Это ничего особенного не означает применительно к java.
Инвариант класса - это просто свойство, которое сохраняется для всех экземпляров класса всегда, независимо от того, что делает другой код.
Например,
class X {
final Y y = new Y();
}
X имеет инвариант класса, что есть yсвойство, а его никогда не бывает, nullи имеет значение типа Y.
class Counter {
private int x;
public int count() { return x++; }
}
не поддерживает два важных инварианта
- Это
countникогда не возвращает отрицательное значение из-за возможного потери значимости.
- Призывы к
countстрого монотонно увеличиваются.
Модифицированный класс сохраняет эти два инварианта.
class Counter {
private int x;
public synchronized int count() {
if (x == Integer.MAX_VALUE) { throw new IllegalStateException(); }
return x++;
}
}
но не может сохранить инвариант, который countвсегда вызывает нормальный успех (отсутствие нарушений TCB † ), поскольку countможет вызвать исключение или блокировку, если заблокированный поток владеет монитором счетчика.
Каждый язык с классами позволяет легко поддерживать одни инварианты классов, но не другие. Java не исключение:
- Классы Java постоянно имеют или не имеют свойств и методов, поэтому инварианты интерфейса легко поддерживать.
- Классы Java могут защищать свои
privateполя, поэтому инварианты, полагающиеся на частные данные, легко поддерживать.
- Классы Java могут быть окончательными, поэтому инварианты, которые полагаются на отсутствие кода, нарушающего инвариант путем создания вредоносного подкласса, могут поддерживаться.
- Java позволяет
nullзначениям проникать разными способами, поэтому сложно поддерживать инварианты «имеет реальное значение».
- В Java есть потоки, что означает, что классы, которые не синхронизируются, имеют проблемы с поддержанием инвариантов, которые полагаются на последовательные операции в потоке, происходящие вместе.
- В Java есть исключения, которые упрощают поддержание инвариантов типа «возвращает результат со свойством p или не возвращает результата», но труднее поддерживать инварианты типа «всегда возвращает результат».
† - Внешнее воздействие или нарушение TCB - это событие, которое, как оптимистично предполагает системный разработчик, не произойдет.
Обычно мы просто верим, что базовое оборудование работает так, как рекламируется, когда мы говорим о свойствах языков высокого уровня, построенных на них, и наши аргументы, которые содержат инварианты, не принимают во внимание возможность:
- Программист, использующий отладочные средства для изменения локальных переменных во время работы программы, чего не может сделать код.
- Ваши коллеги не используют отражение с
setAccessibleдля изменения privateтаблиц поиска.
- Локи изменяет физику, из-за чего ваш процессор неправильно сравнивает два числа.
Для некоторых систем наш TCB может включать только части системы, поэтому мы не можем предполагать, что
- Администратор или привилегированный демон не убьет наш процесс JVM,
но мы можем предположить, что
- Мы можем подключиться к надежной транзакционной файловой системе.
Чем выше уровень системы, тем крупнее ее TCB, но чем больше ненадежных вещей вы можете получить от TCB, тем больше вероятность того, что ваши инварианты будут соблюдаться, и тем надежнее будет ваша система в долгосрочной перспективе.