岗位方向 · 数学相关职业 / 计算机
形式方法与验证
把关键系统属性写成精确规格，并用证明或模型检查验证。
先看代表工作：交付需求对应的形式规格 →
可以整包委派候选规格与验证材料，但专属程序证明实验主要针对已有义务，需求含义须单独接收；不从Nexus迁移工业保证。
只对应这项工作 · 外部报告结果、有条件的编辑推断；不是整个职业的完成率。
职业范围、别名与核查日期
形式方法是研究和工程交叉方向；验证只对表达出来的规格与假设负责。 本页按职责提供公开参照；地域、职级和准入以目标组织的现行要求另核。
也常见于：形式化验证、形式验证工程师、定理证明、证明工程师、Formal Methods · 核查 2026-10-20
主要交付目标
范围依据、重要变体与未覆盖部分
按本职业主要交付组织工作范围；多个目标可以由同一结果包接收。职责来源用于核对工作定义，AI采用、工具可得性和实际表现按各项具体证据判断。这里不是所有地区与细分岗位的完整清单。
需求到形式规格
属性、模型、假设和实现对应；需求—规格—实现对照；假设、可达性及未编码需求
规格产物与拒收路径完整；业务需求自动规格化和工业并发/硬件仍缺直接覆盖，不能由局部证明抵消。
重要变体：顺序软件规格与验证；并发或硬件系统模型
本项仍有未展开内容；不表示AI不能完成。
形式验证产物
证明、模型检查或满足性结果及可重放环境；证明/模型检查项目及日志；完整义务/界限与信任基础
对应工作：交付完整证明或模型检查结果。
重要变体：固定局部证明义务
反例诊断与修订
反例、真实缺陷与建模错误区分；可重放trace/输入；缺陷回归或抽象修订
对应工作：交付反例诊断及规格/实现修订。
重要变体：顺序软件规格与验证；并发或硬件系统模型
验证驱动实现
满足规格的代码或模型变更；代码/规格差异；完整义务及实现回归
对应工作：交付符合固定属性的代码变更。
重要变体：规格/代码升级
证明维护与信任审计
版本、依赖、未证部分及信任基础；版本/依赖及未证清单；受影响目标重建/负控制
对应工作：交付证明维护与信任审计。
重要变体：规格/代码升级
Computer and Information Research Scientists ↗ · 职责资料用于检查工作范围，不提供AI成绩。
Software Developers ↗ · 职责资料用于检查工作范围，不提供AI成绩。
当前范围以外
- 未编码的现实要求不包含在形式保证
- 金融模型统计有效性另验
仍需补充的证据或内容
- 工业并发/硬件规格与真实实现连接缺专属直接AI覆盖，程序局部义务结果不能抵消。
- 编译器、外部调用/硬件、未建模需求与工具链升级的信任边界需任务核对。
主要做什么，AI 改变了哪些工作
按具体交付判断采用条件。下列条件评估与局部证据分别标示，不合成为一个职业自动化百分比。
交付需求对应的形式规格
交付物：需求—规格—实现对照；假设、可达性及未编码需求
关联局部工作证据
可以整包委派候选规格与验证材料，但专属程序证明实验主要针对已有义务，需求含义须单独接收；不从Nexus迁移工业保证。
依据身份：外部报告结果、有条件的编辑推断；各条只支持自身范围。
已展示：AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
尚待验证：程序算术实验不覆盖并发/公平性/硬件所有需求。
查看执行条件、逐条证据与完整验收
把系统属性、状态与环境抽象成可检查规格并映射实际实现。
AI怎样组织交付：代理可提出规格/不变量、探索反例、修改代码并响应验证器；可信需求/规格边界独立检查，固定义务无需逐步批准。
在本职业的适用范围：顺序软件与并发/硬件是不同模型输入；程序证据直接限于相应义务，跨模型保证需单独验收。
执行条件、可用工具与场景差异
DafnyBench和AutoRocq提供程序专属证明证据，支持把细节搜索交给代理；它们并未证明任意生产系统规格正确，因此独立验收需求/模型连接而不只看证明通过。
公开资料和工具入口已核对；论文配置、当前实现声明及本任务成绩分别记录，未运行本任务。
AutoRocq ↗ · 24b92683…；仓库Rocq9.0.0，论文8.18 · 开源Python/opam/Docker、模型API；不把新工具链继承旧成绩。
DafnyBench ↗ · 论文v1；代码执行前锁commit及Dafny/solver版本 · 公开ground_truth/hints_removed/eval；未安装运行。
