Design by Contract with JML

Transkript

1 Thema: Design by Contract with JML Proseminar: Assertions Verfasser: Literatur: Betreuer: Natalya Moriz Gary T.Leavens and Yoonsik Cheon: Design by Contract with JML Prof. Dr. Heike Wehrheim 1

2 Inhalt DBC (Wiederholung) Einführung Wichtige Konstrukte, zwei Beispiele Syntax Demonstration von Beispielen Zusammenfassung 2

3 DBC: Idee DBC (Design by Contract) : Verfahren für die Softwareentwicklung Idee: Klassen und deren Benutzer haben einen Vertrag miteinander Benutzer: garantiert die Erfüllung der bestimmten Bedingungen (Vorbedingungen) vor dem Aufruf Klasse: garantiert bestimmte Eigenschaften (Nachbedingungen) nach dem Aufruf 3

4 Geschichte JML : offenes Projekt Begründer : Prof. Gary Leavens und seine Gruppe an der Iowa Staatsuniversität Ende 90-er Jahre andere Mitglieder des Projektes: K. Rustan M. Leino, CRS Center, USA Erik Poll, Bart Jacobs, Nijmegen Universität, Niederlande Jeder ist willkommen! 4

5 Was ist JML? JML : Abkürzung für Java Modeling Language; formale Spezifikationssprache für Java-Module Java-Module: Klassen und Interfaces 5

6 Warum JML? Information über Java-Module aus Benutzersicht Java: Signaturen, Dokumentation ist das ausreichend? Beispiel: public static int isqrt(int y) -10 ist auch integer JML: genaue Beschreibung der Anforderungen an Benutzer und Implementierer; während der Laufzeit überprüfbar 6

7 Beispiel 1 public class Wurzel { /*@ public requires y >= assignable ensures 0 <= && \result * \result <= && ( y < (\result + 1) * (\result + public static int isqrt(int y) { return (int) Math.sqrt(y); } } 7

8 Verhaltensspezifikationen Um korrekt zu bleiben muss eine Spezifikation auch das Verhalten der Module beschreiben Wichtigste Konstrukte dafür: - Vor-und Nachbedingungen - Klasseninvarianten 8

9 Vorbedingung Vorbedingung einer Methode: sagt, was vor ihrem Aufruf erfüllt sein muss kann als Pflicht des Benutzers interpretiert werden das Schlüsselwort requires (verlangen) wird für die Einführung der Vorbedingung verwendet 9

10 Vorbedingung Bemerkung: eine Methode muss in einem Zustand aufgerufen werden, wann die Vorbedingung der Methode gilt ( sonst - unendliche Schleife oder willkürliche Zustandsänderungen möglich) Vorzustand - der Zustand, in dem eine Methode aufgerufen wird. 10

11 Nachbedingung Nachbedingung einer Methode: sagt, was gelten muss, wenn sie endet kann als Pflicht des Entwicklers interpretiert werden das Schlüsselwort ensures (garantieren) wird für die Einführung der Nachbedingung verwendet 11

12 Nachbedingungen Bemerkung: Methode wird in einem geeigneten Vorzustand aufgerufen, dann - zwei mögliche Ergebnisse der Ausführung der Methode normale Nachbedingung, die sagt, was gelten muss, falls die Methode normal abgearbeitet hat, d.h. ohne eine Ausnahme zu werfen. Wenn die Methode endet, ohne eine Ausnahme zu werfen, wird dieser Beendigungszustand ein normaler Nachzustand genannt. Ausnahmenachzustand (später) 12

13 Vor-und Nachbedingungen Beispiel 1: Pflicht Benutzer Eine nicht negative Zahl an y übergeben Implementierer Wurzel berechnen: Resultat nicht negativ; Resultat^2 <= y; (Resultat+1)^2 > y Recht Wurzel bekommen (ca) Annahme: y ist nicht negativ 13

14 public class Person { private /*@ String name; private /*@ int weight; /*@ public && weight >= Beispiel 2 //@ ensures \result == weight; public /*@ int getweight(){ return weight; }; /*@ requires weight + kgs >= ensures weight == \old(weight + public void addkgs(int kgs){ weight=+kgs;}; /*@ requires n!= null ensures && weight == public Person(String n){ name=n; weight=0; };} 14

15 Klasseninvarianten Klasseninvariante: eine Eigenschaft, die in allen für Benutzer sichtbaren Zuständen gelten muss muss nach der Ausführung jedes Konstruktors und am Anfang und Ende aller Methoden gelten kann als eine Nachbedingung für jeden Konstruktor der Klasse und eine Vor-und Nachbedingung jeder Methode der Klasse interpretiert werden 15

16 Notation, allgemeine Ausdrücke Generell: - erweiterte Java-Ausdrücke; - einige der Erweiterungen aus JML, die zu Java hinzugefügt werden Tabelle 1 Tabelle 1: Syntax Bedeutung \result Resultat des Aufrufes einer Methode a ==> b a impliziert b a <== b b impliziert a a <==> b a gdw b a <=!=> b nicht (a gdw b) \old(e) Wert von E im vorigen Zustand 16

17 JML-Ausdrücke \result - Rückgabewert; der Typ des Resultates entspricht dem Rückgabetyp der Methode; \old(.) alter Wert \result und \old - nur in den Nachbedingungen 17

18 Veränderbarkeit assignable - Attribute, die durch eine Methode verändert werden dürfen (Ausnahme: lokale Variable und formale Parameter) müssen explizit in der Beschreibung angegeben werden JML prüft, ob sich eine Implementierung daran hält nicht erwähnte Attribute dürfen nicht verändert werden 18

19 Quantoren Ouantoren erlaubt: \forall, \exists, \sum, \produkt, \min, \max, \num (<Quantor> <Variablendeklarationen>; <Randbedingung>;<Rumpf des Quantors>) Beispiel 3 /*@ requires a!= && (\forall int 0 < i && i < a[i-1] <= int binarysearch(int[] a, int x) { } 19

20 Ausnahmefälle bisher: Spezifikationen haben ein erwartetes Verhalten einer Methode beschrieben. Beendigungszustand einer Methode, bei dem eine Exception als Ergebnis produziert wird, wird ein Ausnahmenachzustand genannt 20

21 Ausnahmefälle Beispiel 4: requires n!= null ensures && weight == signals_only signals (NullPointerException ) public Person(String n){ name=n; weight=0; } 21

22 Zusammenfassung JML präsentiert eine viel versprechende Gelegenheit formale Spezifizierung in den Programmen einzusetzen. Stärke der JML: JML ist für jeden Java-Programmierer leicht zu lernen man kann den Gebrauch von JML allmählich einführen; JML kann für schon vorhandenen Code verwendet werden einer breite Reihe der Werkzeug-Unterstützung für JML gut für ausführliche Dokumentation von vorhandenen Programmen oben geschriebene Gründe sprechen dafür, dass JML auch in der Industrie verbreitet werden sollte. 22

23 Vielen Dank für ihre Aufmerksamkeit! 23