Méthodes pour la validation de modèles formels pour la ... - ISAE

4.4 Sélection de cas de test pour un modèle AltaRica 117
– t 4 A = (A, v 4, s 4 , Φ, o 4 ) avec v 4 = {Fermeture, Ouverture}, s 4 = (ouverte, false) et
o 4 = entree ;
– t 5 A = (A, v 5, s 5 , Φ, o 5 ) avec v 5 = {Fermeture, Blocage}, s 5 = (fermée, true) et o 5 =
nul ;
Remarquons qu’ici, on ne teste pas pour conserver l’exemple simple l’influence de changements
d’évaluation de la variable de flux « entree ». Les cinq tests précédents nous permettront
ainsi de tester que les comportements spécifiés sont réalisés par le modèle AltaRica de manière
correcte. Au delà de ces tests, on en génère des supplémentaires qui nous assurerons de l’absence
de comportements non spécifiés dans le modèle. L’idée principale est de traduire le fait qu’un
évènement donné n’est pas tirable dans un état donné. Ainsi, les tests suivants sont générés :
– t 6 A = (A, v 6, ∅, ∅, ∅) avec v 6 = {Ouverture} ;
– t 7 A = (A, v 7, ∅, ∅, ∅) avec v 7 = {Blocage, Ouverture} ;
– t 8 A = (A, v 8, ∅, ∅, ∅) avec v 8 = {Blocage, Fermeture};
– t 9 A = (A, v 9, ∅, ∅, ∅) avec v 9 = {Blocage, Blocage};
– t 1 A 0 = (A, v 10, ∅, ∅, ∅) avec v 10 = {Fermeture, Fermeture} ;
– t 11
A = (A, v 11, ∅, ∅, ∅) avec v 11 = {Fermeture, Blocage, Fermeture};
– t 12
A = (A, v 12, ∅, ∅, ∅) avec v 12 = {Fermeture, Blocage, Ouverture} ;
– t 13
A = (A, v 13, ∅, ∅, ∅) avec v 13 = {Fermeture, Blocage, Blocage};
4.4.1.3 Validation unitaire : autres voies pour l’obtention d’un jeu de tests
Que faire lorsque nous ne possédons aucune spécification du comportement de notre modèle ?
Est-il possible de tout de même envisager la génération d’un jeu de tests ? ...
En fait, et cela servira de conclusion à la section, l’important est ici on le rappelle de se
doter d’un jeu de tests. Le moyen d’obtention de ce jeu de tests est même relativement secondaire
par rapport à la problématique de ce mémoire...
En cas de construction d’une spécification, il peut être pertinent de l’utiliser pour obtenir
ce jeu de tests. Si aucune spécification n’est disponible, il faut chercher ce jeu de tests ailleurs...
Deux possibilités peuvent alors être mentionnées ici.
– Une première solution peut être de définir « à la main » un ensemble de scénarios (un ensemble
de tests) de référence dont on connaîtra les issues théoriques par jugement d’experts.
Ainsi, un plan de tests est défini, simulé sur le modèle AltaRica et les sorties de celui-ci sont
observées. La référence n’est alors plus la spécification mais le jugement d’expert qui aura
défini la sortie attendue.
– Une seconde solution est de regarder le taux de couverture atteint par les scénarios conduisant
à l’occurrence des évènements redoutés. Ces scénarios étant générés pendant la phase
d’analyse du modèle, leur génération ne constitue pas, en l’absence de spécification du
modèle AltaRica, une tâche supplémentaire à la charge de l’ingénieur Sûreté de Fonctionnement.
Ces méthodes, bien que selon nous moins « propres » qu’une génération de tests à partir de
spécifications formelles, auront cependant comme objectifs d’améliorer la confiance de l’utilisateur
dans son modèle. En effet, bien que ne permettant pas l’étude d’une couverture a priori sur la