Méthodes pour la validation de modèles formels pour la ... - ISAE

116 Chapitre 4. Processus pour la validation de modèle AltaRica
– aux spécifications utilisant des machines à états finis : diagramme états-transitions, diagramme
d’états UML, Statechart... ;
– aux spécifications décrites sous forme tabulaire et utilisant une philosophie similaire à SCR
(Software Cost Reduction [32]).
Le traitement des deux points ci-dessus dans la même section se justifie avec le fait, déjà évoqué
en section 3.8.4 que le formalisme sous-jacent à l’écriture tabulaire de SCR est un formalisme
utilisant des machines à état finis.
Avec de telles formes de spécifications, la génération de tests se fera avec deux objectifs
distincts : valider la logique interne décrite dans la spécification (i.e. les changements d’état) et
valider les calculs décrits dans la spécification (i.e. comment sont définies les sorties en fonction
de l’état et des entrées). Le principe de génération est alors de :
– générer des scénarios permettant de visiter chacun des états de la spécification ;
– générer, dans chacun de ces états, des scénarios pour tester les équations définissant les
valeurs des sorties ;
– mettre en place des critères de couverture sur la spécification pour assurer et garantir la
mise à l’épreuve des différentes transitions entre états et des différentes équations de sorties.
On pourra trouver dans les références [47, 15, 46] divers travaux traitant de la génération de
tests à partir de diagrammes états-transitions (sous forme graphique ou tabulaire) et de la mise en
place de critères de couverture sur ce type de spécification. Nous développerons pour notre part
plus en détails et à partir de la section 4.5 de tels mécanismes appliqués aux modèles AltaRica et
aux automates de mode.
Exemple : Pour illustrer le principe général de la génération de tests à partir d’une spécification,
nous reprenons l’exemple de la valve dont la spécification de comportement est indiquée figure 2.1
(page 34). Nous la rappelons ici :
etat=ouverte
bloque=false
..................
sortie = entree
Fermeture ↓ ↑ Ouverture
etat=fermée
bloque=false
..................
sortie = nul
Blocage
−−−−→
Blocage
−−−−→
etat=ouverte
bloque=true
..................
sortie = entree
etat=fermée
bloque=true
..................
sortie = nul
Ici et sans passer en revue les différents critères de couverture pouvant être définis sur une
telle spécification, on souhaitera tester les différents états et dans chacun des états, tester les
différentes évaluations de la variable de flux « sortie ». Une génération de tests possible ici est (A
désigne l’automate de mode considéré ici, s i désigne une évaluation du couple (etat, bloque), Φ
désigne la variable de flux « sortie ») :
– t 1 A = (A, v 1, s 1 , Φ, o 1 ) avec v 1 = ∅, s 1 = (ouverte, false) et o 1 = entree ;
– t 2 A = (A, v 2, s 2 , Φ, o 2 ) avec v 2 = {Blocage}, s 2 = (ouverte, true) et o 2 = entree ;
– t 3 A = (A, v 3, s 3 , Φ, o 3 ) avec v 3 = {Fermeture}, s 1 = (fermée, false) et o 3 = nul ;