程序正确性是可证明的，但证明本身是不完美的

程序的正确性可以用数学证明，这比测试更可靠——测试只能证明存在错误，证明可以证明不存在错误。但证明本身也可能出错：证明可能有逻辑漏洞，形式化模型可能与真实系统有偏差，证明覆盖的范围可能不够完整。所以，证明是增强信心的工具，不是消除风险的银弹。