【形式化方法：VDM++系列】3.基于VDM++的图书管理系统需求定义
接前文：http://www.cnblogs.com/Kassadin/p/4091040.html
1.Before We Start：
在开始图书管理系统需求定义之前，需要先进行一些说明。
1.1 输入，输出定义
输入：用户需求文字说明
输出：基于VDM++的需求规格说明文档
任何问题只有明确它的输入和输出，才会有一个明确的预期，才有可能获得预期的结果。在这里明确问题的输入输出更加重要。特别需要指出的是，VDM++作为一种形式化方法语言，它主要用于需求分析，而不是代码实现。虽然它的产出是一段一段的代码，但如果你期望通过VDM++得到现成的系统实现代码，很抱歉，我们无法得到预期的输出。
VDM++不是Java这类系统实现的语言，它的输出结果不是Web网站，不是GUI程序，甚至连命令行程序都实现不了。想到这些，难免有些失落，总觉得失去了编程的那种成就感；但这就是事实，这或许也是形式化方法难于普及的原因之一。
1.2 VDM理论探讨
那么，VDM++的输出是什么呢？如前文所述，其输出是需求规格说明书（需求文档），编写需求文档可以采用以下几种描述方法：
a.自然语言描述（最通俗易懂的方法，但不标准，歧义较多）
b.结构化系统分析方法——流程图，数据流图，数据字典等（上世纪70年代结构化思想的产物，与自然语言相比更加规范，更加接近计算机语言）
c.OOD方法——UML建模（上世纪80年代面向对象思想的产物，时至今日仍然有很大的影响力，特点是半结构化，需求描述规范清晰，可通过一定的框架转化为实际代码，仍然是主流的系统分析与设计技术）
d.形式化方法——VDM,Z方法等(上世纪90年代开始逐渐发展起来的软件工程方法，采用类似于编程语言的代码形式描述软件需求，特点是完全结构化，形式化，自动化)
由此可见，如果要在软件工程中找到一个可以和VDM类比的东西的话，我个人认为应该是UML；或许我们应该把VDM++的代码理解为各种各样的用例图，活动图，类图。形式化方法的主要作用领域是在软件开发中的上游工程（即需求，设计，自动化测试等），而不是具体的编码实现。
这些许令人有些失望，辛辛苦苦写出来那么多的VDM代码，居然不能作为系统实现的代码；那我为什么还要写这些东西呢？
1.3 VDM++的作用范围
这里，我详细阐述一下VDM++能做些什么！？具体请参考该网站：http://monoist.atmarkit.co.jp/mn/articles/0810/20/news106.html
1.编写需求规格说明书，检查需求分析结果和用户需求的一致性
2.检查需求规格说明书，系统设计文档的正确性
3.检查需求规格说明书，系统设计文档的一致性
4.为下游工程提供自动化测试用例
通过形式化方法，最终的理想目标是实现软件工程化，自动化，精确化，标准化；实际结果是减少需求工程中的不一致性（如下图），降低软件开发的时间（人月），提高软件开发效率，保证系统开发结果与客户需求相一致。
上图形象地阐释了客户需求和软件最终产品的鸿沟，已成为软件工程经典案例，这里不再赘述。下图解释了形式化方法与软件工程的关系：
2.Now Let us Start！
理论说明了一大堆，现在终于可以开始实战了！如何实现从用户需求到VDM++的转化呢！？
2.1 用户需求
1.开发一个计算机系统用于管理图书的借还
2.实现用户管理
3.实现图书管理
4.用户可以进行图书借还
为了简化问题，这里的需求非常的简单——只有4句话，现在我们要做的就是细化这些需求。
2.2 需求的细化
（1）首先我们明确我们需要开发一个图书管理系统（Library System）
（2）其次，我们抽取出系统实体和系统参与者的活动（和用例图建模一样）
系统实体：Library，User，Book
活动：borrow books，return books，manage users，manage books
（3）抽取相应的操作
borrow_book,return_book,add_user,remove_user,add_book,remove_book
2.3 开始编码
【VDM++的语法还是比较多的，这里我们不能纠缠于VDM的语法细节，这些语法细节会在之后慢慢解释】
2.3.1 建立项目
（1）打开Overture Tool，新建Project
（2）输入Project Name
(3)选择导入IO Library
2.3.2 新建Library文件
在项目上点击右键，New->Empty VDMPP File,输入文件名
2.3.3 定义必要的类和数据类型（代码后附）
2.3.4 定义操作operations
需要注意的是，由于VDM的主要作用在于需求描述，因此在VDM++中操作体不是最重要的要素，可以先不定义，在这里，我就用了is not yet specified把操作体先留空。
2.3.5 定义操作的前置条件和后置条件
pre-condition和post-condition是大部分形式化方法最重要的特点！！他们定义了操作的前提和结果，通常我们会使用post条件进行结果检查与测试，他们的作用通常比操作体本身还要重要。
2.3.6 补全操作体
add_user方法操作体只有1行，即求sUsers和aUser的并集，合并后赋值给sUsers
2.3.7 补全instance variables
补充sBorrowing映射实例的定义域和值域（这对于map类型非常重要），其定义域为sCopies的子集，其值域为sUsers的子集；即把书借给用户
2.3.8 根据需求定义函数functions
这里由于多处用到了判断某本书是否被借走，为了避免重复，我们应该定义一个函数封装该功能。
