Verifica dei programmi

Transcript

1 Verifica dei programmi Consiste nella specifica e nella dimostrazione delle proprietà dei programmi. Per specificare le proprietà utilizzeremo la logica del I ordine. Per dimostrare che le proprietà specificate sono soddisfatte dal programma in questione introdurremo le principali tecniche di verifica. Successivamente introdurremo delle strategie per applicarle. Una specifica è una descrizione precisa delle proprietà che un programma dovrebbe avere. Faremo vedere come inserire tali specifiche nel programma (annotazioni di programma). 1

2 Verifica dei programmi Concentreremo la nostra attenzione su: Proprietà di correttezza parziale (o di safety), che asseriscono che certi stati, tipicamente stati di errore, non possono mai occorrere durante l esecuzione del programma. Il metodo di dimostrazione usato è quello delle asserzioni induttive. Proprietà di correttezza totale (di progresso), che asseriscono che durante l esecuzione del programma certi stati vengono raggiunti. In generale una dimostrazione di correttezza totale viene così suddivisa: Dimostrazione di correttezza parziale Terminazione (metodo di dimostrazione: funzione di ranking) 2

3 Metodo fondazionale delle asserzioni induttive È un metodo basato sull induzione matematica. Per dimostrare che ogni stato della computazione soddisfa una certa formula ϕ della logica del I ordine: si dimostra come caso base che ϕ vale all inizio dell esecuzione, si assume per ipotesi induttiva che ϕ vale correntemente e si dimostra come passo induttivo che ϕ vale dopo un altro passo del programma. L applicazione del metodo può essere semplice. Tuttavia è possibile incontrare qualche difficoltà nella scoperta di annotazioni aggiuntive necessarie per l induzione. 3

4 Metodo fondazionale della funzione di ranking Consiste nell associare ad ogni loop e funzione ricorsiva una funzione (funzione di ranking) che mappa le variabili del programma in un dominio ben fondato, Quindi si dimostra che, durante la computazione del programma, il valore della funzione di ranking si riduce. Poichè la relazione è ben fondata, i loop e le ricorsioni devono fermarsi. 4

5 Correttezza parziale e terminazione per programmi flowchart e while Sia B una base per la logica predicativa, I una interpretazione di questa base e Σ il corrispondente insieme degli stati. Sia S un programma flowchart di L B 1 oppure un programma while di L B 2, e sia M I(S) il significato del programma. Siano inoltre p e q due formule di WFF B chiamate rispettivamente precondizione e postcondizione. Il programma viene detto: parzialmente corretto rispetto a p e q nell interpretazione I, se per tutti gli stati σ Σ: if I(p)(σ) = true and M I (S)(σ) is defined then I(q)(M I (S)(σ)) = true terminare rispetto alla formula p nell interpretazione I, se per 5

6 tutti gli stati σ Σ: if I(p)(σ) = true then M I (S)(σ) is defined essere totalmente corretto rispetto alle formule p e q nell interpretazione I, se per tutti gli stati σ Σ: if I(p)(σ) = true then M I (S)(σ) is defined and I(q)(M I (S)(σ)) = true 6

7 Weakest preconditions and strongest postconditions Siano dati B, I, Σ, S e p. Le precondizioni liberali più deboli del programma S e della formula q sono tutte le formule p WFF B tali che I(p)(σ) = true se e solo se M I (S)(σ) è indefinito oppure M I (S)(σ) è definito e I(q)(M I (S)(σ)) = true Le precondizioni più deboli del programma S e della formula q sono tutte le formule p WFF B tali che I(p)(σ) = true se e solo se M I (S)(σ) è definito e I(q)(M I (S)(σ)) = true Le postcondizioni più forti della formula p e del programma S sono tutte le formule q WFF B tali che I(q)(σ) = true se e solo se esiste uno stato σ Σ per cui I(p)(σ ) = true e M I (S)(σ ) = σ 7

8 Weakest preconditions and strongest postconditions (ctnd.1) Teorema1 Siano dati B, I, Σ, S e q. Sia p WFF B la precondizione liberale più debole di S e q. Allora a.s è parzialmente corretto rispetto a p e q b.per una qualunque formula r WFF B, tale che S è parzialmente corretto rispetto ad r e q, si ha che, per tutti gli stati σ Σ, I(r)(σ) I(p)(σ) Dim: p è la precondizione liberale più debole di S e q. Dunque per ogni σ Σ: I(p)(σ) M I (S)(σ) (M I (S)(σ) I(q)(M I (S)(σ))) 8

