程序验证的基本方法

下面的框图代表一个非负整数的除法程序。x1是被除数；x2是除数；z1中存放程序加工后得到的商；z2中存放得到的余数y1、y2是程序加工时使用的工作单元。START 表示程序的起始，HALT表示程序的终止。方框中是同时赋值语句，如(y1,y2):=(O,x1)

表示将y1置0值的同时，将y2的值置为x1。圆框内是测试语句，用于控制程序加工的流程。如框图中的语句y2≥x2

表示当y2的值大于等于x2时，程序按yes的箭头继续执行；否则按no的箭头继续执行。　为验证程序，必须首先将程序所要实现的目标形式化,即使用数学公式表达程序加工的初始数据的范围(称作输入谓词)和程序加工的结果（称作输出谓词）。

若约定各个变量的取值都是整数，上述除法程序的输入谓词和输出谓词分别为　在用归纳断言方法证明程序正确性时，还必须在程序的框图中设置一些数学公式，称作断言，表示程序执行到该处时，程序中变量应满足的数学关系。输入谓词可选作起点处的断言，而输出谓词可选作终止点处的断言。

在除法程序中设置三个断言，A处和C处的断言分别为上述输入和输出谓词，B处断言为(x1=y1x2+y2)&(y2≥0)　(1)

反映了y1、y2中存放商数和余数的中间结果值。

验证程序的正确性，就是证明在程序的任何一种可能的加工过程中所设置的断言都是成立的。程序的一个加工过程就是框图中的一个流程。除法程序的所有可能的流程都是由图上的三条路径组合而成：由A至B由B出发回到B由B至C。这样，验证程序的正确性，就是证明对任一条路径，只要起点的断言成立，则终点的断言也成立。

以第二条路径为例，它是一条环路。要证明下列命题：若程序执行到环路的起点B时，断言(1)成立，则程序执行一周，再达到B点时，断言(1)仍然成立。

环行该圈，就是在(y2≥x2)成立的条件下,执行赋值语句(y1,y2):=(y1+1,y2-x2)

而上述语句的执行结果是使 y1的取值为执行前y1的值加1,y2的取值为执行前y2的值与x2的差,其他变量的值不变。为保证执行该赋值语句后断言(1)仍然成立,就要求将断言(1)中的y1代为(y1+1),y2代为(y2-x2)后得到的公式在执行该语句前成立。即(x1=(y1+1)x2+(y2-x2))&(y2-x2≥0) (2)

在执行上述赋值语句前成立。但已知执行该语句前断言①和测试条件(y2≥x2)均成立。由此推断公式②是成立的。这样就完成了对第二条路径的验证。对其余两条路径的验证也是类似的。从而可以证明除法程序的正确性。

归纳断言方法是由建立断言和对各条路径逐条验证两部分组成的。建立断言是一种创造性的工作，而验证路径的工作尽管繁琐，却是机械的。如何由计算机系统协助用户归纳出合适的断言，是程序验证研究中的重要课题。

用上述方法只能证明在输入谓词成立的前提下，程序终止时输出谓词一定成立。但不能证明在输入谓词成立时，程序一定能终止。不讨论程序终止性的程序验证称为程序部分正确性的验证。包括终止性的验证，则称为程序完全正确性的验证。

程序验证技术除了用于证明程序的正确性，或辅助用户编制正确程序外，还可从程序正确性角度评价程序设计方法和程序设计语言的优劣。但是，保证程序正确性的有效办法，不是在编制程序后再去验证，而是设法在编制过程中，使用适当的技术，使产生的程序是正确无误的。这类技术叫作程序综合和程序变形。程序验证技术和程序综合变形技术相互参照，共同发展。

第一种，用不同的软件（例如分别用ansys和abaqus）计算同一个问题，模拟得到的结果非常近似（不太可能保证完全一样）。这样就是让人信服的。

第二种，先证明你的方法是正确的，比如用你的方法去做一个别人已经做过的结果（例如已发布的文献中提到的模型和结果，你的模型和他近似，过程自己来 *** 作，得到的结果和他一致，这样就可以说明你的方法是可信的）。然后就用这个证明过的 *** 作方法，去完成需要完成的项目，得出的结果也较为可信。

第三种，试验模型验证。做一个实际比例模型，约束和加载与数值仿真的完全一致，然后比较试验结果和数值结果，曲线走向和趋势基本一致，数量级一致等等等等，就是可信的。

三种方法比较。

第三种最好，但难以实现，一般在研究所里有条件才采用，耗时耗力；第二种其次，最为简单，并且与权威杂志的结果有个比较，比较有说服力；第三种也可以，但一般是分别分给两个人用不同软件计算，或者两个人在没有交流的情况下用同一软件计算，这样的结果才具有一定可信性，在正式项目中一般不会采用，或在团队中具有较高资质的仿真工程师的情况下采用，毕业生或实习生的结果是不可信的。