Semantica dei linguaggi di programmazione

Transcript

1 Corso di Informatica Generale II u.d. Semantica dei linguaggi di programmazione Mauro Brunato 17 maggio 2006

2 Indice 1 Definizioni Proposizioni Regole di deduzione Sostituzioni lessicali Programmi La semantica Cosa significa che un programma è corretto? Stato di un calcolatore Trasformazione di stati Asserzioni sugli stati Un esempio: calcolo del MCD Scomposizione di un programma in strutture annidate Gli assiomi Correttezza delle istruzioni e dei costrutti fondamentali L istruzione vuota L istruzione di assegnazione Il costrutto sequenziale Il costrutto condizionale Il costrutto iterativo Composizione dei costrutti di base Esempi Divisione intera Calcolo del MCD

3 Sommario Questa dispensa prsenta una traccia delle lezioni relative alla correttezza e alla semantica dei linguaggi di programmazione. Non è necessariamente comprensibile da chi non ha seguito le lezioni. Il documento è soggetto a variazioni e aggiustamenti durante il corso del semestre di insegnamento; l ultima versione piò sempre essere recuperata dalla sezione risorse della pagina del corso di Informatica Generale II u.d. per Matematica sul sito brunato/info2/ Per distinguere le versioni è sufficiente confrontare la data riportata sotto il titolo con quella scritta nell elenco delle risorse (non è dunque necessario scaricare il file tutte le volte).

4 Capitolo 1 Definizioni 1.1 Proposizioni Salvo indicazione contraria, le lettere P, Q, R indicheranno proposizioni, ovvero asserzioni 1 sui valori delle variabili in un dato punto del programma. Alcune proposizioni, dall ovvio significato, sono le seguenti: x = 3 x = 3 y = 5 xy < 0 a b c 0 x = 2 1 < c 3 3x 2 2x + 1 > n 1 = 1 VERO FALSO Si presti attenzione alle proposizioni nell ultima riga. VERO è la proposizione sempre vera, così pure 1 = 1, che quindi va considerata equivalente. Ovviamente, FALSO è la proposizione sempre falsa. A seconda del contesto, le proposizioni potranno essere scritte in stile matematico standard, oppure (ad esempio se appaiono come condizioni di un costrutto) in notazione C. Le asserzioni sui valori delle variabili saranno riportate all interno del codice, protette dai simboli di commento. Per esempio, le righe /* a 0 */ b = 2 * a; /* b a */ contengono un istruzione C preceduta e seguita da un asserzione. Per risparmiare spazio, è possibile scrivere il tutto in una sola riga: /*a 0*/ b=2*a; /*b a*/ Si noti che normalmente le istruzioni C vengono scritte in caratteri equispaziati, mentre le proposizioni sono in stile matematico 2. 1 Una proposizione è un oggetto sintattico costruito a partire da espressioni, connettivi logici e quantificatori; il termine asserzione implica l uso della proposizione all interno del modello che associa i valori delle variabili C corrispondenti per nome alle variabili libere della proposizione. Nel seguito tralasceremo questa definizione, che è volutamente oscura... 2 Lasciamo ai corsi di logica superiore la discussione se la variabile a del programma e la variabile a della proposizione nell esempio sopra vadano considerate uno stesso oggetto o no (si veda anche la nota precedente). 2

5 1.2 Regole di deduzione La regola Pippo Pluto Paperino significa Se Pippo e Pluto sono vere, allora anche Paperino è vera (dove Pippo, Pluto e Paperino sono tre proposizioni). Nel seguito, considereremo valide tutti gli assiomi della logica e dell aritmetica, ad esempio: P P Q Q 1.3 Sostituzioni lessicali P Q P Q Data la proposizione P, la proposizione Px y è ottenuta da P sostituendo a ogni occorrenza della variabile x in P come variabile libera (cioè non quantificata) l espressione y. Ad esempio, ( ) y a < 7 y a x 2 = z equivale a y < 7 y y x 2 = z. a Si noti come la variabile a sia stata sostituita da y in tutte le sue occorrenze. Viceversa, ( ) y a < 7 ( a y a) x 2 = z equivale a y < 7 ( a y a) x 2 = z. a Infatti, a compare quantificata nella seconda clausola (in sostanza si tratta di un altra a). Per evitare equivoci, converrà sempre dare nomi diversi alle variabili, libere o quantificate, di una proposizione. 1.4 Programmi Nel seguito chiameremo programma una sequenza di istruzioni e strutture di controllo sprovvista di operazioni di ingresso/uscita e di dichiarazioni di variabili. Supporremo cioè che le variabili siano già state dichiarate e inizializzate con i valori opportuni e concentreremo la nostra attenzione solamente sulle istruzioni che eseguono i calcoli. 3