并发或硬件系统模型：时序、公平性、缓存/通信/硬件抽象影响性质。 可交形式模型与反例候选，缺专属AI实测；分阶段接收模型。 验收：安全/活性、状态界与公平性/环境假设，trace到真实状态映射；软件算术证据不转移。
顺序软件规格与验证：固定顺序软件模块、机器整数/内存语义和目标属性，不以并发/硬件抽象为前提。 可委派规格/证明/反例候选；需求对应先接收，已有可信规格下按完整义务接收。 验收：查需求—前后置/状态—代码对应、可达性/vacuity、完整义务与实现测试，边界/溢出及反例重放。
判断的具体依据
外部报告结果
AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
支持：程序验证专属生成证明与实际检查证据。
原文定位与适用范围
定位：§5.1/§6.1/§7
范围限制：不等于198完整工业系统通过；未覆盖全部需求与编译/硬件链。
判断限制：不等于198完整工业系统通过；未覆盖全部需求与编译/硬件链。
研究配置与计分口径
arXiv v1；GPT4.1 temperature0；论文Rocq8.18/CoqPyt1.0.0、Frama-C WP提取；641义务含不溢出/功能/不变量，当前仓库9.0.0另记。
有条件的编辑推断
接收必须包括需求/模型映射和完整义务，不能由局部证明通过推出现实系统安全。
支持：区分程序提取假设、引理与完整实现保证。
原文定位与适用范围
定位：§5生成义务；§7案例；limitations
范围限制：系统级规格、并发/硬件变体需新任务验证。
判断限制：系统级规格、并发/硬件变体需新任务验证。
与这项判断直接相关的进展
首次公开 2025-11-21 · 判断变化 2025-11-21
采用程序验证专属实验，保留需求/模型/实现连接边界。
- 对应工作：程序与系统验证：规格、反例和证明产物相互对照；判断：AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
完整验收、失败处理和后续验证
程序与系统验证：规格、反例和证明产物相互对照 →
证明的属性对应真实需求：独立对照需求、前/后置条件、状态/环境假设；检查可满足性和vacuity，确认不是把期望写进前提。
拒收：requires false导致全通过；数学整数模型掩盖机器溢出。
形式结果实际完整：干净重建并检查admit/axiom/assume/disabled proof、solver/库依赖；有限模型/超时/unknown各自标识，不用“无反例”混成无界证明。
拒收：跳过失败义务、增加未批准公理；仅有限展开却声称全局活性。
反例与实现连接：重放trace及输入，核对环境可达性；真实缺陷变成独立回归，伪反例记录需要加强的抽象。
拒收：反例只在不可能环境出现；为消除反例删真实需求。
变更保持目标和信任边界：比较固定规格/代码diff，重新运行受影响证明/模型检查和实现测试；记录编译器/FFI/硬件连接的保证缺口。
拒收：证明旧代码，部署新代码；依赖版本变而缓存仍绿。
unknown/timeout保留具体义务与预算，不作unsafe或safe结论；反例先辨真伪，不通过弱化规格消除；环境缺失交可重放最小项目。
下一项验证：用固定小型C/Dafny模块，先用vacuous requires、溢出和错误不变量校准验收；隐藏参考证明，检验完整义务、代码映射和一个修改后的维护。
研究前沿：已公开从C验证义务到Rocq脚本及Dafny注解的代理路径；新仓库工具链与论文旧版本不同，需重放。
- 扩大：未见真实模块/变更中规格覆盖、反例映射与完整义务持续通过，维护成本可控。
- 收缩：只补局部引理而漏主目标、依赖大量assume或现实模型不符；缩到局部义务。
本站记录：本站本任务AI运行数、成功率、实际成本及人工介入量均为null；代表例为交付设计，未执行。
本场景怎样接收：独立核需求、状态/时间/内存模型与环境；检测requires false/vacuity、不可达目标和实现映射。
适用缺口与验证方法
尚未覆盖：程序算术实验不覆盖并发/公平性/硬件所有需求。
怎样核对：独立核需求、状态/时间/内存模型与环境；检测requires false/vacuity、不可达目标和实现映射。
交付完整证明或模型检查结果
交付物：证明/模型检查项目及日志；完整义务/界限与信任基础
关联局部工作证据
程序专属AutoRocq、DafnyBench提供具体成果，可整包委派固定义务；接收范围以完整目标为准。
