Apresentacao JML

Flickr em JML
Pedro Pereira Ulisses Costa
Métodos Formais em Engenharia de Software
18 de Dezembro de 2008
Pedro Pereira, Ulisses Costa Flickr em JML

Sumário
1 JML
O que é?
Direitos e Deveres
Isolamento e ajuda no debugging
Linguagem formal e abstracta
2 ESC/Java2
3 JMLUnit
4 Alloy Revisitado
5 De Alloy para JAVA e JML

Java

Java + JML

Design by contract
Contracto entre classe e clientes
Classe explicı́ta os direitos e deveres
Cliente cumpre os deveres
Classe atribui direitos

JML melhora o código
JML são anotações verificadas no programa
Anotações são puras
Pode ajudar no debugging
Isola os erros evitando propagação

Especificação em JML
O JML é melhor que JAVAdoc (linguagem natural vs
linguagem formal)
JML é mais abstracto que código
Não é necessário dar o algoritmo detalhado
Racioncı́nio modular
Compreensão mais rápida dos métodos
No pior caso basta ler os contractos dependentes do método
O cliente não pode concluir mais nada para além dos
contractos

Estados do JML
76 54
01 23
normal post state
76 54
01 23
pre state
normal behaviour 44
throwing de excepcao
%%
76 54
01 23
exceptional post state
/. -,
() *+
excepcao
exceptional behaviour
33
java.lang.Error
''
/. -,
() *+
fora do alcance

Isolamento e ajuda no debugging
...
/*@
@ public normal_behaviour
@ requires unameA != null && unameB != null;
@ requires m_users.containsKey(unameA) && m_users.containsKey(unameB);
@ requires m_users.get(unameA) instanceof User;
@ ensures (( User) m_users.get(unameA)). getContacts ().contains(unameB);
@ assignable m_users;
@ also
@ public exceptional_behaviour
@ requires unameA == null || unameB == null;
@ signals_only NullPointerException ;
@ signals ( NullPointerException ) true;
@ assignable nothing;
@*/
public void add_contact (String unameA , String unameB)
throws NullPointerException {
User u = (User) users.get(unameA );
Vector contacts = u. getContacts ();
if( !contacts.contains(unameB) ) {
contacts.add(unameB );
u. setContacts (contacts );
users.put(unameA , u);
}
}
...

Quando a pré-condição falha
Exception in thread main org.jmlspecs.jmlrac.runtime.JMLInternalPreconditionError: by method Flickr.add contact
Flickr.java
...
/*@
@ requires unameA != null;
@ requires unameB != null;
@ requires m_users. containsKey(unameA);
@ requires m_users. containsKey(unameB);
@ requires m_users.get(unameA) instanceof User;
@ ...
@*/
public void add_contact
(String unameA , String unameB)
User u = (User) users.get(unameA );
...
}
...
Main.java (Culpado)
...
Flick f = new Flickr ();
...
f. add_contact ("Pedro","Ulisses");
...
Utilizadores não estão registados no Flickr
O objecto com esse nome não é instância de User
NOTA: verificação com instanceof não seria necessária em JAVA5

Quando a pós-condição falha
Exception in thread ”main” org.jmlspecs.jmlrac.runtime.JMLInternalNormalPostconditionError: by method
Flickr.add contact
Flickr.java (Culpado)
...
/*@
@ ...
@ ensures (( User) m_users.get(unameA))
@ . getContacts ()
@ .contains(unameB);
@*/
public void add_contact
(String unameA , String unameB)
...
}
...
Main.java
...
Flick f = new Flickr ();
...
f. add_contact ("Pedro","Ulisses");
...
Método add contact ou nos métodos que este usa

Quando a pós-condição falha
Quando o erro é de outros métodos
Exception in thread "main" org.jmlspecs.jmlrac.runtime.
JMLInternalNormalPostconditionError : by method User.setContacts
...
at Flickr. internal$add_contact (Flickr.java :246)
...
at Main. internal$main (Main.java :17)
...
Flickr.java
...
/*@
@ ...
@ ensures m_files.containsKey(mname);
@ (*^linha 246 *)
@ ...
@*/
public void add_media
(String uname , String mname)
...
}
...
O JML aqui tenta ser preciso em vão.
User.java (Culpado)
...
/*@ public normal_behaviour
@ requires contacts != null;
@ ensures m_contacts.equals(contacts);
@ assignable m_contacts;
@ also
@ requires contacts == null;
@*/
public void setContacts (Vector contacts) {
this.contacts = new Vector ();
}
...

