부작용, 무제한 상속 및 null모든 유형의 구성원 이기 때문에 OOP 세계에서는 증명이 훨씬 어렵습니다 . 대부분의 증거는 모든 가능성을 다룬다는 것을 증명하기 위해 유도 원리에 의존하며,이 세 가지가 모두 증명하기 어렵게 만듭니다.
정수 값을 포함하는 이진 트리를 구현한다고 가정 해 봅시다 (구문을 더 단순하게 유지하기 위해 일반적인 프로그래밍을하지는 않지만 아무것도 변경하지는 않습니다). 표준 ML에서는 다음과 같이 정의합니다. 이:
datatype tree = Empty | Node of (tree * int * tree)
이것은 tree값이 정확히 두 가지 종류 (또는 클래스의 OOP 개념과 혼동되지 않는 클래스)- Empty정보를 전달하지 않는 Node값과 처음과 마지막을 갖는 3 튜플 을 전달 하는 값으로 불리는 새로운 유형을 도입합니다. 요소는 tree이며 중간 요소는입니다 int. OOP에서이 선언에 가장 가까운 근사값은 다음과 같습니다.
public class Tree {
private Tree() {} // Prevent external subclassing
public static final class Empty extends Tree {}
public static final class Node extends Tree {
public final Tree leftChild;
public final int value;
public final Tree rightChild;
public Node(Tree leftChild, int value, Tree rightChild) {
this.leftChild = leftChild;
this.value = value;
this.rightChild = rightChild;
}
}
}
주의해야 할 점은 Tree 유형의 변수는 결코 될 수 없다는 것 null입니다.
이제 트리의 높이 (또는 깊이)를 계산하는 함수를 작성 max하고 더 큰 두 숫자를 반환 하는 함수에 액세스 할 수 있다고 가정 합니다.
fun height(Empty) =
0
| height(Node (leftChild, value, rightChild)) =
1 + max( height(leftChild), height(rightChild) )
우리는 height기능을 사례별로 Empty정의했습니다 Node. 나무에 대한 정의와 나무에 대한 정의가 있습니다. 컴파일러는 존재하는 트리 클래스 수를 알고 있으며 두 경우를 모두 정의하지 않으면 경고를 표시합니다. 식 Node (leftChild, value, rightChild)함수 서명에서이 변수 3 튜플의 값을 결합 leftChild, value및 rightChild각각 우리 기능 정의에이를 참조 할 수 있도록. OOP 언어로 다음과 같은 지역 변수를 선언 한 것과 비슷합니다.
Tree leftChild = tuple.getFirst();
int value = tuple.getSecond();
Tree rightChild = tuple.getThird();
height올바르게 구현했다는 것을 어떻게 증명할 수 있습니까? 우리가 사용할 수있는 구조 유도 로 구성 : 그 증명 1. height우리의 (들) 기본 경우 올바른 tree(유형 Empty재귀 호출하는 것을 가정) 2. height올바른지, 그 증명 height(비 기본 케이스에 대한 올바른들 ) (나무가 실제로이면 Node).
1 단계에서 인수가 Empty트리 인 경우 함수가 항상 0을 반환 함을 알 수 있습니다 . 이것은 나무의 높이를 정의하면 정확합니다.
2 단계의 경우 함수는를 반환합니다 1 + max( height(leftChild), height(rightChild) ). 재귀 호출이 실제로 어린이의 키를 반환한다고 가정하면, 이것이 또한 올바른 것임을 알 수 있습니다.
그리고 그 증거를 완성합니다. 1 단계와 2 단계는 모든 가능성을 소진합니다. 그러나 우리에게는 돌연변이가없고, 널이 없으며, 정확히 두 종류의 나무가 있습니다. 이 세 가지 조건을 제거하면 실용적이지 않더라도 증거가 더 복잡해집니다.
편집 : 이 답변이 맨 위로 올라 갔으므로 증거의 간단한 예를 추가하고 구조적 유도를 좀 더 철저히 다루고 싶습니다. 위의 우리는 것을 증명 하는 경우 height반환 , 반환 값이 올바른지. 그러나 항상 값을 반환한다는 것을 증명하지는 못했습니다. 구조적 유도를 사용하여이를 증명할 수도 있습니다 (또는 다른 자산). 다시 2 단계에서 재귀 호출이 모두 직계 자식에 대해 작동하는 한 재귀 호출의 속성이 보류되는 것으로 가정 할 수 있습니다. 나무.
함수는 두 가지 상황에서 값을 반환하지 못할 수 있습니다. 예외가 발생하는 경우와 영원히 반복되는 경우입니다. 먼저 예외가 발생하지 않으면 함수가 종료된다는 것을 증명해 봅시다.
예외가 발생하지 않으면 기본 사례 ( Empty)에 대해 함수가 종료됨을 증명하십시오 . 무조건 0을 반환하기 때문에 종료됩니다.
기본이 아닌 경우 ( Node) 에서 함수가 종료되는지 증명하십시오 . 여기 +에는 max,, 및 세 가지 함수 호출이 있습니다 height. 우리는 알고 +와 max언어의 표준 라이브러리의 그들이 있기 때문에있는 거 부분을 종료하고 그들은 방법 것으로 정의하고있다. 앞에서 언급했듯이 재귀 호출이 즉각적인 하위 트리에서 작동하는 한 재귀 호출에 대해 입증하려는 속성이 true라고 가정 할 수 있으므로 호출도 height종료됩니다.
이것으로 증명이 끝납니다. 단위 테스트로는 종료를 증명할 수 없습니다. 이제 남은 것은 height예외를 발생시키지 않는 것을 보여주는 것입니다 .
height기본 사례 ( Empty) 에서 예외가 발생하지 않음을 증명하십시오 . 0을 반환하면 예외를 throw 할 수 없으므로 끝났습니다.height기본이 아닌 경우 ( Node) 에서 예외가 발생하지 않는다는 것을 증명하십시오 . 우리가 예외를 알고 +있고 max던지지 않는다고 다시 가정하십시오 . 그리고 구조적 유도는 재귀 호출이 (나무의 직계 자식에 대한 작업 때문에) 발생하지 않을 것이라고 가정합니다. 이 함수는 재귀이지만 꼬리 재귀는 아닙니다 . 우리는 스택을 날려 버릴 수 있습니다! 시도한 증거로 버그가 발견되었습니다. 꼬리 재귀 로 변경 height하여 수정할 수 있습니다 .
나는 이것이 증거가 무섭거나 복잡 할 필요가 없다는 것을 보여주기를 바란다. 실제로 코드를 작성할 때마다 비공식적으로 머리에 증거를 만들었습니다. 그렇지 않으면 함수를 구현했다고 확신 할 수 없습니다. null, 불필요한 돌연변이 및 무제한 상속을 피함으로써 직관이 상당히 쉽게 수정하십시오. 이러한 제한은 생각만큼 가혹하지 않습니다.
null 언어 결함이며 그것을 없애는 것은 무조건적으로 좋습니다.- 돌연변이는 때로는 피할 수없고 필요하지만 생각보다 훨씬 덜 필요합니다. 특히 지속적인 데이터 구조가있을 때 더욱 그렇습니다.
- 유한 한 수의 클래스 (기능적 의미) / 서브 클래스 (OOP 의미)와 무제한 수 를 갖는 것은 단일 답변에 비해 너무 큰 주제 입니다. 정확성과 확장의 유연성의 가능성에 대한 디자인 트레이드가 있다고해도 충분합니다.