На меня большое впечатление произвела картинка про sel4 ос. Там пруфов на два порядка больше чем кода. Но там они прямо пруфают что она риалтайм гарантии выполняет и так далее. Если пруфать просто выход за границы массива, то наверное не очень сложно.