依据身份：外部报告结果、有条件的编辑推断；各条只支持自身范围。
已展示：AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
尚待验证：641义务的198通过不是198完整程序，有限检查不等于无界证明。
查看执行条件、逐条证据与完整验收
在锁定规格/实现/工具下完成证明义务，或明确有限界/unknown/未解。
AI怎样组织交付：代理可提出规格/不变量、探索反例、修改代码并响应验证器；可信需求/规格边界独立检查，固定义务无需逐步批准。
在本职业的适用范围：展示程序证明结果与输入边界，不继承数学开放题进展。
执行条件、可用工具与场景差异
DafnyBench和AutoRocq提供程序专属证明证据，支持把细节搜索交给代理；它们并未证明任意生产系统规格正确，因此独立验收需求/模型连接而不只看证明通过。
公开资料和工具入口已核对；论文配置、当前实现声明及本任务成绩分别记录，未运行本任务。
AutoRocq ↗ · 24b92683…；仓库Rocq9.0.0，论文8.18 · 开源Python/opam/Docker、模型API；不把新工具链继承旧成绩。
DafnyBench ↗ · 论文v1；代码执行前锁commit及Dafny/solver版本 · 公开ground_truth/hints_removed/eval；未安装运行。
固定局部证明义务：规格与代码已可信，只缺证明/不变量。 可整包委派直到完整核验；接收范围就是该义务。 验收：防改规格/加假设/漏依赖，不能扩成全程序完成。
判断的具体依据
外部报告结果
AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
支持：程序验证专属生成证明与实际检查证据。
原文定位与适用范围
定位：§5.1/§6.1/§7
范围限制：不等于198完整工业系统通过；未覆盖全部需求与编译/硬件链。
判断限制：不等于198完整工业系统通过；未覆盖全部需求与编译/硬件链。
研究配置与计分口径
arXiv v1；GPT4.1 temperature0；论文Rocq8.18/CoqPyt1.0.0、Frama-C WP提取；641义务含不溢出/功能/不变量，当前仓库9.0.0另记。
外部报告结果
DafnyBench评价模型给固定程序/规格补验证提示，并检查最终程序，而非自由修改规格求绿灯。
支持：固定规格下的程序验证注解任务证据。
原文定位与适用范围
定位：dataset construction / evaluation
范围限制：有限程序、历史模型；不保证自动写对需求或整个工业系统。
判断限制：有限程序、历史模型；不保证自动写对需求或整个工业系统。
研究配置与计分口径
arXiv v1；750余现有Dafny程序移除提示，原模型/反馈条件以论文为准；本文不转抄分数。
有条件的编辑推断
接收必须包括需求/模型映射和完整义务，不能由局部证明通过推出现实系统安全。
支持：区分程序提取假设、引理与完整实现保证。
原文定位与适用范围
定位：§5生成义务；§7案例；limitations
范围限制：系统级规格、并发/硬件变体需新任务验证。
判断限制：系统级规格、并发/硬件变体需新任务验证。
与这项判断直接相关的进展
首次公开 2025-11-21 · 判断变化 2025-11-21
采用程序验证专属实验，保留需求/模型/实现连接边界。
- 对应工作：程序与系统验证：规格、反例和证明产物相互对照；判断：AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
首次公开 2024-06-12
检查程序的完整验证状态而非只看代码文本。
- 对应工作：程序与系统验证：规格、反例和证明产物相互对照；判断：DafnyBench评价模型给固定程序/规格补验证提示，并检查最终程序，而非自由修改规格求绿灯。
完整验收、失败处理和后续验证
程序与系统验证：规格、反例和证明产物相互对照 →
证明的属性对应真实需求：独立对照需求、前/后置条件、状态/环境假设；检查可满足性和vacuity，确认不是把期望写进前提。
拒收：requires false导致全通过；数学整数模型掩盖机器溢出。
形式结果实际完整：干净重建并检查admit/axiom/assume/disabled proof、solver/库依赖；有限模型/超时/unknown各自标识，不用“无反例”混成无界证明。
拒收：跳过失败义务、增加未批准公理；仅有限展开却声称全局活性。