6 Capitolo 2 La semantica Un tipico esercizio da esame consiste nello scrivere un programma che svolga un determinato compito, in genere il calcolo di una funzione intera o reale. La speranza di ottenere un voto pieno allo scritto è legata alla correttezza del programma scritto. La valutazione della correttezza viene effettuata dai docenti in modo euristico (basato cioè sull esperienza). Supponiamo invece di scrivere il programma che controlla alcune funzioni vitali di un installazione potenzialmente pericolosa, oppure l esito di un esperimento estremamente dispendioso come una missione spaziale: il committente gradirà non soltanto una verifica euristica di correttezza del programma, ma un assicurazione il più formale possibile che il programma non può fallire Cosa significa che un programma è corretto? È possibile dimostrare la correttezza di un programma? Per farlo, abbiamo bisogno di due strumenti: un modo per dichiarare formalmente che un programma è corretto, ovvero una notazione formale che ci permetta di presentare l affermazione di correttezza di un programma come enunciato di un teorema; delle regole (anzi, degli assiomi) che permettano di dimostrare questo teorema Stato di un calcolatore L esecuzione di un programma consiste nella lettura e nella scrittura di valori all interno delle variabili. Definiamo stato del calcolatore l associazione di un particolare valore a ciascuna variabile del programma. In altre parole, lo stato di un calcolatore in un particolare momento dell esecuzione del suo programma è descritto dai valori contenuti in tutte le variabili del programma. In particolare, considereremo diversi due stati che differiscono almeno per il valore assegnato ad una variabile. 1 Si è mai sentito che una centrale nucleare avesse problemi nelle sue procedure di sicurezza, oppure che una missione spaziale fallisse per un problema software? (OK, meglio cambiare discorso...) 4

7 2.1.2 Trasformazione di stati Un istruzione, ad esempio di assegnazione, può essere vista come una funzione che mappa stati in stati. Per esempio, l istruzione x = 2; trasforma lo stato precedente, in cui la variabile x poteva avere un qualsiasi valore, in uno stato in cui tutte le altre variabili restano immutate, ma x vale 2 indipendentemente dal valore avuto in precedenza. Un programma, in quanto sequenza di istruzioni, esegue una sequenza di trasformazioni sullo stato iniziale. Quando diciamo che un programma risolve un certo problema, intendiamo dire: Se lo stato iniziale della macchina contiene una descrizione del problema, allora lo stato finale (quello successivo all ultima istruzione del programma) ne descrive la soluzione corrispondente Asserzioni sugli stati Supponiamo che un programma A esegua delle operazioni atte a calcolare una funzione dello stato iniziale. Allora con la scrittura /* P */ A /* Q */ intendiamo, in modo del tutto equivalente, una di queste affermazioni. Se lo stato iniziale del programma A soddisfa l asserzione P, allora lo stato finale soddisfa l asserzione Q. L asserzione P afferma che lo stato iniziale è una descrizione dei dati del problema che A risolve, e Q afferma che lo stato finale è una descrizione della soluzione. Le asserzioni P e Q sono dette rispettivamente precondizione e postcondizione del programma. La coppia formata dalle due asserzioni è detta la specifica del programma. Questa definizione corrisponde all idea intuitiva che abbiamo delle specifiche di un programma, che generalmente comprendono una descrizione delle ipotesi a priori nella quali il programma dovrà operare (la precondizione) e una descrizione dei risultati che il programma dovrà fornire (postcondizione) a patto che le condizioni iniziali siano verificate (quest ultimo corsivo è il punto focale: nessuno può garantire risultati corretti in presenza di dati errati). La scrittura /*P */ A /*Q*/ è detta tripla di Hoare, dal nome del matematico che ha proposto questo tipo di formalizzazione nei primi anni Un esempio: calcolo del MCD Consideriamo la seguente tripla di Hoare: 5

