形式化验证并非银弹，编写正确完整的规范本身需要经验，且验证覆盖范围严格受限于规范的表达