反例与实现连接：重放trace及输入，核对环境可达性；真实缺陷变成独立回归，伪反例记录需要加强的抽象。
拒收：反例只在不可能环境出现；为消除反例删真实需求。
变更保持目标和信任边界：比较固定规格/代码diff，重新运行受影响证明/模型检查和实现测试；记录编译器/FFI/硬件连接的保证缺口。
拒收：证明旧代码，部署新代码；依赖版本变而缓存仍绿。
unknown/timeout保留具体义务与预算，不作unsafe或safe结论；反例先辨真伪，不通过弱化规格消除；环境缺失交可重放最小项目。
下一项验证：用固定小型C/Dafny模块，先用vacuous requires、溢出和错误不变量校准验收；隐藏参考证明，检验完整义务、代码映射和一个修改后的维护。
研究前沿：已公开从C验证义务到Rocq脚本及Dafny注解的代理路径；新仓库工具链与论文旧版本不同，需重放。
- 扩大：未见真实模块/变更中规格覆盖、反例映射与完整义务持续通过，维护成本可控。
- 收缩：只补局部引理而漏主目标、依赖大量assume或现实模型不符；缩到局部义务。
本站记录：本站本任务AI运行数、成功率、实际成本及人工介入量均为null；代表例为交付设计，未执行。
本场景怎样接收：干净重建全部义务，核假设/solver/未证依赖；有限、超时和unknown单列，拒绝漏主目标。
适用缺口与验证方法
尚未覆盖：641义务的198通过不是198完整程序，有限检查不等于无界证明。
怎样核对：干净重建全部义务，核假设/solver/未证依赖；有限、超时和unknown单列，拒绝漏主目标。
交付反例诊断及规格/实现修订
交付物：可重放trace/输入；缺陷回归或抽象修订
关联局部工作证据
可委派反例解释与候选修复；采用需要trace映射实际状态，不能为消警弱化规格。
依据身份：有条件的编辑推断；各条只支持自身范围。
已展示：当前所选依据为工具方法或编辑迁移判断，尚无该交付的直接结果。
尚待验证：模型可达状态可能不对应现实执行。
查看执行条件、逐条证据与完整验收
从trace回到原系统，区分真实缺陷、模型错误和伪反例。
AI怎样组织交付：代理可提出规格/不变量、探索反例、修改代码并响应验证器；可信需求/规格边界独立检查，固定义务无需逐步批准。
在本职业的适用范围：顺序软件与并发/硬件是不同模型输入；程序证据直接限于相应义务，跨模型保证需单独验收。
执行条件、可用工具与场景差异
DafnyBench和AutoRocq提供程序专属证明证据，支持把细节搜索交给代理；它们并未证明任意生产系统规格正确，因此独立验收需求/模型连接而不只看证明通过。
公开资料和工具入口已核对；论文配置、当前实现声明及本任务成绩分别记录，未运行本任务。
AutoRocq ↗ · 24b92683…；仓库Rocq9.0.0，论文8.18 · 开源Python/opam/Docker、模型API；不把新工具链继承旧成绩。
DafnyBench ↗ · 论文v1；代码执行前锁commit及Dafny/solver版本 · 公开ground_truth/hints_removed/eval；未安装运行。
并发或硬件系统模型：时序、公平性、缓存/通信/硬件抽象影响性质。 可交形式模型与反例候选，缺专属AI实测；分阶段接收模型。 验收：安全/活性、状态界与公平性/环境假设，trace到真实状态映射；软件算术证据不转移。
顺序软件规格与验证：固定顺序软件模块、机器整数/内存语义和目标属性，不以并发/硬件抽象为前提。 可委派规格/证明/反例候选；需求对应先接收，已有可信规格下按完整义务接收。 验收：查需求—前后置/状态—代码对应、可达性/vacuity、完整义务与实现测试，边界/溢出及反例重放。
判断的具体依据
有条件的编辑推断
接收必须包括需求/模型映射和完整义务，不能由局部证明通过推出现实系统安全。
支持：区分程序提取假设、引理与完整实现保证。
原文定位与适用范围
定位：§5生成义务；§7案例；limitations
范围限制：系统级规格、并发/硬件变体需新任务验证。
判断限制：系统级规格、并发/硬件变体需新任务验证。
完整验收、失败处理和后续验证
程序与系统验证：规格、反例和证明产物相互对照 →
证明的属性对应真实需求：独立对照需求、前/后置条件、状态/环境假设；检查可满足性和vacuity，确认不是把期望写进前提。
拒收：requires false导致全通过；数学整数模型掩盖机器溢出。
