index < a.Length
        invariant 0 <= index <= a.Length
        invariant forall k :: 0 <= k < index ==> a[k] <= max
        invariant a[max_index] == max
    {
        if (max  < a[index])
        {
            max := a[index];
            max_index := index;
        }
        index := index + 1;
     }
}

Dafny花费了不到10秒的时间来证明。

Dafny无法证明整数数组中的max元素

1 个答案: