Méthodes pour la validation de modèles formels pour la ... - ISAE

4.4 Sélection de cas de test pour un modèle AltaRica 115
AltaRica. Cette mesure de la couverture nous permettra d’identifier les parties du modèle non
couvertes. Il sera alors possible si souhaité de générer des tests supplémentaires pour atteindre
une couverture satisfaisante du modèle.
Ainsi, en simulant des tests issus de la spécification sur le modèle AltaRica, une erreur
rencontrée permettra de réfléchir à la fois sur le modèle et sur la spécification. En assurant une
certaine couverture de ces deux documents (spécification et implémentation), il sera alors possible
de traquer les informations manquantes dans le modèle et celles en surplus.
4.4 Sélection de cas de test pour un modèle AltaRica
Le premier objectif de la démarche est donc de se doter d’un jeu de tests. Pour cela, nous
avons évoqué que, pour la validation unitaire, l’utilisation d’une spécification formelle ou semiformelle
pourrait nous permettre cette génération... Le principe étant, nous le rappelons, d’obtenir
un jeu de tests dont on étudiera par la suite la couverture du modèle AltaRica (quelle portion du
modèle couvre ce jeu de tests ?).
Pour commencer, nous présenterons dans la section 4.4.1 la génération d’un jeu de tests pour
valider un composant AltaRica élémentaire (validation unitaire). Pour cela, nous nous appuierons
principalement sur la section 3.8. Cependant, la validation unitaire n’est pas en mesure (et il
serait injuste de le lui reprocher) d’assurer une complète absence d’erreurs dans le modèle. En
particulier, elle ne permet pas d’exhiber des erreurs liées à la présence de plusieurs composants
dans le modèle (par exemple, des erreurs dans la modélisation d’un processus de reconfiguration
ou dans une synchronisation). Pour ces raisons, nous introduirons dans les sections 4.4.2 et 4.4.3
la génération de cas de test pour la validation de l’intégration et la validation système.
4.4.1 Validation unitaire : Génération d’un jeu de tests pour le modèle
AltaRica
4.4.1.1 Génération de tests à partir d’une spécification par AMDE formelle
Nous avons vu section 3.8 que la spécification du modèle AltaRica pouvait potentiellement
être écrite en formalisant les informations de l’AMDE (pour rappel : Analyse des Modes de Défaillance
et de leurs Effets). On rappelle ici le principe du tableau 3.7.
Mode de
défaillance sur
la sortie
OUT = Nul
Description
Déviation
entrée
Mode de
défaillance
composant
Taux
... IN = Nulle - -
... - E 1 1.5e −6
... ... ... ... ...
Chaque ligne de cette AMDE nous donne donc un scénario de test à appliquer sur le modèle.
Les composantes de ce scénario sont soit des modes de défaillance, soit des déviations des entrées
du composant, soit éventuellement une combinaison des deux. Pour chacun de ces scénarios, la
valeur attendue de la sortie est indiquée dans la première colonne du tableau. Par contre et à
cause du formalisme choisi, un tel tableau ne nous fournit aucune indication sur l’état attendu du
modèle.
4.4.1.2 Génération de tests à partir d’une machine à état finis
Ici, nous faisons référence à différents types de spécifications présentés en section 3.8 :