Zum modellbasierten funktionalen Test reaktiver Systeme

3. Testfallspezifikation
• Zum ersten können die Beschreibungselemente von Modellen (Funktionsdefinitionen,
Zustände, Transitionen und damit Kanalbelegungen) explizit
mit Abschnitten eines Spezifikationsdokuments annotiert werden.
• Zum zweiten wird diskutiert, inwiefern Modelle von Maschinen Modelle
der Anforderungen sind und insofern Abdeckungen des Modells direkt,
d.h. ohne explizite Annotationen, eine Anforderungsabdeckung implizieren.
Der Test eines Szenarios – eine funktionale Testfallspezifikation –
stellt ebenfalls die Abdeckung einer oder mehrerer Anforderungen dar. Im
Fall der Menge von Szenarien, die durch die erweiterte Zustandsmaschine
für Modifikationen des Protokolls zur Berechnung der digitalen Signatur
beschrieben werden, zeigt sich allerdings, daß hier Anforderungen getestet
werden, die in den Spezifikationsdokumenten nicht explizit auftauchen.
• Zum dritten wird gezeigt, wie aus einem Modell Ein-/Ausgabepaare generiert
werden können, die ihrerseits Anforderungen darstellen. Diese Form
der Anforderungsabdeckung funktioniert nur, wenn Anforderungen aus
Spezifikationsdokumenten auf Ein- und Ausgabepaare von Modellen abgebildet
werden können.
Vorteile struktureller Kriterien Abdeckungsbezogene Kriterien werden bzgl.
ihrer Fähigkeit, Fehler zu entdecken, kontrovers diskutiert (Howden, 1978b;
Ntafos, 1984; Dupuy und Leveson, 2000; Thévenod-Fosse und Waeselynck, 1992;
Thévenod-Fosse u. a., 1995). Riedemann (2002) zitiert Fehleraufdeckungsquoten
von 12–92%. Die Notwendigkeit funktionaler Tests als Komplement wird
deshalb auch nirgends ernsthaft bestritten. Der Vorteil struktureller Kriterien
liegt
• in der automatisierbaren Erzeugung entsprechender Testfallspezifikationen
und damit Testfällen,
• daraus resultierend in ihrer kostengünstigen Erzeugung und – im Idealfall
– automatisierten Durchführung und
• in der Tatsache, daß sie quantifizierbar sind. So kann beispielsweise 100%ige
Anweisungsüberdeckung oder MC/DC-Überdeckung (Abschnitt 4.7) gefordert
werden, wie das beispielsweise von einem Standard der zivilen
Avionik, dem DO-178B (RTCA und EUROCAE, 1992), vorgeschlagen
wird.
Die ersten zwei Vorteile gelten ebenfalls für stochastische Testfallspezifikationen
– wenn die Kosten für einen Test gegen Null gehen, dann ist ein Test mehr besser
als einer weniger.
Kontrollflußbezogene Überdeckungskriterien sind üblicherweise auf der Basis
von Units (z.B. Module in Modula oder Klassen in Java) definiert, die
zunächst nicht direkt zum Integrationstest verwendet werden können. Ein Ansatz
zur automatischen Generierung von Integrationstests mit MC/DC-Abdeckung
wird in Abschnitt 4.7 vorgestellt.
82