8 /* a = A b = B a > 0 b 0 */ while ( b!= 0 ) { c = a % b; a = b; b = c; } /* a = MCD(A, B) */ Possiamo considerarla l enunciato di un teorema, con il seguente significato approssimativo: Siano A e B i valori iniziali delle variabili a e b, rispettivamente. Si supponga che questi valori siano positivi. Allora, dopo l esecuzione del codice, la variabile a conterrà il MCD dei valori iniziali. Si noti che nulla impedisce di far comparire nelle proposizioni delle variabili che non esistono nel programma. Le ipotesi della formulazione verbale coincidono con la precondizione del programma, mentre la tesi è una riformulazione della conclusione. 2.2 Scomposizione di un programma in strutture annidate Ora che sappiamo come formulare un asserzione di correttezza di un determinato programma, dobbiamo dedicarci alla sua dimostrazione. Il primo passo è la constatazione che un programma C può essere definito induttivamente come una combinazione dei seguenti elementi: 1. L istruzione vuota (che non fa nulla e che non modifica lo stato del calcolatore); pur non avendo alcuna utilità pratica, sarà comoda per il seguito, e corrisponde alla funzione identità nello spazio delle trasformazioni degli stati; 2. Istruzioni semplici di assegnazione, nella forma x = E; 3. Composizione sequenziale di due istruzioni semplici: {I 1 I 2 } 4. Costrutto condizionale: if ( C ) I 1 else I 2 5. Costrutto iterativo: while ( C ) I dove E e C sono espressioni, mentre I, I 1 e I 2 sono istruzioni. È facile rendersi contro come questi costrutti permettano di scrivere qualunque programma. In particolare: La composizione sequenziale di più di due istruzioni può essere scomposta come composizione di composizioni: {I 1 I 2 I 3 } equivale a {{I 1 I 2 } I 3 } La condizione if mancante del ramo else equivale a mettere dopo else un istruzione vuota; Il ciclo for è semplicemente una riformulazione del ciclo while ; Il ciclo do... while è esprimibile come combinazione di un if e un while. 6

9 Capitolo 3 Gli assiomi Vogliamo dimostrare teoremi che riguardano un nuovo tipo di oggetti. Abbiamo dunque bisogno di una serie di assiomi. 3.1 Correttezza delle istruzioni e dei costrutti fondamentali Definiamo ora gli assiomi che riguardano i blocchi costitutivi individuati in L istruzione vuota Quando possiamo asserire che un istruzione vuota è corretta rispetto a una precondizione P e a una postcondizione Q? Visto che l istruzione vuota non modifica lo stato della macchina, basta che Q sia vera negli stati in cui è vera P, ovvero se e soltanto se P implica Q: P Q /*P */ /*Q*/ L istruzione di assegnazione Supponiamo di voler dimostrare la seguente tripla di Hoare: /* P */ x = E; /* Q */ Chiaramente, la tripla è di qualche interesse se Q parla anche di x. Quali asserzioni sul valore di x sono vere nello stato finale? Visto che nello stato finale x vale E, Q è vera soltanto se quello che asserisce a proposito di x era vero, nello stato precedente l assegnazione, a proposito di E. Altrimenti detto, l asserzione Q è vera dopo l assegnazione se l asserzione Q E x (che dice le stesse cose di Q, ma che parla di E al posto di x) era vera prima: P Q E x /*P */ x=e; /*Q*/ 7