2.3.9 代码编写完成，全部代码如下：
class Library --类型定义 types public Copy = token ; public User = token ; Borrowing = map Copy to User; --实例定义和初始化 instance variables sCopies : set of Copy := {}; sUsers: set of User := {}; sBorrowing: Borrowing := { |-> }; --定义map类型实例的定义域和值域 inv dom sBorrowing subset sCopies and rng sBorrowing subset sUsers; operations --定义操作，操作名add_user,输入参数类型User，返回值为空 public add_user : User ==> () --定义操作体，此处还尚未定义 add_user(aUser) == sUsers := sUsers union {aUser} --定义操作的前置条件和后置条件 --前置条件：aUser不在sUsers中 --后置条件：aUser加入了sUsers集合 pre aUser not in set sUsers post sUsers = sUsers~ union {aUser}; public remove_user : User ==> () remove_user(aUser) == sUsers := sUsers \ {aUser} pre aUser in set sUsers and not borrowedUser(sBorrowing, aUser) post sUsers = sUsers~ \ {aUser}; public add_book : Copy ==> () add_book(aCopy) == sCopies := sCopies union {aCopy} pre aCopy not in set sCopies post sCopies = sCopies~ union {aCopy}; public remove_book: Copy ==> () remove_book(aCopy) == sCopies := sCopies \ {aCopy} pre aCopy in set sCopies and not borrowedCopy(sBorrowing, aCopy) post sCopies = sCopies~ \ {aCopy}; public borrow_book : User * Copy ==> () borrow_book(aUser, aCopy) == sBorrowing := sBorrowing munion {aCopy |-> aUser} pre aUser in set sUsers and aCopy in set sCopies and not borrowedCopy(sBorrowing, aCopy) post sBorrowing = sBorrowing~ munion {aCopy |-> aUser}; public return_book : Copy ==> () return_book(aCopy) == sBorrowing := {aCopy }<-: sBorrowing pre borrowedCopy(sBorrowing, aCopy) post sBorrowing = {aCopy } <-: sBorrowing~; public getAttributes : () ==> set of Copy * set of User * map Copy to User getAttributes() == return mk_(sCopies, sUsers, sBorrowing); functions --函数定义，该函数判断该书是否已经被借走，输入参数是Borrowing类型和Copy类型，如果被借走则返回true borrowedCopy : Borrowing * Copy +> bool borrowedCopy(aBorrowing, aCopy) == aCopy in set dom aBorrowing; borrowedUser : Borrowing * User +> bool borrowedUser(aBorrowing, aUser) == aUser in set rng aBorrowing; end Library
需要注意的是，现在没有必要纠缠于语法细节，对于每一部分的具体语法，会在后续文章陆续介绍。本次的关注点主要在于概览VDM++的开发过程，程序基本结构，基本概念等要素，而不是具体的语法细节。
2.4 编写测试类
程序编写完了，总需要看看运行结果吧；很显然现在这个程序没有运行结果，原因很简单，只有类定义，没有相应的测试数据。就好比Java程序，定义了一个类，但是没有写main函数一样，因此，我们必须编写测试类，测试所写的Library需求。
这里，我直接提供一个简单的测试类。
