isn t tes ng enough soiware tes ng
play

Isnt tes<ng enough? SoIware Tes<ng Methods Assuming - PDF document

Aug 03, 2023 •130 likes •218 views

Proofs about Programs Why make you study logic? Program Verification Why make you do proofs? (Rosen, Sections 5.5) Because we want to prove proper<es of

  1. Proofs ¡about ¡Programs ¡ • Why ¡make ¡you ¡study ¡logic? ¡ Program Verification • Why ¡make ¡you ¡do ¡proofs? ¡ (Rosen, Sections 5.5) • Because ¡we ¡want ¡to ¡prove ¡proper<es ¡of ¡ TOPICS programs: ¡ • Program Correctness – In ¡par<cular, ¡we ¡want ¡to ¡prove ¡proper<es ¡of ¡ • Preconditions & Postconditions • Program Verification variables ¡at ¡specific ¡points ¡in ¡a ¡program. ¡ • Assignment Statements – For ¡example, ¡we ¡may ¡want ¡prove ¡that ¡a ¡program ¡ • Conditional Statements segment ¡or ¡method ¡gets ¡the ¡right ¡answer. ¡ • Loops • Composition Rule CS160 - Fall Semester 2015 Isn’t ¡tes<ng ¡enough? ¡ SoIware ¡Tes<ng ¡ • Methods ¡ • Assuming ¡the ¡program ¡compiles, ¡we ¡can ¡go ¡ – Black-­‑box, ¡white-­‑box ¡ ahead ¡and ¡perform ¡some ¡amount ¡of ¡tes<ng. ¡ • Levels ¡ • Tes<ng ¡shows ¡that ¡for ¡specific ¡examples ¡(test ¡ – Unit ¡(Method), ¡Module ¡(Class), ¡Integra<on, ¡System ¡ cases) ¡the ¡program ¡is ¡doing ¡what ¡was ¡intended. ¡ ¡ • Types ¡ • Tes<ng ¡can ¡only ¡show ¡existence ¡of ¡some ¡bugs ¡ – Func<onality, ¡Configura<on, ¡Usability, ¡Reliability, ¡ but ¡cannot ¡exhaus<vely ¡iden<fy ¡all ¡of ¡them. ¡ ¡ Performance, ¡Compa<bility, ¡Error, ¡Localiza<on, ¡… ¡ • Program ¡verifica<on ¡can ¡be ¡used ¡to ¡prove ¡the ¡ • Processes ¡ correctness ¡of ¡the ¡program ¡with ¡any ¡input. ¡ – Regression, ¡Automa<on, ¡Test-­‑Driven ¡Development, ¡ Code ¡Coverage, ¡… ¡ CS160 - Fall Semester 2015 CS160 - Fall Semester 2015 1

  2. Program ¡Verifica<on ¡ Program ¡Correctness ¡Proofs ¡ • We ¡consider ¡a ¡program ¡to ¡be ¡ correct ¡if ¡it ¡produces ¡ ¡the ¡ • Part ¡1 ¡-­‑ ¡Prove ¡program ¡produces ¡correct ¡ expected ¡output ¡ for ¡all ¡possible ¡inputs . ¡ answer ¡when ¡(if) ¡it ¡terminates. ¡ • Domain ¡of ¡input ¡values ¡can ¡be ¡very ¡large, ¡how ¡many ¡ • Part ¡2 ¡-­‑ ¡Prove ¡that ¡the ¡program ¡does ¡indeed ¡ possible ¡values ¡of ¡an ¡integer? ¡2 32 ¡ ¡ ¡ ¡ ¡ ¡int ¡divide ¡(int ¡operand1, ¡int ¡operand2) ¡{ ¡ terminate ¡at ¡some ¡point. ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡return ¡operand1 ¡/ ¡operand2; ¡ • We ¡can ¡only ¡Part ¡1, ¡because ¡Part ¡2 ¡has ¡been ¡ ¡ ¡ ¡ ¡} ¡ proven ¡to ¡be ¡undecidable: ¡ • 2 32 ¡* ¡2 32 ¡= ¡2 64 , ¡a ¡large ¡number, ¡so ¡we ¡clearly ¡cannot ¡test ¡ exhaus<vely! ¡ – Thus ¡we ¡try ¡to ¡prove ¡that ¡a ¡method ¡is ¡correct, ¡ • Instead ¡we ¡formally ¡specify ¡program ¡behavior, ¡then ¡use ¡ assuming ¡that ¡it ¡terminates ¡(par<al ¡correctness). ¡ logic ¡techniques ¡to ¡infer ¡(prove) ¡program ¡correctness. ¡ ¡ ¡ ¡ ¡ ¡ ¡ CS160 - Fall Semester 2015 CS160 - Fall Semester 2015 Predicate ¡Logic ¡and ¡Programs ¡ Asser<ons ¡ • Variables ¡in ¡programs ¡are ¡like ¡variables ¡in ¡ • Two ¡parts: ¡ predicate ¡logic: ¡ – Ini$al ¡Asser$on : ¡a ¡statement ¡of ¡what ¡must ¡be ¡true ¡about ¡ – They ¡have ¡a ¡domain ¡of ¡discourse ¡(data ¡type) ¡ the ¡input ¡values ¡or ¡values ¡of ¡variables ¡at ¡the ¡beginning ¡of ¡ the ¡program ¡segment ¡ – They ¡have ¡values ¡(drawn ¡from ¡the ¡data ¡type) ¡ • For ¡Example: ¡Method ¡that ¡determines ¡the ¡square ¡root ¡of ¡a ¡ • Variables ¡in ¡programs ¡are ¡different ¡from ¡variables ¡ number, ¡requires ¡the ¡input ¡(parameters) ¡to ¡be ¡>= ¡0 ¡ in ¡predicate ¡logic: ¡ – Final ¡Asser$on : ¡a ¡statement ¡of ¡what ¡must ¡be ¡true ¡about ¡ – Their ¡values ¡change ¡over ¡<me ¡(i.e., ¡loca<ons ¡in ¡the ¡ the ¡output ¡values ¡or ¡values ¡of ¡variables ¡at ¡the ¡end ¡of ¡the ¡ program) ¡ program ¡segment ¡ – Associate ¡the ¡predicate ¡with ¡specific ¡program ¡points ¡ • For ¡Example: ¡Can ¡we ¡specify ¡that ¡the ¡output ¡or ¡result ¡is ¡ • Immediately ¡before ¡or ¡aIer ¡a ¡statement ¡ exactly ¡correct ¡aIer ¡a ¡call ¡to ¡the ¡method? ¡ CS160 - Fall Semester 2015 CS160 - Fall Semester 2015 2

