TLA+ 能检查什么、不能检查什么

What TLA+ can and can't check

TLA+ 可验证不变量、动作属性和活性等安全性属性，但无法表达可达性属性与超属性，例如证明游戏可获胜、或节能模式比普通模式更省电。它也无法原生定义跨两步以上的属性、浮点运算和真实时间，只能基于逻辑时间。作者提醒，形式化方法无法一劳永逸解决智能体软件开发问题，若属性无法写成逻辑公式，任何形式化方法都无能为力。