Я думаю, что это один из основных аргументов в пользу формальной верификации. Дело не столько в инструменте, сколько в строгом процессе понимания кода.