9 a.e vero che S è parzialmente corretto rispetto a p e a q? Diciamo che S è parzialmente corretto rispetto a p e a q se (I(p)(σ) M I (S)(σ) ) I(q)(M I (S)(σ)) questo è banalmente vero. b.sia r WFF B tale che S è parzialmente corretto rispetto a r e a q. Allora per ogni σ Σ (I(r)(σ) M I (S)(σ) ) I(q)(M I (S)(σ)) Sia I(r)(σ) = true, allora o M I (S)(σ), oppure M I (S)(σ), quindi anche I(q)(M I (S)(σ)) quindi I(r)(σ) I(p)(σ) 9

10 Weakest preconditions and strongest postconditions (ctnd.2) Teorema2 Siano dati B, I, Σ, S e q. Sia p WFF B la precondizione più debole di S e q. Allora a.s è totalmente corretto rispetto a p e q b.per una qualunque formula r WFF B, tale che S è totalmente corretto rispetto ad r e q, si ha che, per tutti gli stati σ Σ, I(r)(σ) I(p)(σ) Dim: p è la precondizione più debole del programma S e di q, dunque, per ogni σ Σ 10

11 I(p)(σ) M I (S)(σ) I(q)(M I (S)(σ)) a.e vero che S è totalmente corretto rispetto a p e a q? Diciamo che S è totalmente corretto rispetto a p e a q se I(p)(σ) (M I (S)(σ) I(q)(M I (S)(σ))) questo è banalmente vero. b.sia r WFF B tale che S è totalmente corretto rispetto ad r e a q. Allora per ogni σ Σ ma allora I(r)(σ) (M I (S)(σ) I(q)(M I (S)(σ))) I(r)(σ) (M I (S)(σ) I(q)(M I (S)(σ))) I(p)(σ) 11

12 Weakest preconditions and strongest postconditions (ctnd.3) Teorema3 Siano dati B, I, Σ, S e q. Sia q WFF B la postcondizione più forte di S e p. Allora a.s è parzialmente corretto rispetto a p e q b.per una qualunque formula r WFF B, tale che S è parzialmente corretto rispetto ad p ed r, si ha che, per tutti gli stati σ Σ, I(q)(σ) I(r)(σ) Dim: q è la post condizione più forte di S e p. I(q)(σ) σ (I(p)(σ ) M I (S)(σ ) = σ) 12

13 a.e vero che S è parzialmente corretto rispetto a p e a q? Diciamo che S è parzialmente corretto rispetto a p e a q se (I(p)(σ) M I (S)(σ) ) I(q)(M I (S)(σ)). Sia σ Σ tale che I(p)(σ) M I (S)(σ). Allora M I (S)(σ) = σ, σ Σ. Applicando la definizione di post condizione più forte si ha che I(q)( σ), ma σ = M I (S)(σ), da cui I(q)(M I (S)(σ)). b.sia r tale che per ogni σ Σ, (I(p)(σ) M I (S)(σ) ) I(r)(M I (S)(σ)), vogliamo fare vedere che per ogni σ I(q)(σ) I(r)(σ). Per hp, dato un σ, I(q)(σ) (I(p)(σ ) M I (S)(σ ) = σ) I(r)(M I (S)(σ )) 13

14 Prime dimostrazioni di correttezza Daremo alcune dimostrazioni di correttezza che illustreranno l uso delle nozioni che abbiamo introdotto Queste dimostrazioni di correttezza sono ingenue poiché sono basate su argomentazioni matematiche piuttosto che su uno dei metodi di verifica che discuteremo dopo Queste dimostrazioni a stile libero partono dalla semantica dei linguaggi di programmazione e usano, come strumento principale, l induzione. Generalmente l induzione viene fatta sulla lunghezza delle sequenze di computazione (ci stiamo occupando solo della semantica operazionale) 14

15 Prime dimostrazioni di correttezza (ctnd.1) Le dimostrazioni di questo tipo sono tediose e, soprattutto, ripetitive in quanto la stessa argomentazione appare più volte Questo giustifica lo sviluppo di metodi per la verifica dei programmi che utilizzano una notazione più appropriata 15

16 Esempio 1. Proviamo la correttezza parziale di un programma flowchart con l aiuto della semantica operazionale. Tipicamente queste dimostrazioni funzionano in questo modo. 1. Prima si dimostra un lemma riguardante le sequenze di computazione usando l induzione 2. La correttezza parziale viene derivata da questo lemma. PROVIAMO CHE: Il programma che calcola la radice quadrata è parzialmente corretto rispetto alle formule x = c e y 1 = c, dove c è qualche variabile differente da x,y 1,y 2,y 3. 16

