> Nie znam się na algorytmach i ich dowodzeniu, ale mogę powiedzieć tyle,
> że normalną praktyką w przemyśle jest testowanie a nie dowodzenie,

Głównie dlatego, że testowanie jest zrozumiałe zarówno dla tych, którzy to robią, jak
i dla tych, którzy to mają zaakceptować jako element projektu (czytaj: zapłacić za to
lub uznać jego ważność).
W przeciwieństwie do dowodów, które są niezrozumiałe i stąd też niechętnie
akceptowane.

> bo
> dowodzenie jest bardzo kosztowne - jest uważane za nieopłacalne

Nie. Zainteresowanie dowodzeniem rośnie właśnie dlatego, że jest tańsze. Może być
nawet dużo tańsze.

> nawet
> tam, gdzie wchodzą w grę wielomilionowe straty (np. w finansach),

W finansach nie ma strat. Albo się "traci" coś, czego nigdy nie było (wtedy nie ma
strat), albo można to stosunkowo łatwo odkręcić przez reklamacje i wtedy (relatywnie)
też nie ma strat.

Masz rację, że w finansach nie stosuje się dowodów ale nie dlatego, że są droższe od
testów, tylko dlatego, że testów też się tam nie robi.

> a
> zaczyna się je stosować AFAIK gdzieś w okolicach oprogramowania pojazdów
> kosmicznych - duże potencjalne straty, stosunkowo mała liczba linii kodu.

Dowody da się automatyzować. Przy dużej liczbie linii kodu nie masz szans go pokryć
testami, natomiast nadal masz szansę robić dowody. Stąd też to rosnące
zainteresowanie.

> Poprawność programu praktycznie nigdy nie jest kwestią 100% pewności a
> zawsze jest kwestią zarządzania ryzykiem.

Tak.

> Trochę piszę oczywistości,

Nie.

> ale piszę to dlatego, że skoro twój
> zleceniodawca wymaga, żebyś robił to sam, to być może inne względy
> (zachowanie tajemnicy? koszty?) są dla niego ważniejsze niż ryzyko
> utraty reputacji na wskutek błędnego działania programu. Druga możliwość
> jest oczywiście taka, że nie jest tego świadomy.

Stawiam na drugą. Jeśli ten program jest naprawdę taki ważny, to zleceniodawca
powinien zlecić wszystkie metody weryfikacji jakie da się zastosować - review, testy
i dowody. I normalne standardy jakości wymagają, żeby każda z tych metod angażowała
*niezależną* osobę do jej przeprowadzenia (nikt nie widzi własnych błędów).
Stąd też bzdurą jest oczekiwanie, że wszystko zrobi jeden wykonawca.

--
Maciej Sobczak * http://www.msobczak.com * http://www.inspirel.com