Nathan Burgener. Design by Contract. Modul SWE

Transkript

1 NathanBurgener DesignbyContract ModulSWE

2 NathanBurgener Inhaltsverzeichnis 1 WasistDesignbyContract Überblick DesignbyContractmitMethoden DesignbyContractmitKlassen Vererbung...6 DesignbyContractinJava Überblick Assertions Funktionsweise AssertionsundDesignbyContract icontract Einführung Preconditions Postconditions Invarianten Vererbung Ausnahmebehandlung BeispielefürbereitsbestehendeMethoden ZertifizierungsstellefürKomponenten... 13

3 NathanBurgener 1 WasistDesignbyContract 1.1 Überblick DesignbyContractisteinKonzeptausderSoftwaretechnikvonBertrand Meyer.DabeisolldieQualitätvonProgrammmodulenverbessertwerden, indemformaleverträgegeneriertwerden. BeiDesignbyContractsollfürjedeMethodeeineArtVertragerstellt werden,welcherdannvomaufruferaberauchvondermethodeselber eingehaltenwerdenmuss. DieVerträgeexistiereninzweiArten.AlsKlasseninvariantenundalsVor undnachbedingungenfürfunktionendieserklassen.dadasverfassen einesvertragesfür grosse Funktionenschwierigwird,istdavon auszugehen,dassfunktionenvondenmeistenprogrammierernaufein Minimumherabgebrochenwerden.DasdürfteeinPlusanSicherheitund LesbarkeitdesgesamtenCodesmitsichbringen. DereigentlicheSinnvonDesignbyContractbestehtnundarin, genaudiesezusicherungenzurlaufzeitauszuwerten.dasheisst,dassdas ProgrammvorundnachjedemMethodenaufrufkontrolliertobder SystemzustandimmernochderSpezifikationentspricht. DurchdasHinzufügenvonsolchenIntegritätsbedingungenistderCode austauschbarer,besserlesbar,einfacherzusammenführbarundsomit langfristigstabiler,zuverlässigerundpreiswerter. DieVorteilebeimVerwendenvonDesignbyContractliegenaufderHand. HilfebeimSchreibenkorrekterSoftware UmdieReliabilityderSoftwarezuverbessernsollteman Schnittstellensehrgenaudefinieren.DesignbyContractzwingtden SoftwareEngineerdiesschonfrühimDesignProzesszutun. Fehlerwerdensofrühererkennt.DerProgrammiererwirdangeregt sehrgenauüberseinencodenachzudenken.sobemerkterauch früherdiefehlerimprogrammundkannreagierenunderhöhtso auchdiewahrscheinlichkeit,dassdasprogrammdenanforderungen späterauchgerechtwird. HilfebeiderDokumentation DurchdieAngabederPre undpostconditionsistschoneinteilder Dokumentationerledigt.DieMethodeistsosauberdokumentiertund esistschönersichtlich,wasfürvorbedingungengeltenmüssenund

4 NathanBurgener wasdiemethodezurückgibt. HilfebeimTesten,DebuggenundbeiderQualitätssicherung DurchdasgenerierenderVerträgewerdenbereitsauchAnsätzefür dastestenerstellt.fürjedenvertragkannaucheintestgeschrieben werden. HilfebeimErstellenvoneffektivenAusnahmebehandlungen BasierendaufdemVertragkönnendieAusnahmebehandlungen direktdefiniertwerden. 1.2 DesignbyContractmitMethoden FüreineMethodewirdbeiDesignbyContracteinVertragerstellt,welcher beschreibt,aufwelcheartundweiseaufdiemethodezugegriffenwird. EbenfallswerdendieAuswirkungenderMethodeaufden Programmzustandfestgelegt. UmdieSoftwarezuspezifizierenundAussagenüberihreKorrektheitzu machenwirddashoare Tripleverwendet.DasHoare Triplebestehtaus3 Elementen:VorbedingungP,NachbedingungQundCodesegmentS.Das CodesegmententsprichtdabeigenaueinerMethodedesProgramms. DasHoare Tripelsagtaus,dasswenndieMethodeSaufgerufenwird, währendpgilt,sowirdnachausführungdermethodeqgelten.dieskann folgendermassengeschriebenwerden. {P}S{Q} AlsBeispieldafürsolleineDivisionsmethodedoDivisionangeschaut werden.diesemethodeerhältalsübergabeparameterdendivisord. dodivision(intd) { globalresult=globaldivident/d; } Esistklarersichtlich,dassderDivisornicht0seindarf.Weiterwird erwartet,dassderdivisornichtnegativist. AlsProgrammiererderMethodekannmanjetztmitif thenanweisungen mühsamdieseüberprüfungenmachen.dochmanweissnicht,wiedem Benutzerklarzumachen,dassseineEingabenichtkorrektwar.InJava geschiehtdiesnormalerweisemitboolschenrückgabeparameternoderes wirdeineexceptionausgelöst. UmdiesesProblemmitHilfevonDesignbyContractzulösen,wirdnunein Vertragformuliert,derdenAufruferverpflichtetdieMethodekorrektzu verwenden.alsbelohungerhälterdafürdiegarantie,dassdasresultat