17 Esempio 1. Prima si dimostra un lemma che esprime una relazione fra i valori delle variabili ogni volta che l etichetta test viene raggiunta (ad ogni ciclo) In particolare il lemma dice: Sia (l 1,σ 1 ),...,(l n,σ n ) una sequenza di computazione (quindi in cui l 1 = begin) con n 1 ed l n = test. Allora σ n (x) = σ 1 (x) (σ n (y 1 )) 2 σ n (x) σ n (y 2 ) = 2σ n (y 1 )+1 σ n (y 3 ) = (σ n (y 1 )+1) 2 17

18 Esempio 1. La dimostrazione del lemma è per induzione sulla lunghezza della sequenza di computazione CASO BASE: n = 1, l n = l 1 = begin, l 1 = test non è possibile e quindi la proposizione vale banalmente. PASSO INDUTTIVO: Supponiamo che la proposizione valga per j = 1,...,n e che adesso debba essere provata per n+1. Assumiamo che l n+1 = test. La dimostrazione si divide in due casi concordemente al valore di l n. Se l n = begin, quindi n = 1, allora 18

19 σ n+1 (x) = σ n (x) = σ 1 (x) σ n+1 (y 1 ) = 0 σ n+1 (y 2 ) = 1 σ n+1 (y 3 ) = 1 E ovvio che la proposizione vale in questo caso Supponiamo che l n = upd, allora ricaviamo tutte le informazioni che abbiamo. Poiché upd è un assegnamento, lo stato dalla configurazione (l n,σ n ) alla configurazione (l n+1,σ n+1 ) cambia. σ n+1 = σ n [y 3 /I(y 2 +y 3 )σ n ] Inoltre l n 1 = loop e 19

20 σ n = σ n 1 [y 1 /I(y 1 +1)σ n 1 ][y 2 /I(y 2 +2)(σ n 1 )] Infine l n 2 = test, σ n 1 = σ n 2 e I(y 3 x)(σ n 2 ) = true Vediamo che σ n+1 (x) = σ n (x) = σ n 1 (x) = σ n 2 (x) σ n+1 (y 1 ) = σ n (y 1 ) = σ n 1 (y 1 )+1 = σ n 2 (y 1 )+1 σ n+1 (y 2 ) = σ n (y 2 ) = σ n 1 (y 2 )+2 = σ n 2 (y 2 )+2 σ n+1 (y 3 ) = σ n (y 2 )+σ n (y 3 ) = σ n 1 (y 2 )+2+σ n 1 (y 3 ) = σ n 2 (y 2 )+2+σ n 2 (y 3 ) L ipotesi induttiva, con j = n 2, può adesso venire utilizzata per 20

21 ottenere il risultato richiesto. σ n+1 (x) = σ n 2 (x) = σ 1 (x) (σ n+1 (y 1 )) 2 = (σ n 2 (y 1 )+1) 2 = σ n 2 (y 3 ) σ n 2 (x) = σ n+1 (x) σ n+1 (y 2 ) = σ n 2 (y 2 )+2 = 2σ n 2 (y 1 )+3 = 2σ n+1 (y 1 )+1 21

22 σ n+1 (y 3 ) = σ n 2 (y 2 )+σ n 2 (y 3 )+2 = 2σ n 2 (y 1 )+1+(σ n 2 (y 1 )+1) 2 +2 = (σ n 2 (y 1 )+2) 2 = (σ n+1 (y 1 )+1) 2 Questo completa la dimostrazione del lemma. Per provare la correttezza parziale, si consideri una computazione finita (l 1,σ 1 )... (l k,σ k ), dove k 2, l 1 = begin, l k = end e σ 1 (x) = σ 1 (c). Bisogna dimostrare che σ k (y 1 ) = σ 1 (c) oppure, equivalentemente, che (σ k (y 1 )) 2 σ 1 (c) e, σ 1 (c) < (σ k (y 1 )+1) 2. 22

23 Adesso: l k 1 = test,σ k 1 = σ k, e I(y 3 x)(σ k 1 ) = false. Quindi σ k 1 (y 3 ) > σ k 1 (x). Questo, insieme al lemma restituisce (σ k (y 1 )) 2 = (σ k 1 (y 1 )) 2 σ k 1 (x) = σ 1 (x) = σ 1 (c) e inoltre 23

