Formale Methoden in der Praxis - Institute of Software Technology

Aber wie macht man das? Wie beschreibt man die Funktionsweise, ohne gleichzeitig zu sagen,
wie diese realisiert wird? Das ist keine leichte Aufgabe. Die Methoden müssen gelernt und geübt
werden. Viele Softwarespezialisten sind dieser Aufgabe nicht gewachsen.
Episoden: “Wie kann man etwas beschreiben, das man noch nicht hat.”
Dieser Problematik muß man sich stellen, unabhängig davon, ob man formale Methoden
benützt oder nicht. Aber die mathematischen Grundlagen helfen, die Alternativen zu sehen, um
die Aufgabe zu lösen.
2.2 Spezifikationsmethoden
Es gibt mehr als eine Möglichkeit, ein Programm zu spezifizieren, ohne die Details einer Implementierung
preiszugeben.
Für die Zwecke dieser Einführung werden vier Methoden unterschieden.
1. Spezifikation mittels Vor- und Nachbedingungen.
2. Algebraische Spezifikation.
3. Explizite Spezifikationen.
4. Kontrakte.
Vor- und Nachbedingungen sagen, welche Programme als Lösung akzeptabel sind.
Mit algebraischen Spezifikationen werden abstrakte Datentypen oder Objektklassen spezifiziert,
indem die Relation der Funktionen bzw. Methoden untereinander festgelegt werden.
Explizite Spezifikationen definieren Funktionen oder Methoden direkt mittels gegebener, aber
möglichst abstrakter Datentypen.
Kontrakte spezifizieren die wechselseitigen Anforderungen paralleler Prozesse, sowie deren Verhalten.
Wird der Benützer als ein Prozeß gesehen, so kann man auch Spezifikationen mit Vor- und
Nachbedingungen als Kontrakte bezeichnen.
Die folgenden Beispiele illustrieren der Reihe nach die erwähnten Methoden.
2.2.1 Definition durch Vor- und Nachbedingungen
Beispiel: Quadratwurzel
Es soll ein Programm sqrt spezifiziert werden, das die Quadratwurzel einer gegebenen reellen Zahl
x liefert. Wir erleichtern uns die Aufgabe, indem wir die Ein- und Ausgabebereiche festlegen, und
dem Resultat einen Namen geben.
sqrt (x : R) s : R
Die Aufgabe besteht nun darin, s in Relation zu x ausreichend festzulegen. Die Charakterisierung
des Resultats soll möglichst einfach und einleuchtend sein. Es ist nicht der Algorithmus
gefragt, sondern nur ein Kriterium, das entscheidet, ob ein angebotenes s eine Lösung ist.
Aus dem elementaren Mathematikunterricht erinnern wir uns an die “Probe”, die nach gewissen
Rechenoperationen zu machen war. Als Probe zur Berechnung der Quadratwurzel wird das
Resultat quadriert, das, wenn richtig gerechnet wurde, gleich dem Argument sein muß. Damit
haben wir das gesuchte Kriterium für die Lösung. Weil diese Bedingung nach der Ausführung des
Programms gelten soll, nennt man sie Nachbedingung (post-condition). Man schreibt:
sqrt (x : R) s : R
post s × s = x
Die Annahmen, die man bezüglich der Inputs zu einem Programm trifft, nennt man Vorbedingung
(pre-condition). Falls das Resultat im Bereich der reellen Zahlen liegen soll, muß die
Vorbedingung den Argumentbereich auf die positiven reellen Zahlen einschränken.
2