10 Esempi La seguente tripla è corretta: /* a > 0 */ b = 2 * a; /* b > a */ Notiamo che (b > a) 2a b equivale a 2a > a, quindi per dimostrare la correttezza è sufficiente dimostrare che a > 0 2a > a, il che è senz altro vero sommando a da entrambi i lati della premessa. Viceversa, la tripla non è corretta. Infatti, l implicazione è falsificata per valori negativi di b Il costrutto sequenziale /* a > 0 */ a = 2 * b; /* a > b */ a > 0 2b > b Data la tripla di Hoare /*P */ {I 1 I 2 } /*Q*/, individuiamo un asserzione R che descriva lo stato successivo all esecuzione della sola I 1. Tale asserzione dovrà fungere da postcondizione per I 1 (con precondizione P ) e da precondizione per I 2 (con postcondizione Q). Ne deriva la seguente regola: Esempi La seguente tripla è corretta: /*P */ I1 /*R*/ /*R*/ I 2 /*Q*/ /*P */ {I 1 I 2 } /*Q*/ /* b > 0 c < 0 */ { a = b; b = c; } /* a > 0 b < 0 */ Infatti, è sufficiente dimostrare separatamente: /*b > 0 c < 0*/ a=b; /*a > 0 c < 0*/, /*a > 0 c < 0*/ b=c; /*a > 0 b < 0*/ Il costrutto condizionale Data la tripla di Hoare /*P */ if (C) I 1 else I 2 /*Q*/, ricordiamo che l istruzione I 1 viene eseguita solo se la condizione C è verificata, mentre l istruzione I 2 viene eseguita soltanto se è vera la condizione C. Dunque, se P è precondizione al costrutto (cioè è vera per ipotesi) segue che lo stato che precede l esecuzione di I 1 verifica la condizione P C; lo stato che precede l esecuzione di I 2 verifica la precondizione P C. In entrambi i casi, lo stato finale deve verificare la postcondizione Q. La regola è dunque: 8

11 /*P C*/ I 1 /*Q*/ /*P C*/ I 2 /*Q*/ /*P */ if (C) I 1 else I 2 /*Q*/ Il costrutto iterativo Si tratta del caso più complesso: mentre il costrutto condizionale prevede una sola possibile diramazione, il costrutto iterativo deve considerare una sequenza di passaggi attorno a una stessa istruzione. Data la tripla di Hoare /*P */ while (C) I /*Q*/, possiamo subito dire quanto segue: se per caso la condizione C è immediatamente falsa, allora il ciclo while viene saltato e dev essere immediatamente vera la postcondizione Q: P C Q. Se invece C è vera, la precondizione all istruzione I è P C (P è vera a priori, C è vera perché siamo entrati nel ciclo). Chiamiamo R una possibile postcondizione di I, avremo la seguente tripla di Hoare: /*P C*/ I /*R*/. Se R è vera nello stato finale di I, e la condizione C è ancora verificata, allora I verrà rieseguita, e lo stato precedente la riesecuzione soddisfa la precondizione R C. Supponiamo di scegliere la proposizione R in modo che sia vera al termine di ogni iterazione: /*R C*/ I /*R*/. Il ciclo termina quando, dopo un esecuzione di I, la condizione C non è più verificata. Dunque, se R è vera e C non lo è, dev essere verificata la postcondizione Q: R C Q. Abbiamo tenuto conto di tutte le possibili diramazioni del ciclo. Riassumendo, ecco la regola complessiva. P C Q /*P C*/ I /*R*/ /*R C*/ I /*R*/ R C Q /*P */ while (C) I /*Q*/ 3.2 Composizione dei costrutti di base /* a = A b = B a > 0 b 0 */ while ( b!= 0 ) { c = a % b; /* (c = 0 b = MCD(A, B)) (c 0 MCD(b, c) = MCD(A, B)) */ a = b; /* (c = 0 a = MCD(A, B)) (c 0 MCD(a, c) = MCD(A, B)) */ b = c; /* (b = 0 a = MCD(A, B)) (b 0 MCD(a, b) = MCD(A, B)) */ } /* a = MCD(A, B) */ 9

12 Capitolo 4 Esempi 4.1 Divisione intera Siano a, b > 0 due numeri naturali. Il quoziente q e il resto r della divisione intera di a per b sono univocamente definiti dalle seguenti proprietà: a = qb + r, 0 r < b. Un metodo del tutto lecito, ancorché noioso e inutilmente lungo, per calcolare il quoziente e il resto consiste nel sottrarre ripetutamente b da a, finché quello che resta di a non è minore di b. Ecco il codice, già contornato dalle condizioni: 4.2 Calcolo del MCD /* a > 0 b > 0 */ q = 0; r = a; while ( r >= b ) { r = r - b; q = q + 1; } /* a = qb + r 0 r < b */ 10