形式结果实际完整：干净重建并检查admit/axiom/assume/disabled proof、solver/库依赖；有限模型/超时/unknown各自标识，不用“无反例”混成无界证明。
拒收：跳过失败义务、增加未批准公理；仅有限展开却声称全局活性。
反例与实现连接：重放trace及输入，核对环境可达性；真实缺陷变成独立回归，伪反例记录需要加强的抽象。
拒收：反例只在不可能环境出现；为消除反例删真实需求。
变更保持目标和信任边界：比较固定规格/代码diff，重新运行受影响证明/模型检查和实现测试；记录编译器/FFI/硬件连接的保证缺口。
拒收：证明旧代码，部署新代码；依赖版本变而缓存仍绿。
unknown/timeout保留具体义务与预算，不作unsafe或safe结论；反例先辨真伪，不通过弱化规格消除；环境缺失交可重放最小项目。
下一项验证：用固定小型C/Dafny模块，先用vacuous requires、溢出和错误不变量校准验收；隐藏参考证明，检验完整义务、代码映射和一个修改后的维护。
研究前沿：已公开从C验证义务到Rocq脚本及Dafny注解的代理路径；新仓库工具链与论文旧版本不同，需重放。
- 扩大：未见真实模块/变更中规格覆盖、反例映射与完整义务持续通过，维护成本可控。
- 收缩：只补局部引理而漏主目标、依赖大量assume或现实模型不符；缩到局部义务。
本站记录：本站本任务AI运行数、成功率、实际成本及人工介入量均为null；代表例为交付设计，未执行。
本场景怎样接收：重放trace、检查环境/状态可达性；真实缺陷进独立回归，伪反例说明加强抽象后的影响。
适用缺口与验证方法
尚未覆盖：模型可达状态可能不对应现实执行。
怎样核对：重放trace、检查环境/状态可达性；真实缺陷进独立回归，伪反例说明加强抽象后的影响。
交付符合固定属性的代码变更
交付物：代码/规格差异；完整义务及实现回归
关联局部工作证据
可委派实现与证明反馈循环；Dafny补注解不是自由写对全部程序的证据，范围以固定属性接收。
依据身份：外部报告结果、有条件的编辑推断；各条只支持自身范围。
已展示：AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
尚待验证：实现测试、编译器/FFI/硬件连接未自动被覆盖。
查看执行条件、逐条证据与完整验收
用验证反馈改变实现，保住真实目标和旧行为。
AI怎样组织交付：代理可提出规格/不变量、探索反例、修改代码并响应验证器；可信需求/规格边界独立检查，固定义务无需逐步批准。
在本职业的适用范围：这里允许代码变更，应选择变更/维护场景；固定局部义务变体锁定代码，不用于覆盖改实现。
执行条件、可用工具与场景差异
DafnyBench和AutoRocq提供程序专属证明证据，支持把细节搜索交给代理；它们并未证明任意生产系统规格正确，因此独立验收需求/模型连接而不只看证明通过。
公开资料和工具入口已核对；论文配置、当前实现声明及本任务成绩分别记录，未运行本任务。
AutoRocq ↗ · 24b92683…；仓库Rocq9.0.0，论文8.18 · 开源Python/opam/Docker、模型API；不把新工具链继承旧成绩。
DafnyBench ↗ · 论文v1；代码执行前锁commit及Dafny/solver版本 · 公开ground_truth/hints_removed/eval；未安装运行。
规格/代码升级：依赖、接口和实现一起演进。 可委派证明维护及影响分析，先锁定不允许弱化的属性。 验收：重放受影响义务和负控制，区分新旧版本覆盖。
判断的具体依据
外部报告结果
AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
支持：程序验证专属生成证明与实际检查证据。
原文定位与适用范围
定位：§5.1/§6.1/§7
范围限制：不等于198完整工业系统通过；未覆盖全部需求与编译/硬件链。
判断限制：不等于198完整工业系统通过；未覆盖全部需求与编译/硬件链。
研究配置与计分口径
arXiv v1；GPT4.1 temperature0；论文Rocq8.18/CoqPyt1.0.0、Frama-C WP提取；641义务含不溢出/功能/不变量，当前仓库9.0.0另记。
外部报告结果
DafnyBench评价模型给固定程序/规格补验证提示，并检查最终程序，而非自由修改规格求绿灯。
支持：固定规格下的程序验证注解任务证据。
原文定位与适用范围
定位：dataset construction / evaluation
