Grundlagen der Informatik I “Programmierung”

gewährleistet wird. Der Kunde kann sich darauf verlassen, daß die versprochene Leistung – bei Einhaltung
der Vorbedingung – auch erfüllt wird.
Im Falle der Funktion put bedeutet dies also, daß der Lieferant zusagt, das gegebene Element so einzusortieren,
daß es mit item wiedergefunden werden kann.
Die Vorteile dieses Vertrages sind gegenseitiger Natur: der Kunde bekommt bei jedem Aufruf gewisse Ergebnisse,
der Implementierer weiß, daß er zu Beginn von gewissen Voraussetzungen ausgehen darf, die er nicht
mehr prüfen muß. Hierdurch wird der Programmierstil erheblich vereinfacht, da die Verantwortlichkeiten auf
Kunden und Lieferanten verteilt werden.
Die Frage, wie genau man Verträge schließen kann, ist hauptsächlich eine Frage des Vertrauens zwischen
Kunden und Lieferanten. Je mehr Vertrauen besteht, um so genauer kann man Verträge vereinbaren und um
so einfacher wird die Implementierung. Das bedeutet aber auch, daß man sich darauf verlassen können muß,
daß sie eingehalten werden. Andernfalls wird jegliche Kooperation unmöglich.
Für Sie als zukünftige Softwareentwickler bedeutet dies, daß Sie sich bei der Erfüllung Ihrer Aufgaben keinerlei
Ungenauigkeiten erlauben dürfen, sondern garantieren können müssen, daß Ihr Modul so arbeitet, wie Sie es
versprochen haben. Aus diesem Grunde müssen Sie in der Lage sein, die Korrektheit zu beweisen, also zu
verifizieren – natürlich unter der Annahme, daß die Leistungen, die Sie benutzen, ihrerseits korrekt sind. Auf
dieses Thema, die Verifikation von Routinen, werden wir im nächsten Kapitel besonders eingehen.
Ist man sich über die möglichen Benutzer einer Klasse im unklaren, weil die Anwendungsgebiete sehr vielfältig
sind – wie zum Beispiel bei generischen Klassen, dann lohnt es sich, diese durch ein zusätzliches Filtermodul zu
umgeben, welches beim Aufruf einer Routine zunächst alle möglichen Fehler abfängt und die ungeschützte Version
nur dann aufruft, wenn die Vorbedingungen erfüllt sind. Ein solches Modul bietet eine saubere Trennung
zwischen der algorithmischen Lösung von Techniken zur Behandlung möglicher Fehleingaben. Ein Beispiel für
ein Filtermodul gibt [Meyer, 1988, Abschnitt 7.3.4].
3.7.3 Klasseninvarianten
Vor und Nachbedingungen beschreiben die semantischen Eigenschaften einzelner Routinen. Darüber hinaus
besteht jedoch auch die Notwendigkeit, globale Eigenschaften von Objekten zu beschreiben, die von allen
Routinen eingehalten werden müßen, wie zum Beipiel die Tatsache, daß die Größe eines Feldes count nie
negativ wird und die Abstand von lower und upper beschreibt. Dies war eine der Nachbedingungen der
Erzeugungsprozedur make in Abbildung 3.23, wurde aber in keiner anderen Routine erwähnt, obwohl es
selbstverständlich sein sollte, daß diese Bedingung immer erhalten bleibt.
Man könnte diese Bedingung nun in der Nachbedingung jeder einzelnen Routine zusätzlich erwähnen, aber dies
entspricht nicht dem Gedanken, daß sie immer gelten soll, also eine Invariante (unveränderliche Eigenschaft)
der Klasse selbst ist. Daher bietet Eiffel die Möglichkeit an, Klasseninvarianten als solche zu formulieren.
Dies geschieht durch Klauseln, die mit dem Schlüsselwort invariant eingeleitet werden, und am Ende der
Klassendeklaration genannt werden. Abbildung 3.25 zeigt die Deklaration von ARRAY mit Klasseninvarianten.
Klasseninvarianten sind also Zusicherungen, die allgemeine semantische Bedingungen formulieren, welche – im
Gegensatz zu den Vor- und Nachbedingungen einzelner Routinen – für jedes Klassenelement als ganzes gelten.
Sie können neben den Beziehungen zwischen Attributen auch semantische Beziehungen zwischen Funktionen
oder zwischen Funktionen und Attributen ausdrücken. Nur Prozeduren sind in Zusicherungen nicht erlaubt,
da sie bei einer Überprüfung der Zusicherung Objekte verändern würden.
Klasseninvarianten müssen natürlich nur in stabilen Zuständen, also vor und nach dem Aufruf einer von
außen verwendbaren Routine, nicht aber während ihrer Abarbeitung gelten. “Interne” Routinen, also solche,
die nicht von außen aufgerufen werden können, sind daher von der Überprüfung ausgenommen, da sie nach
außen ohne direkten Effekt sind.