Frama-C阶函数

我试图用Frama-C和ACSL语言证明我的排序函数“order”的正确性。我有一个额外的“swap”函数来排列数组“t”的两个值

编辑： 我更新了我的代码

/*@ 
    requires \valid (t+ (0..(l-1)));
    requires l > 0;
    requires i<l && j<l && i>=0 && j>=0;
    assigns t[i], t[j];
    ensures t[j] == \old(t[i]);
    ensures t[i] == \old(t[j]);
*/
void swap(int *t, int l, int i,int j){
  int tmp;
  tmp = t[i];
  t[i] = t[j];
  t[j] = tmp;
  return;
}

/*@ 
    requires \valid (t+ (0..(l-1)));
    requires l > 0;
    ensures \forall integer k; (0 <= k < l-1) ==> t[k] <= t[k+1]; 
*/
void order(int *t, int l) {
  int i;
  int j;
/*@
    loop assigns i, t[0 .. l-1];
    loop invariant 0<=i<l && i>=0;
    loop invariant \forall integer k; (0 <= k<=i) ==> t[k] <= t[k+1]; 
    loop variant l-i;


*/
  for (i=0;i<l;i++) {

/*@
    loop assigns j, t[0 .. l-1];
    loop invariant i<=j<l && i>=0 && j>=0;
    loop invariant  \forall  integer k; (0 <= k <= j)  ==> (t[k] <=  t[k+1]);
    loop variant l-j;

*/
    for (j=i; j<l; j++) {

      if (t[i] > t[j]){
    /*@ assert t[i] > t[j] && i<l && j<l && i>=0 && j>=0 ; */
    swap(t, l, i, j);
    /*@ assert t[i] < t[j] && i<l && j<l && i>=0 && j>=0 ; */
      }
    }
  }
}

/*@
需要\有效（t+（0..（l-1））；
要求l>0；
需要i=0；
赋值t[i]，t[j]；
确保t[j]=\old（t[i]）；
确保t[i]=\old（t[j]）；
*/
无效交换（int*t，int l，int i，int j）{
int tmp；
tmp=t[i]；
t[i]=t[j]；
t[j]=tmp；
返回；
}
/*@ 
需要\有效（t+（0..（l-1））；
要求l>0；
确保\n所有整数k；（0吨[k]与使用WP时一样，被证明函数调用的所有函数都必须配备带有
赋值
子句的契约。此外，被证明函数的所有循环都必须有
循环赋值
子句。如果不是这样，WP将得出结论，内存状态的任何部分都可能被修改由于调用（分别是循环）的影响，因此在相应的指令之后，它将无法说出任何有意义的内容

因此，您至少应通过以下方式添加/替换现有条款：


在
掉期
合同中，条款
指定t[i]，t[j]；
在外循环的循环注释中，子句
循环指定i，t[0..l-1]；
在内部循环的循环注释中，子句
循环指定j，t[i..l-1]；

关于
循环分配的旁注如下：


它们必须描述从第一次进入循环到当前步骤的所有潜在修改（因此
t[i]，t[j]
是不够的，因为在当前
j
之前可能发生了其他互换）
循环的索引（这里是
i
和
j
）必须是循环分配的一部分，尽管很容易忽略它，并想知道为什么WP不高兴

请注意，您的注释可能还有其他问题，但这些是最明显的问题，在尝试证明更深层次的函数属性之前，拥有适当的
赋值
子句可能是最重要的一件事。
感谢您的回复。这对我这样的初学者非常有帮助。我现在被困在我的循环不变量。如果你问了一个新问题，而不是大量编辑你的代码，这会更好，使答案不准确。因为
j
是在函数的开头声明的，而不是直接在
的内部
中，它必须在外部循环的
循环赋值中，因为它在范围内你的不变量有各种各样的问题。首先，你应该非常小心使用