范围限制：有限程序、历史模型；不保证自动写对需求或整个工业系统。
判断限制：有限程序、历史模型；不保证自动写对需求或整个工业系统。
研究配置与计分口径
arXiv v1；750余现有Dafny程序移除提示，原模型/反馈条件以论文为准；本文不转抄分数。
有条件的编辑推断
接收必须包括需求/模型映射和完整义务，不能由局部证明通过推出现实系统安全。
支持：区分程序提取假设、引理与完整实现保证。
原文定位与适用范围
定位：§5生成义务；§7案例；limitations
范围限制：系统级规格、并发/硬件变体需新任务验证。
判断限制：系统级规格、并发/硬件变体需新任务验证。
与这项判断直接相关的进展
首次公开 2025-11-21 · 判断变化 2025-11-21
采用程序验证专属实验，保留需求/模型/实现连接边界。
- 对应工作：程序与系统验证：规格、反例和证明产物相互对照；判断：AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
首次公开 2024-06-12
检查程序的完整验证状态而非只看代码文本。
- 对应工作：程序与系统验证：规格、反例和证明产物相互对照；判断：DafnyBench评价模型给固定程序/规格补验证提示，并检查最终程序，而非自由修改规格求绿灯。
完整验收、失败处理和后续验证
程序与系统验证：规格、反例和证明产物相互对照 →
证明的属性对应真实需求：独立对照需求、前/后置条件、状态/环境假设；检查可满足性和vacuity，确认不是把期望写进前提。
拒收：requires false导致全通过；数学整数模型掩盖机器溢出。
形式结果实际完整：干净重建并检查admit/axiom/assume/disabled proof、solver/库依赖；有限模型/超时/unknown各自标识，不用“无反例”混成无界证明。
拒收：跳过失败义务、增加未批准公理；仅有限展开却声称全局活性。
反例与实现连接：重放trace及输入，核对环境可达性；真实缺陷变成独立回归，伪反例记录需要加强的抽象。
拒收：反例只在不可能环境出现；为消除反例删真实需求。
变更保持目标和信任边界：比较固定规格/代码diff，重新运行受影响证明/模型检查和实现测试；记录编译器/FFI/硬件连接的保证缺口。
拒收：证明旧代码，部署新代码；依赖版本变而缓存仍绿。
unknown/timeout保留具体义务与预算，不作unsafe或safe结论；反例先辨真伪，不通过弱化规格消除；环境缺失交可重放最小项目。
下一项验证：用固定小型C/Dafny模块，先用vacuous requires、溢出和错误不变量校准验收；隐藏参考证明，检验完整义务、代码映射和一个修改后的维护。
研究前沿：已公开从C验证义务到Rocq脚本及Dafny注解的代理路径；新仓库工具链与论文旧版本不同，需重放。
- 扩大：未见真实模块/变更中规格覆盖、反例映射与完整义务持续通过，维护成本可控。
- 收缩：只补局部引理而漏主目标、依赖大量assume或现实模型不符；缩到局部义务。
本站记录：本站本任务AI运行数、成功率、实际成本及人工介入量均为null；代表例为交付设计，未执行。
本场景怎样接收：对照固定规格/需求及代码diff，重跑义务/反例/实现测试，拒绝通过改假设使变更安全。
适用缺口与验证方法
尚未覆盖：实现测试、编译器/FFI/硬件连接未自动被覆盖。
怎样核对：对照固定规格/需求及代码diff，重跑义务/反例/实现测试，拒绝通过改假设使变更安全。
交付证明维护与信任审计
交付物：版本/依赖及未证清单；受影响目标重建/负控制
关联局部工作证据
可委派影响分析、补证明和重放；当前AutoRocq源码9.0.0不能静默继承论文8.18成绩。
依据身份：外部报告结果、有条件的编辑推断；各条只支持自身范围。
已展示：AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
尚待验证：缓存/solver策略或依赖变更可掩盖失效。
查看执行条件、逐条证据与完整验收
依赖/工具/实现演进后保持声明、证明和产物一致。
AI怎样组织交付：代理可提出规格/不变量、探索反例、修改代码并响应验证器；可信需求/规格边界独立检查，固定义务无需逐步批准。
在本职业的适用范围：选择有具体工具链变化的程序证据，不引无关数学进展。
执行条件、可用工具与场景差异