class UseLibrary instance variables sL : Library := new Library(); functions public run : () -> seq of char * bool * map nat1 to bool run() == let testcases = [ t1() ], testResults = makeOrderMap(testcases) in mk_("The result of regression test = ", forall i in set inds testcases & testcases(i), testResults); static public makeOrderMap : seq of bool +> map nat1 to bool makeOrderMap(s) == {i |-> s(i) | i in set inds s} pre s <> []; operations t1: () ==> bool t1() == let l = new Library(), p = mk_token("Sakoh"), c = mk_token("OO Construction_1") in ( l.add_user(p); l.add_book(c); l.borrow_book(p, c); l.return_book(c); l.remove_user(p); return l.getAttributes() = mk_({mk_token("OO Construction_1")}, {}, {|->}) ); end UseLibrary
该测试类添加了一个实例，l是一个Library实例，p是一个User实例，c是一个Copy实例，我们对l进行添加用户，添加图书，借书，还书，删除用户等一系列操作，最后比较l中的所有属性值与给定属性值mk_({mk_token("OO Construction_1")}, {}, {|->})是否相等，即判断是否符合预期。如果返回true，则该测试用例通过，需求定义合理；否则，该测试用例不通过，需求定义不符合要求。
2.5 测试结果
（1）修改run configuration
右键工程，Run As->run configurations->如图：
（2）点击运行，弹出如下窗口：
（3）输入print new UseLibrary().run()查看运行结果是否符合预期
结果显示为true，说明测试用例通过。
3.After Coding
至此，我们的图书管理系统需求定义基本完成（其实还有很多没有做，如测试覆盖率检查，需求文档生成等等）。VDM++已经向我们展示了它的强大功能。在后续部分，我会逐步解释VDM++的语法特征和具体用法，敬请期待。
最后来看看我们的VDM代码被转化成了哪些Java代码吧！
右键工程，Code Generation->Generate Java
import org.overture.codegen.runtime.*; import java.util.*; public class Library { private VDMSet sCopies = SetUtil.set(); private VDMSet sUsers = SetUtil.set(); private VDMMap sBorrowing = MapUtil.map(); public Library() { } public void add_user(final Token aUser) { sUsers = SetUtil.union(sUsers.clone(), SetUtil.set(aUser)); } public void remove_user(final Token aUser) { sUsers = SetUtil.diff(sUsers.clone(), SetUtil.set(aUser)); } public void add_book(final Token aCopy) { sCopies = SetUtil.union(sCopies.clone(), SetUtil.set(aCopy)); } public void remove_book(final Token aCopy) { sCopies = SetUtil.diff(sCopies.clone(), SetUtil.set(aCopy)); } public void borrow_book(final Token aUser, final Token aCopy) { sBorrowing = MapUtil.munion(sBorrowing.clone(), MapUtil.map(new Maplet(aCopy, aUser))); } public void return_book(final Token aCopy) { sBorrowing = MapUtil.domResBy(SetUtil.set(aCopy), sBorrowing.clone()); } public Tuple getAttributes() { return Tuple.mk_(sCopies.clone(), sUsers.clone(), sBorrowing.clone()); } private static Boolean borrowedCopy(final VDMMap aBorrowing, final Token aCopy) { return MapUtil.dom(aBorrowing.clone()).contains(aCopy); } private static Boolean borrowedUser(final VDMMap aBorrowing, final Token aUser) { return MapUtil.rng(aBorrowing.clone()).contains(aUser); } }
