形式验证仍然是关键。