DafnyBench和AutoRocq提供程序专属证明证据，支持把细节搜索交给代理；它们并未证明任意生产系统规格正确，因此独立验收需求/模型连接而不只看证明通过。
公开资料和工具入口已核对；论文配置、当前实现声明及本任务成绩分别记录，未运行本任务。
AutoRocq ↗ · 24b92683…；仓库Rocq9.0.0，论文8.18 · 开源Python/opam/Docker、模型API；不把新工具链继承旧成绩。
DafnyBench ↗ · 论文v1；代码执行前锁commit及Dafny/solver版本 · 公开ground_truth/hints_removed/eval；未安装运行。
规格/代码升级：依赖、接口和实现一起演进。 可委派证明维护及影响分析，先锁定不允许弱化的属性。 验收：重放受影响义务和负控制，区分新旧版本覆盖。
判断的具体依据
外部报告结果
AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
支持：程序验证专属生成证明与实际检查证据。
原文定位与适用范围
定位：§5.1/§6.1/§7
范围限制：不等于198完整工业系统通过；未覆盖全部需求与编译/硬件链。
判断限制：不等于198完整工业系统通过；未覆盖全部需求与编译/硬件链。
研究配置与计分口径
arXiv v1；GPT4.1 temperature0；论文Rocq8.18/CoqPyt1.0.0、Frama-C WP提取；641义务含不溢出/功能/不变量，当前仓库9.0.0另记。
有条件的编辑推断
接收必须包括需求/模型映射和完整义务，不能由局部证明通过推出现实系统安全。
支持：区分程序提取假设、引理与完整实现保证。
原文定位与适用范围
定位：§5生成义务；§7案例；limitations
范围限制：系统级规格、并发/硬件变体需新任务验证。
判断限制：系统级规格、并发/硬件变体需新任务验证。
与这项判断直接相关的进展
首次公开 2025-11-21 · 判断变化 2025-11-21
采用程序验证专属实验，保留需求/模型/实现连接边界。
- 对应工作：程序与系统验证：规格、反例和证明产物相互对照；判断：AutoRocq在程序来源的641条SV-COMP证明义务中报告证明198条；分母是引理，不是完整程序。
完整验收、失败处理和后续验证
程序与系统验证：规格、反例和证明产物相互对照 →
证明的属性对应真实需求：独立对照需求、前/后置条件、状态/环境假设；检查可满足性和vacuity，确认不是把期望写进前提。
拒收：requires false导致全通过；数学整数模型掩盖机器溢出。
形式结果实际完整：干净重建并检查admit/axiom/assume/disabled proof、solver/库依赖；有限模型/超时/unknown各自标识，不用“无反例”混成无界证明。
拒收：跳过失败义务、增加未批准公理；仅有限展开却声称全局活性。
反例与实现连接：重放trace及输入，核对环境可达性；真实缺陷变成独立回归，伪反例记录需要加强的抽象。
拒收：反例只在不可能环境出现；为消除反例删真实需求。
变更保持目标和信任边界：比较固定规格/代码diff，重新运行受影响证明/模型检查和实现测试；记录编译器/FFI/硬件连接的保证缺口。
拒收：证明旧代码，部署新代码；依赖版本变而缓存仍绿。
unknown/timeout保留具体义务与预算，不作unsafe或safe结论；反例先辨真伪，不通过弱化规格消除；环境缺失交可重放最小项目。
下一项验证：用固定小型C/Dafny模块，先用vacuous requires、溢出和错误不变量校准验收；隐藏参考证明，检验完整义务、代码映射和一个修改后的维护。
研究前沿：已公开从C验证义务到Rocq脚本及Dafny注解的代理路径；新仓库工具链与论文旧版本不同，需重放。
- 扩大：未见真实模块/变更中规格覆盖、反例映射与完整义务持续通过，维护成本可控。
- 收缩：只补局部引理而漏主目标、依赖大量assume或现实模型不符；缩到局部义务。
本站记录：本站本任务AI运行数、成功率、实际成本及人工介入量均为null；代表例为交付设计，未执行。
本场景怎样接收：从锁定依赖干净构建，核trusted base/assume/admit及代码hash；一次升级和故意弱化控制都重验。
适用缺口与验证方法
尚未覆盖：缓存/solver策略或依赖变更可掩盖失效。
怎样核对：从锁定依赖干净构建，核trusted base/assume/admit及代码hash；一次升级和故意弱化控制都重验。
与这些工作关联的进展