5 NathanBurgener korrektberechnetwird.wiebereitsgenanntwirddieservertragmithilfe deshoare Tripelsformuliert: {d>0}dodivision{globalresult=globaldivident/d} Wasgeschiehtaberjetzt,wenneinVertragverletztwurde?Diemeisten ProgrammiersprachenwerfendanneineException.Soistschnell ersichtlich,woimprogrammsichderfehlerbefindet.wirdeine Vorbedingungverletzt,soistderAufruferseinePflichteinengültigen ProgrammzustandherzustellennichtnachgekommenunddasProgramm kanndembenutzerdiesmitteilen,damiterdieeingabekorrigiert.ist hingegeneinenachbedingungverletztworden,scheintder ProgrammiererderjeweiligenMethodeseineArbeitnichtsorgfältig erledigtzuhaben. 1.3 DesignbyContractmitKlassen DieVor undnachbedingungengebenan,wasbeidenaufrufparameter unddemrückgabewertdermethodeerwartetwird.zusätzlichkannman jetztnochintegritätsbedingungenfestlegen.diesogenannten Klasseninvarianten. KlasseninvariantensindBedingungen,diefürdiegesamteKlasseundnicht nurfüreinzelnemethodengeltensollen.siewerdenbeijedem MethodenaufrufzuBeginnundanseinemEndegeprüft. DieKlasseninvariantebeschreibtdengültigenZustandeinesObjektes dieserklasse.alsgültigenzustandmeintmanhier,dassdasobjektvon aussensinnvollverwendetwerdendarf.klasseninvariantendürfen währenddernutzungeinerklassenichtverletztwerden.einzige AusnahmedavonistderZeitraumderAusführungeinerMethodeeiner Klasse.HierdarfeineKlasseninvarianteverletztwerden,wenndie Funktionsicherstellt,dassdiesenachihrerAbarbeitungwiedergilt.Als BeispielgibteshiereineWG Küche.JederdarfdieKücheverwendenund auchverschmutzen.ermussabersicherstellen,dassdieküchebeim Verlassenwiedertiptopaufgeräumtist. AlsBeispielinJavawirdeineKlasseStackgenommen.DieInvariante items darfhiernichtkleinerals0sindundauchnichtgrösseralsdie Varaiblemax. publicclassstack{ privateintitems;//anzahlderelemente /**invariantitems>=0;items<=max**/ publicvoidremoveitem(){

6 NathanBurgener //Elementlöschen } 1.4 Vererbung WirdeineUnterklasseerzeugt,welchevonderElternklasseerbt,so werdenauchdiezusicherungenvererbt.dabeigeltendiefolgenden Regeln: FürdieInvariantegiltdasgleichewiefürdieNachbedingung DieinderElternklassegeltendeInvariantebleibtbestehenundwird mitderinvariantederunterklasseweiterverschärft. FürdieVorbedingungeinerMethode DieVorbedingungkannschwächerwerden,daein oder mit VorbedingungderElternklasseundderneuenVorbedingunggemacht wird. FürdieNachbedingungeinerMethode DieVorbedingungkannstärkerwerden,daein und mit VorbedingungderElternklasseundderneuenVorbedingunggemacht wird.