Linguagem natural vs Linguagem formal

Mais abstracto que código
Especificação do método del user
@ requires uname != null;
@ requires m_users. containsKey (uname);
@ ensures !m_users. containsKey (uname);
@ assignable m_users , m_files , m_groups;
@ also
@ requires uname == null;
@*/
Não é necessário dar o algoritmo detalhado
O contracto mantem-se, o cliente nunca é afectado
O contracto é muitas das vezes mais pequeno que o código

Linguagem formal e abstracta
public void del_user(String uname) throws NullPointerException {
User u = (User) users.get(uname );
for( Iterator i = users.values (). iterator (); i.hasNext (); ) {
User u_temp = (User) i.next ();
Vector contacts = u_temp. getContacts ();
Vector favourites = u_temp. getFavourites ();
if( contacts.remove(uname) || favourites.removeAll(u_temp.getPStream ()) ) {
u_temp. setContacts (contacts );
u_temp. setFavourites (favourites );
users.put(u_temp.getUname (), u_temp );
}
}
for( Iterator i = u.getPStream (). iterator (); i.hasNext (); )
files.remove(i.next ());
for( Iterator i = groups.values (). iterator (); i.hasNext (); ) {
Group g_temp = (Group) i.next ();
Vector members = g_temp.getMembers ();
Vector pool = g_temp.getPool ();
if( members.remove(uname) || pool.removeAll(u.getPublics ()) ) {
g_temp.setMembers(members );
g_temp.setPool(pool );
groups.put(g_temp.getGname (), g_temp );
}
}
users.remove(uname );
}

ESC/Java2
Validação dos tipos de dados e sı́ntax
Detecta:
referências para apontadores nulos
casts ilegais
indexação de arrays fora dos limites

ESC/Java2
Não suporta todas as especificações JML
Pode indicar falsos negativos/positivos

JMLUnit
Gera Test Cases para métodos
Usa pré-condições para filtar input
Usa invariantes/pós-condições para capturar as falhas dos
testes

JMLUnit
Apenas tinhamos excepções NullPointerException
...
return new java.lang.String [] {
"ulisses", "pedro", ...
}
...
switch(n) {
case 0: return new User("pedro");
case 1: return new User("ulisses");
...
}
...

Propriedades de uma HashTable?
all u : f.users[Uname] | lone f.users.u
all n : f.users.User | lone f.users[n]

O que é uma HashTable?
cada objecto está associado a uma imagem e vice-versa;
não existem objectos ou imagens repetidas.

Injectividade e Simplicidade
injectividade a mesma imagem não pode relacionar dois objectos
diferentes
simplicidade o mesmo objecto não pode relacionar duas imagens
diferentes

Sobrejectividade e Totalidade
sobrejectividade cada imagem está relacionada com pelo menos
um objecto
totalidade cada objecto está relacionado com pelo menos uma
imagem

Refinamento
// media associado ao pstream tem de existir
all u : f.users[Uname] | u.pstream in f.files.Media
// nao ha media "solto"
f.files.Media in f.users[Uname ]. pstream
// media associado ao user e unico
all u : f.users.User | no f.users[u]. pstream & f.users[Uname - u]. pstream

Relação comments
pred comments_inj_sur_ent [ f : Flickr ] {
// comments injectiva
all x, y : f.users.User , z : f.files[Mname ]. comments[Uname] {
z in f.files[Mname ]. comments[x] && z in f.files[Mname ]. comments[y]
=> x=y
}
// comments sobrejectiva
all x : f.files[Mname ]. comments[Uname] | one y : f.files[Mname ]. comments.
Comment {
y in f.files[Mname ]. comments.x
}
// comments inteira (total)
all x : f.files[Mname ]. comments.Comment | some y : f.files[Mname ]. comments[
Uname] {
y in f.files[Mname ]. comments[x]
}
}

Relação comments

Invariante global
pred inv_Flickr [ f : Flickr ] {
users_bijection [f]
files_bijection [f]
groups_bijection [f]
comments_inj_sur_ent [f]
inv_User[f]
inv_Media[f]
inv_Group[f]
}

create user
pred create_user [ f, f’ : Flickr , n :
Uname ] {
n !in f.users.User
one u : User {
u !in f.users[Uname]
no u.pstream
no u.public
no u.contacts
no u.favourites
f’. users = f.users + n->u
}
f’. files = f.files
f’. groups = f.groups
}
@ requires uname != null;
@ ensures m_users. containsKey (uname);
@ also
@ requires uname == null;
@*/
public void create_user (String uname)
if( !users.containsKey (uname) ) {
User u = new User(uname );
users.put(uname , u);
}
}

Invariantes
// apenas podem ser tornadas publicas fotos do resp. photostream
all u : f.users[Uname] | u.public in u.pstream
// media do pstream tem de estar registado
f.users[Uname ]. pstream in f.files.Media
// um user nao pode ser o seu proprio contacto
all n : f.users.User | n !in f.users[n]. contacts
// apenas podem ser tornadas publicas media do resp. photostream
//@ public invariant ( forall User u; m_users.values ().contains(u); u.
getPStream (). containsAll (u.getPublics ()));
// media de um photostream tem de estar registado
//@ public invariant ( forall User u; m_users.values ().contains(u); m_files.
keySet ().containsAll(u.getPStream ()));
// um utilizador nao pode ser o seu proprio contacto
//@ public invariant ( forall User u; m_users.values ().contains(u); !(u.
getContacts ().contains(u.getUname ())));

Apresentacao JML

Recomendados

Recomendados

Mais conteúdo relacionado

Destaque

Destaque (9)

Mais de Ulisses Costa

Mais de Ulisses Costa (18)

Apresentacao JML