Méthodes pour la validation de modèles formels pour la ... - ISAE

4.2 Processus de validation du modèle AltaRica 105
Pour traiter le cas des activités, on supposera qu’une activité est formelle si ses documents
d’entrées et de sorties sont formels. Ainsi :
– les activités de spécification (construire la spécification du modèle AltaRica à partir des
documents de conception) et de validation de la spécification du modèle ne peuvent donc
pas être des activités formelles ;
– l’activité d’implémentation peut potentiellement être formelle si on s’intéresse à une génération
automatique du modèle à partir de la spécification de ce modèle. Dans notre cas,
l’implémentation est restée manuelle et l’activité ne peut donc être qualifiée de formelle ;
– les activités de vérification / validation du modèle AltaRica par rapport à sa spécification
ne peuvent être formelle que si la spécification du modèle est formelle.
L’activité de preuve ne pouvant être utilisée que pour comparer une implémentation à une
spécification formelle, une telle activité ne peut être employée pour comparer directement la spécification
du modèle AltaRica avec les documents de conception. L’utilisation de preuves pourrait
cependant être étudiée et utilisée pour l’activité de vérification du modèle par rapport à sa spécification,
après formalisation de celle-ci. La preuve garantira alors le lien entre la spécification
et l’implémentation du modèle AltaRica. Néanmoins, le lien entre la spécification informelle (ou
semi-formelle) et la spécification formelle restera encore à être garanti. Ne voulant pas seulement
déplacer le problème, nous conservons notre volonté de garantir le lien entre la spécification du
modèle AltaRica et son implémentation...
Par essence, l’analyse de sécurité amène les analystes à produire les séquences d’évènements
(en nombre borné) conduisant à l’occurrence d’un évènement redouté. En vue de la revue et
de la validation des modèles construits, ces séquences doivent être lisibles et compréhensibles
par des spécialistes métiers (non spécialistes Sûreté de Fonctionnement) et par les ingénieurs
Sûreté de Fonctionnement en charge de la réalisation du modèle AltaRica. De plus, étant donné
le déterminisme des modèles AltaRica construits, ces séquences constituent naturellement des
scénarios de test pouvant être simulés sur le modèle AltaRica. Ainsi dans ce contexte, le test
permet, avec un surcoût réduit, à la fois d’estimer la conformité du modèle AltaRica par rapport
à sa spécification mais aussi d’aborder la validation de cette spécification via la simulation des
séquences et l’examen de leurs effets.
Par contre, l’examen d’un nombre limité de séquences ne peut à lui seul garantir dans tous les
cas que l’implémentation du modèle AltaRica est conforme à sa spécification et au comportement
du système qu’il décrit. Des mesures de couvertures restent à définir dans ce contexte afin de
pouvoir accorder une confiance justifiable dans les activités de test réalisées sur le modèle AltaRica.
Nous avons donc deux problèmes de validation à résoudre : celui de la spécification par
rapport aux documents de conception, celui du modèle par rapport à sa spécification. Pour le
premier point, le chapitre 3 adresse le problème et propose un processus de modélisation. En
particulier, la section 3.8 propose diverses formalisations de cette spécification pour un composant
élémentaire. Des activités de revues pourront et devront être complémentaires à ce processus
de modélisation pour améliorer la confiance de l’utilisateur. Dans ce chapitre, nous traiterons
majoritairement du second problème de validation, à savoir celui de l’implémentation du modèle.
Nous fonderons pour cela notre approche sur des activités de test.
4.2 Processus de validation du modèle AltaRica
Nous rentrons ici directement dans le vif du sujet en proposant les fondements d’un processus
de validation d’un modèle AltaRica. Nous focaliserons ensuite sur un processus plus adapté
à la validation d’un composant élémentaire (d’un composant d’une bibliothèque AltaRica) et
développerons ce processus « unitaire » dans la suite de ce chapitre.