  3. Pre ¡and ¡Post ¡Condi<ons ¡ Hoare ¡Triple ¡ • “ A ¡program, ¡or ¡program ¡segment, ¡ • Ini$al ¡Asser$on : ¡some<mes ¡ ¡ Pre-condition S , ¡is ¡said ¡to ¡be ¡par<ally ¡correct ¡with ¡ called ¡the ¡ pre-­‑condi2on ¡ before code executes Pre-condition (p) respect ¡to ¡the ¡ini<al ¡asser<on ¡(pre-­‑ x = 1 before code executes condi<on) ¡ p ¡and ¡the ¡final ¡asser<on ¡ • Final ¡Asser$on : ¡some<mes ¡ ¡ (post-­‑condi<on) ¡ q , ¡if, ¡whenever ¡ p ¡is ¡ { { called ¡the ¡ post-­‑condi2on ¡ // Program segment true ¡for ¡the ¡input ¡values ¡of ¡ S , ¡and ¡if ¡ // Program segment: (S) } S ¡terminates, ¡then ¡ q ¡is ¡true ¡for ¡the ¡ } • Note : ¡these ¡asser<ons ¡can ¡be ¡ output ¡values ¡of ¡ S . ” ¡ ¡ represented ¡as ¡proposi<ons ¡or ¡ Post-condition Post-condition (q) – [Rosen ¡7th ¡edi<on, ¡p. ¡372] ¡ ¡ predicates. ¡For ¡simplicity, ¡we ¡will ¡ after code executes after code executes write ¡them ¡generally ¡as ¡proposi<ons. ¡ • Nota<on: ¡ p ¡{S} ¡q ¡ z = 3 CS160 - Fall Semester 2015 CS160 - Fall Semester 2015 Program ¡Verifica<on ¡ Program ¡Verifica<on ¡ Example ¡#1: ¡Assignment ¡Statements ¡ Example ¡#1: ¡Assignment ¡Statements ¡ • Prove ¡that ¡the ¡program ¡segment: ¡ • Assume ¡that ¡our ¡proof ¡system ¡already ¡includes ¡ rules ¡of ¡arithme<c, ¡and ¡theorems ¡about ¡ y = 2; y = 2; z = x + y; z = x + y; divisibility ¡… ¡ • Is ¡correct ¡with ¡respect ¡to: ¡ • Consider ¡the ¡ ¡following ¡code: ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡pre-­‑condi<on: ¡x ¡= ¡1 ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡post-­‑condi<on: ¡z ¡= ¡3 ¡ y = 2; • Suppose ¡x ¡= ¡1 ¡is ¡true ¡as ¡program ¡begins: ¡ What is true z = x + y; BEFORE code – Then ¡y ¡is ¡assigned ¡the ¡value ¡of ¡2 ¡ executes – Then ¡z ¡is ¡assigned ¡the ¡value ¡of ¡x ¡+ ¡y ¡= ¡1 ¡+ ¡2 ¡= ¡3 ¡ • Pre-­‑condi<on: ¡ ¡ p ( x ) , x =1 ¡ • Thus, ¡the ¡program ¡segment ¡is ¡correct ¡with ¡regards ¡to ¡the ¡ What is true pre-­‑condi<on ¡that ¡x ¡= ¡1 ¡and ¡post-­‑condi<on ¡z ¡= ¡3. ¡ • Post-­‑condi<on: ¡ ¡ q ( z ) , z =3 ¡ AFTER code executes CS160 - Fall Semester 2015 CS160 - Fall Semester 2015 3

More recommend