24 (σ k (y 1 )+1) 2 = (σ k 1 (y 1 )+1) 2 = σ k 1 (y 3 ) > σ k 1 (x) = σ 1 (x) = σ 1 (c) 24

25 Esempio 2. Ora dimostriamo la correttezza totale per lo stesso programma flowchart. La correttezza totale viene anch essa dimostrata rispetto alle due formule: x = c y 1 = c 25

26 LEMMA PRELIMINARE per ogni stato σ 1 Σ, ed ogni numero k Nat, tale che 0 k σ 1 (x), c è una sequenza di computazione per questo stato σ 1, tale che l 3k+2 = test σ 3k+2 (x) = σ 1 (x) σ 3k+2 (y 1 ) = k σ 3k+2 (y 2 ) = 2k +1 σ 3k+2 (y 3 ) = (k +1) 2 (l 1,σ 1 )... (l 3k+2,σ 3k+2 ) La dimostrazione del lemma viene fatta per induzione su k CASO BASE. La proprietà vale per k = 0. In particolare, l 2 = test, σ 2 (x) = σ 1 (x)... 26

27 PASSO INDUTTIVO. Supponiamo che k +1 σ 1 (x). Poiché σ 3k+2 (y 3 ) = (k +1) 2 e σ 3k+2 (x) = σ 1 (x) si ha che σ 3k+2 (y 3 ) σ 3k+2 (x). Quindi abbiamo che l 3k+3 = loop, l 3k+4 = upd, e l 3(k+1)+2 = test. Inoltre segue che σ 3(k+1)+2 (x) = σ 3k+2 (x) = σ 1 (x) σ 3(k+1)+2 (y 1 ) = σ 3k+2 (y 1 )+1 = k +1 σ 3(k+1)+2 (y 2 ) = σ 3k+2 (y 2 )+2 = 2(k +1)+1 σ 3(k+1)+2 (y 3 ) = σ 3k+2 (y 3 )+σ 3k+2 (y 2 )+2 = (k +1) 2 +2k +1+2 = (k +2) 2 27

28 Adesso si consideri la sequenza di computazione per lo stato σ 1 Σ: (l 1,σ 1 )... (l 3k+2,σ 3k+2 ) Con k = σ 1 (x). Per il lemma preliminare, σ 3k+2 (y 3 ) = (k +1) 2 = ( σ 1 (x)+1) 2 > σ 1 (x) = σ 3k+2 (x) e l etichetta l 3k+2 = test. In questo modo abbiamo che l 3k+3 = end, e la sequenza di computazione considerata è una computazione. Inoltre 28

29 σ 3k+3 (y 1 ) = σ 3k+2 (y 1 ) = k = σ 1 (x) 29

30 Metodo delle asserzioni induttive Introduciamo un metodo per la dimostrazione della correttezza parziale dei programmi flowchart. Sia B una base, I una interpretazione, p,q WFF B ed S L B 1. Il metodo delle asserzioni induttive è un modo per dimostrare la parziale correttezza del programma S rispetto alle formule p e q IDEA: Ragionare sui cammini di un programma piuttosto che sul programma in se 30

31 Cammino in un programma flowchart Siano l,l due etichette che occorrono in un programma flowchart S. Un cammino da l ad l (in S) è una sequenza (l 0,l 1,...,l k ), k 0 di etichette tali che (1)l 0 = l; (2)per i = 0,1,...,k 1 l etichetta l i+1 ha un occorrenza applicata nel comando in cui l etichetta l i ha un occorrenza definente; (3)l k = l La lunghezza del cammino l 0,l 1,...,l k è k. 31

32 Cammino in un programma flowchart (ctnd.1) Un cammino da un etichetta a se stessa di lunghezza k 1 viene detto loop Un cammino da begin a end in un programma flowchart S viene detto un cammino attraverso S 32

33 Cammino in un programma flowchart (ctnd.2) Il significato di un cammino α nel programma flowchart S e nell interpretazione I è la funzione M I (α) : Σ Σ definita M I (α)(σ) = σ se ci sono (k +1) stati σ 0,σ 1,...,σ k tali che σ = σ 0, σ = σ k e per i = 0,...,k 1, (l i,σ i ) S (l i+1,σ i+1 ) indefinita altrimenti 33

