干扰程序开发方法的初步步骤

审核人：兰达尔·莱维特

琼斯写了一份非常有趣的报告。它总结了他在牛津大学两年期间所做的工作，并说明了他严格的软件开发方法的扩展，包括并发进程的编程。这些程序称为干扰是因为并发任务可以通过共享变量或消息传递来干扰彼此的操作。对于这种复杂的软件，基于形式化规则的开发方法将减少设计错误，从而提高生产率。琼斯其他作品的读者会发现这个主题很熟悉。琼斯认为，严格的软件开发必须得到正式理论的支持，而不能陷入过多的细节。它包括自顶向下的分析和主动分解，确保在细化的每个阶段，设计满足规范。验证并发程序的其他方法的特点是对独立组件进行证明，然后是所有这些组件证明都不冲突的最终证明。因此，在分解完成之前，无法验证设计。对于琼斯来说，考虑到非常大项目的正式支持的开发战略，这些方法是不可接受的。相反，他提出了一种针对孤立程序开发的严格方法的扩展，并说明了如何将其应用于开发干扰程序。基本思想是在程序规范中包含精确的干扰语句。这些包括定义开发过程中使用的假设的“相对条件”，以及限制实现可能产生的干扰的“保证条件”。为了说明该技术，Jones对两个Ada程序进行了逐步细化，一个程序用于查找具有指定属性的数组元素的最小索引，另一个程序用来记录等价关系。它们首先被开发为没有并发的独立程序，然后重新开发以显示等效的并发实现。非干扰版本是更通用的干扰开发方法的特例。然而，琼斯的报告中有一些不足之处。任何不熟悉他早期作品的人都会发现这个符号特别难以理解。它在软件开发：一种严格的方法[1]。这本书和这篇文章一起构成了一些非常有益的阅读。Jones的开发方法没有处理一些重要问题，例如死锁、Ada异常、总体正确性以及任务如何共享全局变量的某些方面。Ada示例在语法上不正确，尽管它们是可以理解的。然而，正确的语法确实使示例更容易阅读。琼斯并没有声称自己定义了一个完整的证据系统。给定的证明规则是不稳定的，还需要进一步的例子。本报告基本上表明，通过扩展琼斯的严格方法可以得出一些有用的结果，但仍有许多途径有待探索。琼斯在本报告中提出了几个几乎是间接的意见，值得注意。一个是程序规范必须包含一些关于性能的注释，如果它们要被正确地理解为需要并发性的话。（如果性能不是一个因素，那么非并发实现总是可以满足要求的。）另一个原因是存在很大的压力，需要采用能够控制干扰程度的语言功能。Ada会合概念在这方面特别有用。