设计系统时需区分非法状态（绝不允许）和不期望状态（可短暂停留但需解决），如日历软件中事件重叠属于不期望状态而非非法，航空超售也需先允许再处理，并提出不期望状态可通过临时容忍后修复的形式化模型来保证系统安全。
发现重构世界的力量
发现重构世界的力量
设计系统时需区分非法状态（绝不允许）和不期望状态（可短暂停留但需解决），如日历软件中事件重叠属于不期望状态而非非法，航空超售也需先允许再处理，并提出不期望状态可通过临时容忍后修复的形式化模型来保证系统安全。