7 NathanBurgener DesignbyContractinJava 1.5 Überblick InJavawurdenwährenddenJahrendiverseToolsfürdieImplementation vondesignbycontractentwickelt.sogibtesbeispielsweiseicontract, ContractJ,Jassundweitere.EinigeToolsarbeitenauchmitdenAssertions vonjava. VieleToolswurdenjedochindenletztenJahrennichtmehrweiter entwickeltundesgibtauchfürkeinesdertollseinpluginfürnetbeans. Ersichtlichistauchnoch,dassdieneuerenToolsfastallemit Aspektorientierter Programmierung arbeiten. 1.6 Assertions Funktionsweise InJava1.4wurdenAssertionsalsneuesKonzeptzurJava Sprachunterstütungeingeführt.DasAssertionsStatementüberprüft gewissebedingungenundwirdentwedertrueoderfalse.wird beispielsweisedieprüfungeinerinputvariablevergessen,sokannesunter Umständenpassieren,dassdasProgrammvorerstweiterläuft,dannaber aneinemspäterenpunktzurruntimeabstürzt.umdieszuverhindern kannmanmiteinemassertstatementfrüheinegewünschtebedingung prüfen. HiereinBeispielfüreinesolcheÜberprüfung: publicvoiddodivision(intd) { assert(d>0); //WeiterführenderCode } ResultierteinfalseausderAssertion,sobrichtdasProgrammmiteinem java.lang.assertionerrorab. AssertionswerdeninersterLiniezurfrühenFehlererkennungverwendet. DerVorteilgegenüberdenif AnweisungenistdieMöglichkeit,Assertions zudeaktivieren.beideaktiviertenassertionswerdendieassert AnweisungennichtausgewertetundesentstehtkeineEffizienzeinbusse. AssertionErrorshabenetwadiegleicheBedeutungwie RuntimeExceptions.Esistwichtigzuunterscheidenzwischenden uncheckedassertionerrorsbzw.runtimeexceptionsunddenchecked

8 NathanBurgener Exceptions,diedeklariertundbehandeltwerdenmüssen.EinVorteilvon ExceptionsgegenüberAssertionsistdieMöglichkeit,einException HandlingzudefinierenfürabnormaleFälle,vondenenmanweiss,dasssie eintretenundbehandeltwerdenkönnen AssertionsundDesignbyContract WieinderBeschreibungderAssertionsersichtlichist,werdenVor und NachbedingungensowieKlasseninvariantennichtunterstützt.Assertions kannalsonichtwirklichfürdesignbycontractverwendetwerden. AssertionshabenimmerdiegleicheSemantik.DieInformationobessich umpre oderpostconditionshandelt,lässtsichnuranhanddes zugehörigenkommentarserkennenundsinddeshalbwenigerformell. WeitersindAssertionsnichtfreivonSeiteneffekten.Dadurchkönnensich Fehlereinschleichen,dieohnesienichtmöglichgewesenwärenunddie schweraufzufindensind.assertionslassensichnichtvererben.somit mussinderunterklasseauchallesnocheinmalimplementiertwerden, waseineduplizierungvoncodebedeutet. 1.7 icontract Einführung DieImplementierungderZusicherungeninJavaerfolgtindenInterfaces derklassen.siestehenjeweilsalskommentarevorundnachdermethode, sodasssienichtmitdemrestdesquellcodesvermischtwerden.esgibt alsoeinweiteresfile,indemalleverträgedefiniertsind. DieZusicherungenwirmittelsfolgendenAbkürzungenrealisiert: icontractisteinpräprozessorfürjava.umdiesestoolzuverwendenwird dercodezuerstdurchdenicontractgelassen.diesererzeugtausden KommentaranweisungenAssertion ChecksundfügtdieseindenSource Codeein Preconditions IniContractwerdendiePreconditionsimHeaderderMethodemitder

9 NathanBurgener /** f >= 0.0 */ public float wurzel(float f) {... } In diesem Beispiel muss der Parameter f der Funktion wurzel() grösser oder gleich Null sein Postconditions Postconditions werden auch die die Preconditions im Header der jeweiligen Methode definiert. Dafür wird die verwendet. Hier ein Beiepiel dafür /** f >= 0.0 Math.abs((return * return) - f) < */ public float wurzel(float f) {... } Diese Postcondition besagt, dass die Methode die Wurzel der Zahl f berechnet und dies mit einer maximalen Abweichung von icontract verwendet einige spezielle Notationen für die Postconditions. Beispielsweise steht das return für den Rückgabewert der Methode. Es wird also zur Laufzeit durch den Rückgabewert der Methode ersetzt. In einer Postcondition muss oftmals auf einen Wert zugegriffen, der vor und nach der Ausführung der Methode nicht gleich ist. Um dies zu unterscheiden, kann in der Postcondition auf den Wert vor dem Ausführen der Methode zugegriffen werden. Hier ein Beispiel dazu:

10 NathanBurgener /** * Fügt ein Element zu einer Collection hinzu * c.size() = c@pre.size() + 1 c.contains(o) */ public void hinzu(collection c, Object o) {... } Hier wird mit c@pre.size() auf die Grösse der Collection vor dem Ausführen der Methode zugegriffen Invarianten Die Invarianten werden mit icontract im Header der Klasse definiert. Hier ein Beispiel dafür: /** * A PositiveInteger ist ein Integer, der garantiert positiv ist. * intvalue() > 0 */ class PositiveInteger extends Integer { //Code der Klasse } Die Invariante garantiert hier, dass der PositivsIntegers s Wert immer grösser als Null. Dieses Assertions wird immer vor und nach der Ausführung der Methoden dieser Klasse geprüft.

11 NathanBurgener Vererbung icontract unterstützt auch die Vererbung. Das heisst alle Invarianten, Preconditions und Postconditions die in der Super-Klasse definiert werden, müssen auch von der Unterklasse eingehalten werden. In den Unterklassen können natürlich noch weitere hinzugefüt werden. Das Konzept funktioniert auch mit Interfaces. Wenn es 2 Interfaces gibt, in welchen Invarianten, Preconditions und Postconditions definiert werden und eine Klasse diese beide implementiert, sind diese auch auch für die Klasse gültig Ausnahmebehandlung Das Tool icontract ermöglicht bei einer Verletzung der Zusicherung, die eine Ausnahme(Exception) wirft, diese gleich abzufangen. So muss das Programm nicht abgebrochen werden, wenn eine Ausnahme voraussehbar ist. Hier ein Beispiel dafür: /* *@pre i>= 0 #ArrayIndexOutOfBoundsException */ 1.8 BeispielefürbereitsbestehendeMethoden /** * Creates a new user for the application vorname String, which represents the users first name nachname String, which represents the users last name benutzername String, which represents the user name passwort String, which represents the password */ public void newreg(string vorname, String nachname, String benutzername, String passwort) { EntityManager em = emf.createentitymanager(); EntityTransaction utx = em.gettransaction(); NewUser nuser = new NewUser(); nuser.setvorname(vorname); nuser.setnachname(nachname); nuser.setbenutzername(benutzername);

12 NathanBurgener } nuser.setpasswort(passwort); try { utx.begin(); em.persist(nuser); utx.commit(); } catch(exception ex){ try { utx.rollback(); } catch (Exception e) {} throw new RuntimeException("Error creating entity", ex); } finally { em.close(); } PreconditionsfürdieseMethode: vornamedarfnichtnullsein nachnamedarfnichtnullsein benutzernamedarfnichtnullsein passwortdarfnichtnullsein passwortmussmehrals10zeichenbeinhalten emf.createentitymanager()darfnichtnullsein em.gettransaction()darfnichtnullsein PostconditionsfürdieseMethode: DBerhältneuesUserObject em.isopen()istfalse InvariantefürdieKlasse: DerEntityManagerFactoryemfdarfnienullsein.

13 NathanBurgener ZertifizierungsstellefürKomponenten AnderETHwurde1998miteinemProjektmitdemNamenTrusted Componentsgestartet.DasganzeverwendetdasKonzeptvonDesignby Contract.DafürmusseinedetaillierteBeschreibunggemachtwerdenund diequalitätdersoftwaregarantiertwerden.zurqualitätgehörenpunkte wiesicherheit,robustheit,korrektheit,performanceusw. DergrosseVorteilvonTrustedComponentsliegtdabeiinder Wiederverwendung.DiezertifiziertenKomponentenkönnenjetzteinfach wiederverwendetwerden.sowirdvielzeitbeimimplementierenvon neuenprogrammengespart. DasProjektwurdeabernierichtigfertiggestellt.DerGrunddafüristnicht bekannt.ichdenkeaber,dasssoetwasnursehrschwerumsetzbarist. ZuerstmüssteeinallgemeinesFrameworkdefiniertunderstelltwerden, damitallemitdemgleichenarbeitenunddannmüsstediesesframework auchvondenentwicklungsumgebungenunterstütztwerden.das schwierigeistjetztwohldiepunktesicherheit,robustheit,korrektheit, Performanceusw.auchzugarantieren.

14 NathanBurgener Quellen cooltools.html?page= beitung-6.pdf 007_hsr_eclipse.pdf minar_se/ss06/kandrical_design_contract.pdf ntest.pdf