Неопределённое поведение

Определённая ошибка обнаруживается и сообщается. В последних двух уроках каждый отказ был определённым: язык задаёт, что происходит. Деление на ноль, плохое преобразование типа, вызов метода у значения, у которого его нет — для каждого правило говорит «возбудить исключение». Машина обнаруживает условие и сообщает о нём.

Решающее свойство определённой ошибки — что ты узнаёшь. Исключение возбуждается, поток управления останавливается, печатается трассировка стека. Отказ громкий. Даже аварийное завершение — в этом смысле успех: машина поймала проблему и сказала тебе о ней. Определённая ошибка — это отказ, для которого у языка есть определённый, сообщаемый ответ.

Неопределённое поведение: язык не гарантирует никакого результата. Неопределённое поведение (часто сокращают до UB) — это противоположность. Это операция программы, для которой спецификация языка не даёт никакого гарантированного результата вообще. Язык не говорит «возбудить исключение». Он не говорит «вернуть ноль». Он не говорит ничего. Операция просто вне множества вещей, которые язык обещает определить.

Когда программа выполняет операцию с неопределённым поведением, разрешено случиться чему угодно: она может выдать правдоподобно выглядящее неправильное число, может выдать другое неправильное число при следующем запуске, может испортить несвязанные данные, может казаться работающей годами. Язык умыл руки от исхода. Критически — и в этом вся опасность — никакая ошибка не возбуждается. Программа не останавливается. Она продолжается, неся тот мусор, который произвела операция.

Пример один: чтение за концом массива. Вспомни из Блока 09, что массив — это ряд смежных ячеек, а индекс — это смещение от базового адреса массива. Запрос индекса 5 у массива из 3 элементов означает вычисление адреса ячейки, которая не является частью массива.

В некоторых языках это определённая ошибка: рантайм проверяет индекс по длине массива и возбуждает исключение, если он вне диапазона — определённый, сообщаемый отказ. В низкоуровневом языке без такой проверки это неопределённое поведение: машина просто вычисляет адрес вне диапазона и читает те биты, что лежат в этой ячейке — остаточные данные от чего-то совсем другого. Никакая проверка не срабатывает. Никакого исключения. Программа читает бессмысленное значение и обращается с ним как с настоящим элементом массива.

Пример два: переполнение целого. Вспомни из Блока 01, что число хранится в фиксированном числе битов — скажем, 8 битов, которые могут хранить значения от 0 до 255. Теперь прибавь 1 к значению 255. Истинный результат, 256, нуждается в 9-м бите. 9-го бита нет. Старший бит теряется, и сохранённое значение становится 0 (или в знаковом типе — большим отрицательным числом). Это переполнение целого.

В языке, который определяет переполнение, результат задан — он заворачивается предсказуемо или возбуждается исключение. В языке, где переполнение знакового числа является неопределённым поведением, стандарт не гарантирует ничего: программа может завернуть, может выдать другое значение, и — поскольку компилятору разрешено предполагать, что переполнение никогда не случается — могут даже целые участки кода быть оптимизированы прочь на этом предположении. Арифметика выглядит нормально в исходнике; работающая программа делает то, на что исходник никогда не намекал.

Пример три: опора на undefined в JavaScript. JavaScript всё же проверяет границы массива — чтение индекса 5 у массива из 3 элементов не приводит к аварийному завершению; оно даёт особое значение undefined. Это определено. Опасность в стиле неопределённого поведения — это то, что происходит, когда твой код затем использует это undefined, не замечая.

undefined + 1 — это NaN («не число»). NaN молча распространяется через каждое вычисление, которого касается: NaN * 2 — это NaN, NaN > 0 — это false. Никакое исключение не возбуждается ни на одном шаге. Твоя программа продолжает работать, вычислять и сохранять NaN там, где должно быть настоящее число — неправильный ответ, тихо распространяющийся, ровно так, как распространяется истинный результат неопределённого поведения. Отказ молчаливый, хотя каждый отдельный шаг «определён».

Почему неопределённое поведение опаснее определённой ошибки. Определённая ошибка громкая: она возбуждает исключение, останавливает поток управления, печатает трассировку. Ты обнаруживаешь её немедленно, часто при первом же запуске кода, и трассировка указывает прямо на строку. Неопределённое поведение молчаливо: никакого исключения, никакой остановки, никакой трассировки. Программа выдаёт неправильный результат и несёт его вперёд — в сохранённое значение, в записанный файл, в показанную сумму.

Молчание — это опасность. Громкий отказ находят и чинят. Молчаливый отказ может пережить тестирование, отгрузиться пользователям, испортить настоящие данные и проявиться лишь много позже — далеко от строки, которая фактически его вызвала, без трассировки, указывающей назад. Определённая ошибка говорит тебе правду немедленно; неопределённое поведение позволяет лжи путешествовать.