Méthodes pour la validation de modèles formels pour la ... - ISAE

4.1 Avant propos
4.1.1 Introduction
L’approche proposée au chapitre 3 propose ainsi une méthode fondée sur l’Ingénierie Dirigée
par les Modèles (IDM) et plus particulièrement sur l’utilisation de modèles de propagation
de pannes pour supporter les analyses classiques de Sûreté de Fonctionnement (e.g. arbres de
défaillance, AMDE - section 1.5). Cette approche permet, entre autres choses, une meilleure traçabilité
entre la structure du modèle et l’architecture du système qu’il décrit grâce notamment
à la mise en place d’une capitalisation et d’une documentation des informations implémentées
dans le modèle (section 3.8). Ainsi, un de nos soucis majeurs est de fournir les justifications des
données incluses dans le modèle, de tracer les hypothèses de modélisation et de capitaliser les
abstractions définies. L’objectif de l’ensemble de ces tâches et du chapitre 3 est alors de prévenir
et de minimiser le nombre d’erreurs implémentées dans le modèle.
Pour aller plus loin, il est important de réaliser que si avoir un processus rigoureux d’obtention
du modèle est une étape, le risque lié à l’introduction d’erreurs demeure présent tout au
long du cycle de développement du modèle. En particulier, il est nécessaire et indispensable de
considérer l’éventualité selon laquelle certaines erreurs puissent être potentiellement introduites
lors de l’implémentation du modèle. Un comportement naturel est alors de vouloir éliminer ces
erreurs et de vouloir les éliminer au plus tôt pour limiter le coût de leurs détections, de leurs
éliminations et de leurs corrections. En pratique, nous souhaitons démontrer que le comportement
du modèle est conforme au comportement du système qu’il décrit. Pour cela, diverses activités
peuvent être envisagées comme par exemple :
– des activités de revues du modèle (relecture par des ingénieurs et / ou des experts) ;
– des activités de preuve ayant pour objectif de démontrer formellement que le modèle satisfait
une ou plusieurs propriétés ;
– des activités de simulation de tests effectuées sur le modèle.
Concernant le premier point et par exemple, le projet MISSA (More Integrated System
Safety Assessment - [53]) s’est penché sur la définition de « checklists ». Ces checklists posent des
questions qui imposent à l’analyste de s’intéresser à un certain nombre d’aspects relatifs au modèle
considéré : ses limites, ses conditions d’utilisations... Des « plans d’argumentation » sont ensuite
décrits et comportent par exemple la justification de l’approche de modélisation, la justification
des hypothèses de modélisation ou la justification des résultats obtenus. Ces argumentations
permettent d’augmenter la confiance dans le modèle et sont sans aucun doute un premier pas
vers une validation rigoureuse d’un modèle. Cependant, si une telle validation semble être un point
clef pour espérer insérer une telle approche dans un processus industriel, les checklists évoquées
ne s’intéressent que peu au comportement à proprement parler du modèle et restent à un stade
informel.
Pour aller au delà de simples revues du modèle, des activités de preuve et / ou de test peuvent
être menées sur le modèle. Divers travaux se sont intéressés à la première activité et par exemple