【正文】 y3=y3+y2。 while (y3=x) { y1=y1+1。amp。 y3=1。 y1=0。 int y2=0。 printf(RESULT: %i\n\n,m)。 k=isk(n,k)。 printf(INFO: system is now active\n)。 int m=0。 int isk(int n,int k)。 } } ./isr2 INFO: system is now active N: 2 RESULT: 1 N: 10 RESULT: 3 N: 20 RESULT: 4 N: 30 INFO: the input number must be in {0,...,20} N: 5 RESULT: 2 N: 模型檢測(cè) ./verds –c –sp 驗(yàn)證結(jié)果 驗(yàn)證過(guò)程 C Program Model Automatic Translator VERDS Model Checker Specification Positive Conclusion 模型檢測(cè)的缺點(diǎn)與優(yōu)點(diǎn) ? 缺點(diǎn) –可直接驗(yàn)證的程序規(guī)模小 –可直接驗(yàn)證的程序結(jié)構(gòu)簡(jiǎn)單 ? 優(yōu)點(diǎn) : –自動(dòng)驗(yàn)證 –對(duì)不正確的程序可生成診斷信息 形式驗(yàn)證 ? 推理驗(yàn)證 ? 模型檢測(cè) ? 推理驗(yàn)證與模型檢測(cè)相結(jié)合 推理驗(yàn)證 +模型檢測(cè) include /**************************************************/ int in()。 continue。) break。 if (c==39。\n39。 } c=getc(stdin)。 } printf(INFO: the input number must be in {0,...,20}\n\n )。\n39。 else { while (1) { c=getc(stdin)。039。amp。)。 } if (k2) k=k*10+(c39。 } printf(INFO: the input must be 1 or 2 digits\n\n)。\n39。) { while (1) { c=getc(stdin)。||c39。 } if (c39。\n39。 c=getc(stdin)。 } k=c39。 } printf(INFO: the input must be 1 or 2 digits\n\n)。\n39。) { while (1) { c=getc(stdin)。||c39。 } if (c39。) { printf(INFO: the input must be 1 or 2 digits\n\n)。 if (c==39。 putc(9,stdout)。:39。,stdout)。 putc(39。 int k=0。 } return k。 else k=k+2。 } /**************************************************/ int isk(int n,int k) { if (k!=20) { if (k!=n) k=21。 y3=y3+y2。 while (y3=x) { y1=y1+1。amp。 y3=1。 y1=0。 int y2=0。 printf(RESULT: %i\n\n,m)。 k=isk(n,k)。 printf(INFO: system is now active\n)。 int m=0。 int isk(int n,int k)。((m*m)+2*m+1n) 程序的模型檢測(cè) (例子 ) 模型檢測(cè) ./verds –c –sp 驗(yàn)證結(jié)果 反例 驗(yàn)證過(guò)程 C Program Model Automatic Translator VERDS Model Checker Negative Conclusion Specification Error Trace 反例分析 以下輸入產(chǎn)生不正確結(jié)果 1 3 5 7 9 11 13 15 17 19 0 2 4 6 8 10 12 14 16 18 4 不正確運(yùn)行 修正后的例子 : ISR2 include /**************************************************/ int in()。 } } 對(duì) ISR的要求 : (at line 18):((m*m)=n)amp。 continue。) break。 if (c==39。\n39。 } c=getc(stdin)。 } printf(INFO: the input number must be in {0,...,20}\n\n )。\n39。 else { while (1) { c=getc(stdin)。039。amp。)。 } if (k2) k=k*10+(c39。 } printf(INFO: the input must be 1 or 2 digits\n\n)。\n39。) { while (1) { c=getc(stdin)。||c39。 } if (c39。\n39。 c=getc(stdin)。 } k=c39。 } printf(INFO: the input must be 1 or 2 digits\n\n)。\n39。) { while (1) { c=getc(stdin)。||c39。 } if (c39。) { printf(INFO: the input must be 1 or 2 digits\n\n)。 if (c==39。 putc(9,stdout)。:39。,stdout)。 putc(39。 int k=0。 } return k。 else k=k+2。 } /**************************************************/ int isk(int n,int k) { if (k!=20) { if (k!=n) k=21。 y3=y3+y2。 while (y3=x) { y1=y1+1。amp。 y3=1。 y1=0。 int y2=0。 printf(RESULT: %i\n\n,m)。 m=isr(n,k)。 printf(INFO: system is now active\n)。 int m=0。 int isk(int n,int k)。 測(cè)試 ? 黑盒測(cè)試 ? 白盒測(cè)試 Program testing can be used to show the presence of bugs, but never to show their absence! Edsger W. Dijkstra 形式驗(yàn)證 ? 推理驗(yàn)證 ? 模型檢測(cè) 正確性 正確性 +不正確性 例子 : ISR include /**************************************************/ int in()。 } } 對(duì) ISR的要求 : 輸入為 0和 20之間的整數(shù)時(shí) ， 輸出為其平方根的整數(shù)部分。 continue。) break。