34 NOTE: la sequenza (l 0,σ 0 ),...,(l k,σ k ) non è necessariamente una sequenza di computazione del programma in quanto l 0 può essere differente da begin il significato di un programma è indefinito se lo stato di input σ non porta in un numero finito di passi ad una configurazione (l k,σ k ) dove l k = end. Il significato di un cammino è indefinito se il cammino è impossibile per σ. 34

35 Correttezza parziale, totale e terminazione per cammini di programmi flowchart Sia B una base per la logica predicativa, I una interpretazione di questa base e Σ il corrispondente insieme degli stati. Sia α un cammino di un programma flowchart S L B 1, e sia M I (α) il significato di α. Siano inoltre p e q due formule di WFF B chiamate rispettivamente precondizione e postcondizione. Il cammino viene detto: parzialmente corretto rispetto a p e q nell interpretazione I, se per tutti gli stati σ Σ: if I(p)(σ) = true and M I (α)(σ) is defined then I(q)(M I (α)(σ)) = true terminare rispetto alla formula p nell interpretazione I, se per 35

36 tutti gli stati σ Σ: if I(p)(σ) = true then M I (α)(σ) is defined essere totalmente corretto rispetto alle formule p e q nell interpretazione I, se per tutti gli stati σ Σ: if I(p)(σ) = true then M I (α)(σ) is defined and I(q)(M I (α)(σ)) = true 36

37 Weakest preconditions and strongest postconditions Siano dati B, I, Σ, α, S e q. Le precondizioni liberali più deboli del cammino α del programma flowchart S e della formula q sono tutte le formule p WFF B tali che I(p)(σ) = true se e solo se M I (α)(σ) è indefinito oppure M I (α)(σ) è definito e I(q)(M I (α)(σ)) = true Le precondizioni più deboli del cammino α del programma flowchart S e della formula q sono tutte le formule p WFF B tali che I(p)(σ) = true se e solo se M I (α)(σ) è definito e I(q)(M I (α)(σ)) = true Le postcondizioni più forti della formula p e del cammino α del programma flowchart S sono tutte le formule q WFF B tali che I(q)(σ) = true se e solo se esiste uno stato σ Σ per cui I(p)(σ ) = true e M I (α)(σ ) = σ 37

38 Considerazioni E importante notare la differenza fra le nozioni di terminazione di un programma e di un cammino E ovvio che per tutti gli stati σ,σ Σ, M I (S)(σ) = σ se e solo se esiste un cammino α attraverso S tale che M I (α)(σ) = σ 38

39 Parziale correttezza di programmi e cammini LEMMA Sia B una base per la logica predicativa, I un interpretazione di questa base e Σ il corrispondente insieme degli stati. Un programma flowchart S L B 1 è parzialmente corretto rispetto alle formule p e q in I se e solo se ogni cammino attraverso S è parzialmente corretto rispetto a p e a q in I. Dim: Sia S un programma flowchart parzialmente corretto rispetto a p e a q in I, cioé tale che per ogni σ Σ (I(p)(σ) M I (S)(σ) ) I(q)(M I (S)(σ)). Supponiamo per contraddizione che esista un cammino α in S che non è parzialmente corretto rispetto a p e a q in I, cioè tale che 39

40 esiste un σ Σ per cui I(p)( σ) M I (α)( σ) = true ma I(q)(M I (α)( σ)) = false. Poiché M I (α)( σ), deve essere M I (α)( σ) = σ per un qualche σ Σ e, di conseguenza, M I (S)( σ) = σ.ma allora S non è parzialmente corretto rispetto a p e q. Questo porta a una contraddizione. Per ipotesi, per ogni α che attraversa S e per ogni σ Σ (I(p)(σ) M I (α)(σ) ) I(q)(M I (α)(σ)). Supponiamo per contraddizione che S non sia parzialmente corretto. Allora esiste un σ Σ per cui I(p)( σ) M I (S)( σ) = true e I(q)(M I (S)( σ)) = false. Poiché M I (S)( σ), deve essere M I (S)( σ) = σ per un qualche σ Σ e, di conseguenza, esiste un cammino α attraverso S tale che M I (α )( σ) = σ. Abbiamo trovato un cammino che non e parzialmente corretto, contraddicendo l ipotesi. 40

41 Considerazioni E possibile sostituire lo studio di un programma flowchart con quello dei cammini che lo attraversano (possibilmente infiniti) I cammini sono più semplici dei programmi perché i loop vengono dispiegati e quindi resi espliciti Se M I (α)(σ), ogni nodo del cammino viene visitato esattamente una volta I cammini (possibilmente un numero infinito) che attraversano il programma, possono essere considerati come costruiti a partire da un numero finito di cammini elementari Il ragionamento su infiniti cammini può essere ricondotto al ragionamento su un numero finito di cammini elementari. 41