公开 2025-11-21 · 判断变化 2025-11-21
程序验证代理交付可重放Rocq证明义务 →
程序来源的证明义务有专属代理成果。
适用边界：局部引理和Linux模块案例不等于完整内核验证。
公开 2024-06-12
程序验证注解已有可重放任务评价 →
固定程序/规格下补全验证提示不同于数学解题。
适用边界：不证明业务规格正确或整个系统安全。
未来 3–5 年（2029–2031） · 条件情景
未来3–5年，工作组合可能怎样变化
未来 3–5 年是编辑条件情景，不是就业数量预测。每项均列基准、加速、受限路径和需观察的信号；职业职责来源不等于 AI 能力证据。
基准情景
固定义务的证明搜索更易整包委派，规格与实现连接成为可见交付的一部分。
加速情景
若代理能在新程序/大型规格演进中维持属性与完整证明，验证可进入更多日常工程。
受限情景
若通过依赖弱化规格/未证公理或模型脱离实现，缩到局部证明与诊断候选。
哪些信号会改变判断
- 未见程序全部义务与非空洞规格
- 反例到实际缺陷的映射
- 代码/工具升级后维护成本与信任基础
这些是围绕工作内容的条件推演，不是已测的职业替代率；当前分工也不是永久边界。
进入与成长，可用什么说明能力
本页目前主要提供工作与作品证据，基础课程、责任级别和中国地区准入尚未完成专题整理；请按目标机构原文另核。
完整交付可展示的证据
- 真实需求与形式属性/实现映射
- 可重放完整项目、有效反例及一次证明维护差异
这是公开的能力证据参考。具体地区、职级与组织要求应按目标岗位原文核对；是否符合你的情况由你和自己的 Agent 判断。
用你已有的上下文继续
交给我的 Agent
带走当前公开资料，让你的 Agent 结合已有背景继续分析。也可以读完就结束。
查看可复制的内容
我正在了解：形式方法与验证 把关键系统属性写成精确规格，并用证明或模型检查验证。 请先解释这些职业或岗位方向的工作差异、AI 当前影响和证据边界。如果我要结合个人情况做判断，复用你已经知道的我的经历、偏好和约束，只追问会改变结论的缺口；不要把本站已收录的方向当作全部选项。 公开资料： 职业与工作资料：https://edgeofwork.com/careers/formal-methods.md?version=2026-10-21.careers.2 程序与系统验证：规格、反例和证明产物相互对照：https://edgeofwork.com/work-units/W-M10.md?version=2026-10-21.workunits.2 区分职业资料、研究结果、工具声明和编辑推断；读取资料给出的日期、版本与范围。需要时补充原始来源。使用自己的自然报告或对话继续，无需把个人材料和分析回填网站。
来源与职业名称的对应
官方分类提供职业参照；市场岗位方向按实际工作作较窄或相邻映射。美国资料的地区、学历和准入要求不能直接当作中国要求。
Computer and Information Research Scientists ↗
O*NET-SOC · 15-1221.00 · US · O*NET-SOC 2019；OnLine Updated 2026
共享部分方法或工作对象，不能据此认定岗位与该编码完全相同。
相关工作参照 · Definition / Tasks
Software Developers ↗
O*NET-SOC · 15-1252.00 · US · O*NET-SOC 2019；OnLine Updated 2026
共享部分方法或工作对象，不能据此认定岗位与该编码完全相同。
相关工作参照 · Definition / Tasks
查看原文、日期与适用边界
Computer and Information Research Scientists ↗
美国 O*NET-SOC 职业职责参照；中文标题及导航由编辑按工作内容映射
原文定位：职业定义、Tasks、Work Activities；不采用薪酬和学历比例；核查 2026-10-20；来源已核对。
不证明中国岗位数量、准入资格或在招需求；不提供该职业的 AI 实测结论。
Software Developers ↗
美国 O*NET-SOC 职业职责参照；中文标题及导航由编辑按工作内容映射
原文定位：职业定义、Tasks、Work Activities；不采用薪酬和学历比例；核查 2026-10-20；来源已核对。
不证明中国岗位数量、准入资格或在招需求；不提供该职业的 AI 实测结论。