为什么这个 Dafny 示例验证失败？

Question

这是学习达夫尼的例子。

method test5(x:array<int>,y:array<int>,n:int)
requires 0<=n
requires 0< x.Length
requires 0< y.Length  
requires x[0]==y[0]; 
requires (x[0]>=0 ==> y[0]>=0)
requires  (y[0]>= 0 ==> x[0]>= 0)
requires  (x[0]+y[0]==0 || x[0]+y[0]>0);
modifies y;  
modifies x; 
ensures  (x[0]==y[0]); 
ensures (x[0]>0 ==> y[0]>0)
ensures (y[0] > 0 ==> x[0] > 0)
ensures  (x[0]+y[0]==0 || x[0]+y[0]>0)     
{     if (x[0]>0)
    {x[0]:=x[0]- 1; 
     y[0]:=y[0]- 1;
     }
}

为什么验证失败？

Dafny 可以给出反例吗？

Answer 1

是的，你可以得到一个反例。如果您使用的是 Visual Studio，只需单击错误所在的红色圆圈即可。这将调出验证调试器。如果您使用的是 VS Code，请按 F7（请参阅 https://marketplace.visualstudio.com/items?itemName=correctnessLab.dafny-vscode）。这将重新验证您的程序并向您显示反例中的一些信息。

在你的例子中，这些反例显示 x 和 y 是相等的，并且最初是 x[0]==y[0]==1。事实上，从那个初始状态开始，test5 将不会建立其声明的后置条件。

鲁斯坦

为什么这个 Dafny 示例验证失败？

Why this Dafny example verification fails?

dafny