42 Correttezza parziale di un cammino Sia α un cammino arbitrario. Facciamo vedere come dimostrare la correttezza parziale di α rispetto alle formule p e q. Definiamo Una formula wlp(α, q) (weakest liberal precondition p of α and q) Una formula vc(p,α,q) detta la condizione di verifica 42

43 Correttezza parziale di un cammino - definizione di wlp Sia B una base per la logica predicativa, p,q WFF B due formule, S L B 1 un programma flowchart ed α = (l 0,...,l k ) un cammino in S. La formula wlp(α, q) viene definita per induzione sulla lunghezza k del cammino: CASO BASE. Per k = 0 la formula wlp(α,q) è definita q 43

44 PASSO INDUTTIVO. Per k > 0 sia β il cammino (l 1,...,l k ) ed r la formula wlp(β,q) (che è già stata definita). In base alla forma del comando all etichetta l 0, vengono distinti due casi. Se il comando è un assegnamento parallelo della forma l 0 : (x 1,...,x n ) := (t 1,...,t n ) ; goto l 1 allora la formula wlp(α,q) è definita r t 1,...,t n x 1,...,x n. Se il comando è un salto condizionale della forma l 0 : if e then goto l else goto l fi, allora la formula wlp(α, q) è definita e r se l = l 1 ( e) r se l = l 1 44

45 Correttezza parziale di un cammino - definizione di vc Sia B una base per la logica predicativa, p,q WFF B due formule, S L B 1 un programma flowchart ed α = (l 0,...,l k ) un cammino in S. La condizione di verifica per il cammino α e le formule p e q viene denotata con vc(p,α,q) e viene definita p wlp(α,q) NOTA: Questa definizione, come quella di wlp, è puramente sintattica. Infatti non dipende dall interpretazione della base B. 45

46 Esempio - trovare wlp e vc Consideriamo il programma flowchart per il calcolo della radice intera di un intero positivo e calcoliamo wlp(α 1,q test ) e vc(p begin,α 1,q test ) dove p begin = (x = a) α 1 = (begin,test) q test = (x = a y 2 1 x y 3 = (y 1 +1) 2 y 2 = 2 y 1 +1) 46

47 Esempio - trovare wlp e vc (ctnd.1) wlp(α 1,q test ) è wlp((begin,test),q test ) = (wlp((test),q test )) 0,1,1 y 1,y 2,y 3 = (q test ) 0,1,1 y 1,y 2,y 3 = (x = a 0 x 1 = (0+1) 2 1 = 2 0+1) mentre vc(p begin,α 1,q test ) = (x = a (x = a 0 x 1 = (0+1) 2 1 = 2 0+1)) 47

48 Esempio - trovare wlp e vc (ctnd.2) Troviamo ora wlp(α 2,q test ) e vc(q test,α 2,q test ) dove α 2 = (test,loop,upd,test) wlp((test),q test ) = q test wlp((upd,test),q test ) = (q test ) y 3+y 2 y 3 wlp((loop,upd,test),q test ) = ((q test ) y 3+y 2 y 3 ) y 1+1,y 2 +2 y 1,y 2 wlp((test,loop,upd,test),q test ) = (y 3 x ((q test ) y 3+y 2 y 3 ) y 1+1,y 2 +2 y 1,y 2 ) vc(q test,α 2,q test ) = (x = a y1 2 x y 3 = (y 1 +1) 2 y 2 = 2 y 1 +1 y 3 x) ((q test ) y 3+y 2 y 3 ) y 1+1,y 2 +2 y 1,y 2 48

49 con ((q test ) y 3+y 2 y 1,y 2 = (x = a (y 1 +1) 2 x y 3 +y 2 +2 = (y ) 2 y 2 +2 = 2 (y 1 +1)+1) y 3 ) y 1+1,y 2 +2 Troviamo ora wlp(α 3,q end ) e vc(q test,α 3,q end ) dove α 3 = (test,end) q end = (y 1 = a) wlp(α 3,q end ) = (y 3 x) (y 1 = a) vc(q test,α 3,q end ) = (x = a y 2 1 x y 3 = (y 1 +1) 2 y 2 = 2 y 1 +1 (y 3 x)) (y 1 = a) 49